信息技术产品安全可控评估简述

摘 要：习近平总书记多次强调，“市场换不来核心技术，有钱也买不来核心技术，必须靠自己研发、自己发展”。为全面掌握我国信息技术安全可控发展状况，促进信息技术安全可控产业生态发展，基于《信息技术产品安全可控评价指标》系列国家标准，对信息技术产品安全可控水平进行评估，得出了评估结果，以期对信息技术安全可控产品厂商起到较好的指引作用。

关键词：核心技术；信息技术；安全可控；评估

中图分类号：TP309 文献标识码：A

Abstract： General Secretary Xi Jinping repeatedly stressed that "the market can't change the core technology， and even if we have money， we can't buy core technology. We must rely on our own research and development." In order to fully grasp the controllability development for security of China's information technology and promote the ecological development of information technology controllability industries for security， we evaluate the controllability level for security of information technology products based on the national standards of "controllability evaluation index for security of information technology products". We have obtained the evaluation results， hoping to play a better role in guiding the information technology product manufacturers.

Key words： core technology； information technology； controllability for security； evaluation

1 引言

习近平总书记多次强调，“市场换不来核心技术，有钱也买不来核心技术，必须靠自己研发、自己发展”。2018年4月，美国针对中兴通讯的芯片制裁事件再次证明，核心技术受制于人存在巨大隐患，“打铁还需自身硬”。坚持关键信息技术安全可控是保证我国经济发展、社会稳定和国防安全的重要环节；是打破现有技术封锁、实现核心技术不受制于人的必要条件；只有实现关键信息技术安全可控才能摆脱受制于人的局面。

为全面掌握我国信息技术安全可控发展状况，促进信息技术安全可控产业生态发展，基于《信息技术产品安全可控评价指标》系列国家标准，对信息技术产品安全可控水平进行评估，得出了评估结果和结论，以期对信息技术安全可控产品厂商起到较好的指引作用。

2 信息技术产品安全可控概述

2.1 基本概念

（1）信息技术产品

信息技术产品是指具有采集、存储、处理、传输、控制、交换、显示数据或信息功能的硬件、软件、系统和服务。其中，信息技术产品包括计算机及其辅助设备、通信设备、网络设备、自动控制设备、操作系统、数据库、应用软件与服务等。本文中所述信息技术产品主要指中央处理器、操作系统、办公套件、通用计算机和数据库等。

（2）安全可控

从狭义角度看，信息技术产品的安全可控主要指以安全为目的的可控性属性，涵盖核心技术可控性、供应链可控性和服务可控性等内容。

从广义角度看，信息技术产品的安全可控除可控性外，还包含安全性和可用性，其中安全性主要指网络安全保障能力等内容，可用性则指产品的性能及适配性等内容。

2.2 评估思路

本文旨在评估我国信息技术产品整体安全可控水平，以《信息技术产品安全可控评价指标》系列标准为基础，依据安全可控概念中的相关属性设置指标，通过对比分析国内外信息技术产品发展现状，综合分析并评估我国当前信息技术产品安全可控水平。

3 我国信息技术产品安全可控水平评估

结合各类信息技术产品安全可控现状，我们以政府基本办公使用为例，分别对各类信息技术产品进行了评估。

3.1 中央处理器

中央处理器产品安全可控评估结果。

（1）中央处理器受限于供应链可控性，核心是芯片制造环节的供应链可控性，与应用方需求存在一定差距。

（2）对于开放市场，中央处理器在可用性和安全性方面仍存在较大差距。

在核心技术可控性方面，国内部分企业已具有较完备的核心技术资料，正逐步提升核心技术掌握能力。例如，龙芯得到MIPS指令系统的长期有效授权且可自行添加新指令；申威从架构設计到物理版图设计全部自主完成，裸片测试、封装、封装测试完全自主完成；飞腾基于ARM指令集使用授权，自主设计指令集兼容的CPU产品，处理器核、存储、互连等关键核心模块以及存储控制器、IO控制器等模块均为正向自主设计；上海兆芯、海光信息、贵州华芯通等通过资本运作等手段获得主流产品的代码和技术资料及研发生产权限；对于基于ARM授权开展业务的厂商而言，ARM中国合资公司的成立，为其提升核心技术可控性提供了一个新的契机。但对于引进吸收的企业而言，在核心技术掌握能力和技术体系发展主导权方面仍面临较大挑战。

