魏军 中国信息安全认证中心体系认证处处长
一、前言
随着市场经济的成熟以及标准化水平的提高，现代认证已经发展成为市场经济体制下政府履行经济和社会管理职能的一个有机组成部分，成为国际上通行的技术管理和质量评价形式，日益受到各国政府和市场的高度重视并获得迅猛发展。
我国的《行政许可法》颁布后，逐步缩小行政许可范围，打造服务型政府，凡是能通过认证解决的不再实行行政许可，这已经成为一个重要的方向。近年来，随着认证认可工作的深入开展，认证认可工作得到了有关政府部门及社会公众的广泛关注和认同，经过国家认监委的法规协调工作，目前已有多部法律、行政法规写入认证认可法律制度。
在信息安全领域，认证认可制度作为一种社会管理手段有其独特的优势。首先，信息安全产品和服务管理的技术性很强，通过采用认证认可制度，可以将政府从繁重的技术工作中解放出来，使政府能够将注意力集中在国家安全的专控领域。其次，政府部门依靠认证认可手段实现对经济社会活动的间接管理，直接采信认证结果，可以提高行政效率，减少行政成本和风险，从而实现科学管理、科学决策。
二、信息安全认证认可工作基本内容
2003年9月，国务院发布了《认证认可条例》（以下简称《条例》），对认证和认可做出了定义：认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动；认可则是指由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动。根据《条例》的定义，认证的对象分为三类：产品、服务和管理体系。在信息安全领域，目前针对这三类对象的认证活动在我国都已开展，即信息安全产品认证、信息安全服务认证和信息安全管理体系认证。
此外，社会上还广泛存在信息安全人员认证的概念，国外产业界以及研究机构也将信息安全领域的人员认证作为一种重要的信息安全认证活动，甚至将信息安全人员认证作为信息安全认证的基本形式之一。
三、认证认可是市场经济运行的一项基础性制度安排
（一）信息安全认证认可的国际发展
认证认可的发展历史已经有一百余年，但从世界范围看，这一制度在信息安全领域的应用总体上还处于初期阶段。近年来，信息安全认证认可制度对信息安全的重要意义已经被越来越多的国家和地区所重视，很多实践工作也已开展。
根据欧洲网络与信息安全局（ENISA）的调查，当前在欧盟成员国内广泛存在着名目繁多的信息安全认证制度（包括产品认证、人员认证和管理体系认证），数目可能达到百余种。ENISA报告中谈到，欧洲从事信息安全活动的人都认为基于公认标准的认证将在今后几年得到更广泛的接受。因此，ENISA强调要在全欧洲范围内广泛传播信息安全认证知识，促进信息安全认证结果被更多的人所采信，以此推动欧洲信息安全水平的提高。
美国的信息安全认证制度主要是产品认证，这项工作起源于20世纪80年代，先后经历了“可信产品评估项目”（TPEP）、“可信技术评价项目”（TTAP）以及“国家信息保障联盟”（NIAP）的阶段。2001年，美国国家安全电信和信息系统安全委员会宣布，自2002年7月起，在“国家安全系统”（对于国家安全至关重要的信息系统）中强制使用经过NIAP认证的产品。2003年7月，美国国家安全电信和信息系统安全委员会发布了《国家信息保障采购政策修改概要》，重申了这一要求。近年来，美国不断强调信息安全产品认证的意义，推进商业产品和标准在国家安全系统中的使用，鼓励联邦和商业领域积极参考认证结果。
亚洲国家近年来加快了信息安全产品认证的步伐。比如，为了加强政府信息系统安全、推动国际标准应用以及促进企业改进技术能力，韩国政府在采购政策中明确规定，政府机构必须在2006年1月1日起采购经认证的IT安全产品。日本的认证机构为国家信息技术安全局下属的信息安全认证办公室，负责运行日本的测评和认证体系。为了加强电子政务信息系统安全，2011年4月，日本信息安全政策委员会发布了新的管理标准《中央政府计算机系统信息安全度量的管理标准》，要求在有必要并且有供选择的获证产品的情况下，应采购经过IT安全评估和认证的产品。
在信息安全的综合管理方面，西方发达国家重视系统化地安全管理。比如，德国对于政府及重点领域的安全管理，要求相关组织建立信息安全管理体系，以此为基本要求，突出各行业的针对性安全管理要求，从而构成信息安全保障体系的基本框架。