在供应链可控性方面，国内企业仍然受制于制造环节的巨大差距，芯片制造工艺、装备、材料等方面仍严重依赖于国外。国内目前已投产生产线中最高支持28nm，对于性能要求不是很高的应用需求，可以采用境内流片，但考虑到技术成熟度等因素，芯片设计厂商的主流产品仍主要选择境外流片，如飞腾的流片生产采用多种渠道，境内与境外工艺相结合，对性能要求不是很高的CPU，采用境内工艺生产。

在服务可控性方面，国内厂商针对特定应用场景的定制化产品较多，大都拥有专门的服务支撑团队，能够满足用户对服务的要求。

在安全性方面，国内厂商的中央处理器产品在安全性方面仍投入较少，但产品本身的安全模块往往是各厂商优先实现自主研发的部分。如飞腾系列处理器中已经实现了安全执行环境与可信启动技术，实现了多种密码算法。

在可用性方面，国内中央处理器产品十分重视软硬件生态的适配，但受限于技术能力，产品性能仍与国外有一定差距，而产品性能达到或接近国际主流产品的往往在可控性方面存在较大隐患。如通过长期的努力，龙芯、申威、飞腾等CPU的软硬件生态已趋于成熟，华为海思、紫光展锐、海光信息、华芯通等通过技术引进或资本合作模式推出了一些性能与国际主流产品相当的产品。

3.2 操作系统

操作系统产品安全可控评估结果。

（1）国内操作系统产品主要基于开源技术发展自己的产品，其受限于核心技术可控性及可用性，与应用方需求存在一定差距。

（2）对于开放市场，受限于国内用户的使用习惯和应用环境依赖，国内操作系统产品在可用性方面仍面临巨大挑战，同时由于缺乏大规模应用，产品安全性方面仍存在一定差距。

在核心技术可控性方面，国内企业大都基于开源技术，掌握所有核心技术资料，但核心技术掌握能力参差不齐，同时由于过于依赖开源技术，产业发展权方面也面临问题。例如，中标软件、天津麒麟、普华等企业均所有源代码和代码仓库，具有100%的产品定制权限，可以根据客户需要进行全层级定制开发。与此同时，企业也要遵循相关开源许可协议，在此基础之上进行研发、优化和产品化。

在供应链可控性方面，国内企业仍存在部分开发、编译工具依赖国外的情况。

在服务可控性方面，中标软件、天津麒麟、普华等企业拥有较完备的服务支撑团队。如中标软件在全国拥有完善的漏洞响应服务支持团队，并且推出了微信邮件推送等多种方式的漏洞提示和补丁方式。

在安全性方面，国内企业不断通过多种手段提升产品安全性。如普华对其产品内核和应用程序进行面向安全策略分析，然后加入目标安全机制。

在可用性方面，国内企业不断加大与国内CPU企业的合作，提升产品应用体验。如中标麒麟操作系统支持X86、Power、ARM、龙芯、申威、上海兆芯等六种以上中央处理器平台；银河麒麟操作系统深度适配飞腾处理器平台；普华基础软件同龙芯、上海兆芯、申威等国产CPU厂商保持紧密的代码级战略合作，同整机厂商、基础软件厂商、外设以及应用开发商和集成商保持紧密合作。

3.3 办公套件

办公套件产品安全可控评估结果。

（1）国内办公套件产品发展有两条路线，一是基于自主研发，二是基于开源技术，相关产品目前已经能够很好地满足应用方需求。

（2）对于开放市场，金山的WPS产品在移动端得到广泛接受，在桌面端由于受限于国内用户的使用习惯和应用环境依赖，仍面临一定的挑战，特别是在国内操作系统环境的应用体验仍有待提升。

在核心技术可控性方面，基于自主研发路线的办公套件产品具有较高的核心技术可控性。如金山办公掌握WPS产品所有的知识产权及专利，拥有完整定制权限。

在供应链可控性方面，国内办公套件企业主要面临一些控件、文档格式和字体等方面的问题，对产品的供应不会产生重大影响。

在服务可控性方面，国内办公套件企业具有较完备的服务支撑团队。

在安全性方面，国内办公套件产品已经通过广泛应用得到验证。同时国内企业还针对用户需求推出了一系列安全功能，如金山公司推出了文档安全产品及打印溯源工具，从注重文档安全角度出发，保护用户涉密文档不外泄、外发，已外泄文档有据可查。

在可用性方面，国内办公套件企业不断加强与CPU、OS等厂商合作，提升应用体验。如金山公司的WPS Office 2016已能夠满足用户日常办公的需要，并从注重加强用户体验出发，在安全可控环境下实现一系列特色功能；永中Office已与龙芯、飞腾、申威、上海兆芯等国产CPU和中标麒麟、普华、深之度、银河麒麟等国产Linux平台进行了应用性适配工作，确保永中Office在国产环境下平稳运行。

3.4 通用计算机

通用计算机产品安全可控评估结果。

（1）整体而言，通用计算机产品供应链仍存在较严重的可控性问题，包括CPU、内存、存储、控制芯片等核心部件。

（2）对个人计算机而言，整体的可用性仍存在问题，包括产品性能、稳定性、周边配套设备等应用体验问题。对于服务器而言，国内产品仍存在核心技术方面的缺失。

在核心技术可控性方面，长城、浪潮、中科曙光、华为、联想等国内厂商均具备了较强的研发和资源整合能力。例如，长城信安拥有自主主板设计技术、基础架构设计技术，开发了基于国产服务器BMC功能的管理软件；联想整机研发设计团队具有高速总线PCB/PCBA、各类接口和总线等研发能力，以及EMC系统设计能力；华胜国威服务器基于全国产关键部件进行设计，整合了国产套片、BMC芯片、PCB设计资源以及关键零部件的产业链；山西百信推出的安全可靠产品主板完全自主研发、设计，具备自主知识产权。

在供应链可控性方面，国内厂商均建立了完善的供应链保障机制，但内存、硬盘、控制芯片等产业集中度较高，如在存储器芯片方面，三星、SK海力士和美光三大巨头全球市场占有率超过95%，仍面临较严峻的可控性风险。

在服务可控性方面，国内厂商建立较完备的服务团队。如长城建立了完备产品服务规范并严格执行，能够保障产品在交付、维护过程中的安全性。

在安全性方面，国内厂商建立了完备的安全体系，实现了一系列安全功能。例如，中科曙光公司开发了基于安全可靠产品的智能一体化监控系统；联想构建了规范的安全体系，具备ISO9001质量管理体系，同时还拥有强大的工程化过程控制体系；华胜国威服务器支持可信计算技术。基于可信平台控制模块从底层硬件到上层应用系统构建全过程信任链，整机支持可信TPM标准。

在可用性方面，国内厂商通过与芯片、操作系统厂商合作，加强应用推广，不断提升产品性能和应用体验。例如，长城通用计算机经历从基本能用、可用、好用三个阶段，功能、性能、应用体验上得到了质的提升，在电子政务、银行、卫生医疗等十二个领域，近百个应用或解决方案中应用；中科曙光公司与龙芯、中标软件等公司研发了龙芯防火墙、龙腾服务器等产品，与党、政、军的多个办公自动化示范点合作，共同打造基于安全可靠处理器平台；联想与国内各大软硬件合作伙伴建立多个联合工作组，进行整机软硬件适配、应用体验测试、应用软件适配、验证和测试；华胜天成服务器支持适配多种国产化软件；山西百信辰龙安全可靠计算机搭载龙芯处理器，可搭载中标麒麟、普华等操作系统。

3.5 数据库

数据库产品安全可控评估结果。

（1）国内数据库产品发展也有两条路线，一是基于自主研发；二是基于开源或技术授权。从整体上看，我国数据库产品核心技术方面仍与国外主流产品存在一定差距，在产品功能、性能和稳定性等方面存在较大差距，与应用方需求存在一定差距。

（2）由于数据库领域的高端技术主要掌控在Oracle手中，我国自主研发和引进的技术都面临类似的技术差距，在开放市场，特别是高端商用领域，我国数据库产品市场份额仍然较小。

在核心技术可控性方面，我国传统数据库厂商已经取得了较大的成绩，但在高端技术方面仍亟待突破。如神州通用数据库完全基于自主研发，在保证数据库通用功能、性能持续改进；达梦公司DM7具有自主知识产权；金仓数据库是人大金仓研制和开发的具有自主知识产权的大型通用关系型数据库管理系统，具有26项授权发明专利。