（二）认证认可已经成为信息安全领域重要的技术评价方式
信息安全领域的技术评价是一种基础性的技术活动，从发达国家经验看，目前有越来越多的技术评价活动都采用认证认可制度，这已经成为一种国际趋势。鉴于信息安全认证认可已经开始产生广泛影响，欧洲网络与信息安全局（ENISA）在2007年末组织专题研究了信息安全产品、体系和人员认证在欧盟国家的实施情况，分析了其内在规律和发展趋势。ENISA在报告中高度评价了信息安全认证认可对信息系统安全的重要意义，对信息安全认证认可的未来发展寄予了厚望。信息安全管理体系认证则是对各种类型组织的信息安全管理水平的评价，表明被审核组织已经建立起了符合国际标准ISO/IEC 27001《信息安全管理体系要求》的信息安全管理体系。管理措施和技术措施是信息安全措施的两个重要组成部分，且信息安全管理的对象也包括信息安全技术措施的部署和实现。因此，ISO/IEC 27001不仅是信息安全管理的方法学，也为一个组织提供了开展全面的信息安全工作的抓手。作为信息安全状况的客观证据，信息安全管理体系认证结果将成为信息系统安全运行的重要保障。同时，信息安全管理体系认证也大大推动了各组织努力开展信息安全建设，大力提高信息安全防护水平。
目前，我国金融领域、通信领域、能源领域的行业主管部门均出台了信息安全管理体系建设和认证的引导政策。北京市经信委于2013年夏出台的文件，则鼓励北京市委办局有些选用通过27001认证的技术队伍提供的信息技术服务或信息安全服务。
（三）信息安全认证认可工作在信息安全保障中的定位
2011年3月发布的《我国国民经济和社会发展十二五规划纲要》明确提出要“健全网络与信息安全法律法规，完善信息安全标准体系和认证认可体系”。2013年2月国务院发布的《质量发展纲要（2011-2020年）》，将“完善信息安全认证认可体系，加强信息安全认证认可制度和能力建设，健全信息安全认证认可工作体系，促进信息安全认证认可结果的社会采信”，列入认证认可的重点工作。2013年6月发布的《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发[2012]23号），在加快能力建设、提升网络与信息安全保障水平方面，也明确提出要“完善信息安全认证认可体系，加强信息安全产品认证工作，减少重复检测和重复收费”。 2009年以来，我国银监会、保监会、工信部、国资委、原国家电监会对于基础网络和重要信息系统通过信息安全认证认可提升管理水平纷纷出台的相关的文件要求，对于基础网络和重要信息系统通过认证认可评价的手段加强信息安全保障建设指明了方向。
四、信息安全认证认可工作中需要引起重视的几个问题
目前，在世界范围内，信息安全认证认可的发展还不成熟，特别是信息安全评价标准和方法仍在不断发生变化，面临很多争议。
（一）从信息安全产品认证的角度来看，信息技术产品安全性认证的国际互认范围不断扩大，但互认范围严格限制在非敏感领域。目前美、英等采用CC标准的很多国家存在着变革认证标准和认证方法的压力，但这些压力不是来自于信息安全产品认证制度框架的设计，而是来自于所选择的认证标准和具体的认证方法，信息安全产品认证制度的重要性及其未来发展趋势仍得到各国的一致肯定。
（二）从信息安全服务资质认证的角度来看，虽然我国对特定领域的信息安全服务或者特定类型的信息安全服务实施了管理，但还没有对通用的信息安全服务进行严格管理，特别是还没有对为国家基础信息网络和重要信息系统提供服务进行直接干预和约束。
通过信息安全应急处理和风险评估等服务资质认证工作的实施，认证认可手段显示出了可为信息安全服务管理提供基础支撑的潜力，特别是在对信息安全服务组织和人员的能力评价方面。信息安全主管部门和行业主管部门在制定信息安全服务管理政策时，可以采信分级、分类的信息安全服务认证的结果。
（三）从信息安全管理体系认证的角度来看，信息安全管理体系认证认可工作的开展对各类组织增强信息安全意识、提高信息安全管理水平起到了积极作用，为我国外贸企业特别是软件和服务业外包企业拓广国际市场创造了条件。
由于信息安全管理体系认证审核过程涉及到被审核单位的大量敏感信息，2010年六部委联合发布了第394号文件，对于国家重要网络与信息系统中开展认证活动加以规范和限制。尽管如此，对于获得国外认可机构认可的认证活动引入的安全风险，还没有引起足够的重视。