在供应链可控性方面，国内厂商采取多种措施提高产品供应环节的可控性。

在服务可控性方面，达梦、人大金仓、神州通用等厂商均有较完备的服务支撑团队。

在安全性方面，达梦、神州通用、人大金仓等均在安全性方面均投入大量资源，已接近或达到国际先进水平。

在可用性方面，国内数据库产品已经得到较为广泛的应用，可用性不断得到提升。例如，达梦公司DM7产品具有跨平台、跨系统等通用性，不依赖任何具体的软硬件产品，在政府、电力、铁路等领域得到广泛应用；神通数据库已应用于政府、国防、军工等领域，具有100TB以上数据规模的多个大数据上线案例，并有5PB的大系统上线案例。人大金仓数据库广泛应用于政府、国防、军工等高信息安全领域，产品累计推广超过55万套，拥有一大批成功应用案例。

3.6 其他产品

除以上产品外，我国在网络安全设备、网络设备、中间件，以及云计算系统、大数据系统、可信身份系统、智能物联系统、人工智能模型、区块链系统以及其他互联网应用系统等领域也不断提升安全可控水平，取得了较大的成绩。例如，天津麒麟推出了安全可靠云管理平台产品，具有大型对称多处理（SMP）系统的众多增强功能；具有针对改进的输入/输出缓冲操作的内核缓冲功能；具有可动态切换的队列输入/输出调度程序；支持基于CPU和内核的KVM裸金属虚拟化，同时支持Docker、Lxc等虚拟化平台；成都迈普推出了基于国产交换芯片和国产CPU的网络交换产品；中科网威推出了基于国内芯片的网络安全系列产品；正阳天成推出了基于国产芯片的网关等设备；Ucloud自主研发了基于国产芯片的云计算平台；东方博盾推出了完全自主开发的第三代Web服务器；中国信安基于PK体系自主研发并运营推广中电可信物联平台；上海尚院智能推出的智能矩阵，基于国产芯片打造AI模型库，构建人工智能即服务的区块链平台。

4 结束语

综合对中央处理器、操作系统、办公套件、通用计算机和数据库等各类产品的安全可控情况，我国信息技术产品安全可控的整体情况表现在几个方面。

在核心技术可控性方面，由于技术复杂性等原因，操作系统和数据库等产品的掌控能力仍相对较弱，拉低了整体可控水平。在供应链可控性方面，国内信息技术产品的供应链可控性仍处于较低水平，如芯片设计工具、芯片制造装备和材料等。在服务可控性方面，国内企业在提供原厂服务等方面具备独特优势，服务可控性也是保证其业务拓展的主要竞争力。在安全性方面，国内信息技术产品大都缺乏大量用户的长期验证，在安全性方面所做的工作相对较少，仍面临较大挑战。在可用性方面，国内信息技术产品大都与国际主流产品存在较大差距。

概括来说，我国信息技术产品安全可控情况与应用方需求仍存在一定差距，但已达到基本可用的程度，差距已在可接受范围。我国信息技术产品与开放市场环境下应用方需求存在较大差距，仍有漫长的路要走。

参考文献

[1] 袁胜.网络安全要发展自主核心技术[J].中国信息安全， 2018（1）：48-49.

[2] 倪光南.发展自主可控的信息技术和产业[J].电子产品世界， 2015， 22（10）：25-26.

[3] 右舍.国产操作系统再寻突破 模式创新是关键[J].通信世界， 2014（24）：18-19.

[4] 王闯，王超.信息技术产品安全可控内涵及其评价指标[J].信息技术与标准化， 2017（5）.

[5] 卢锡城.聚焦安全可控——核心信息技术自主可控发展思考[J].中国信息安全， 2018（3）：46-50.

[6] 曹方，韦东远，冷伟.基础软件：国家信息安全可控的基石和保障[J].中国科技成果， 2015（2）：4-5.

[7] 张京林.国产操作系统产业化现状分析和发展探讨[J].科技与创新， 2016（20）：27-29.

[8] 倪光南.构建安全可控的信息技术体系[J].中国信息安全， 2018（5）.

[9] 王闯，王超.信息技术产品安全可控评价体系标准探析[J].保密科学技术， 2018（1）.

[10] 李璐.浅析重要网络产品供应链安全风险监管[J].网络空间安全， 2018（3）.

[11] 吴曼青.尽快走出一条核心技术突破的新路子[J].求是， 2016（16）：33-34.

[12] 周亞洁.数据库国产化替代面临的问题及对策研究[J].信息安全研究， 2018， 4（1）：24-30.

[13] 夏添.自主可控为服务器产业带来新生态[J].计算机产品与流通， 2017（5）：28-28.

[14] 郭建明.国产软件应用推广中的主要问题及对策研究[J].中国科技纵横， 2017（16）.