2017年12月12日，由工业和信息化部、北京市人民政府共同指导的首届中国网络安全产业高峰论坛在北京举办。会上，中国工程院院士倪光南发表题为《构建安全可控的信息技术体系》主题演讲。他表示，构建安全可控的信息技术体系是我国网信领域的一项重大任务。

“网信技术具有高度的垄断性。在网信领域，一些技术、标准、知识产权、文献资料、产品、服务、解决方案……往往形成一个信息技术体系，该体系及其关联的经济社会环境构成了一个生态系统。 相应地，市场竞争也从产品或服务之间的竞争上升到生态系统之间的竞争，造成了网信技术的高度垄断。

要想打破网信领域现有的垄断，靠单项技术的突破是不够的，必须在信息技术体系及其生态系统的竞争中取胜。近年来在实施国产自主可控替代计划中，各个软硬件之间的适配问题耗费了大量人力物力，为此，我们要强调构建安全可控的信息技术体系的重要性，从根本上予以解决。”倪光南表示。

要构建安全可控信息技术体系意义重大 核心技术不能受制于人。

倪光南认为，我国网信领域几十年的实践证明，真正的核心技术是买不来的，是市场换不到的。最关键最核心的技术必须靠自研发、自己发展，这实际上不是一个理论问题而是实践经验的总结。 在网信领域构建安全可控的信息技术体系是打破现有垄断，使核心技术能发挥作用、有用武之地，最终达到核心技术不受制于人的必要条件。

另外，他表示，构建安全可控的信息技术体系可以加速网络强国的建设。如今，中国虽然已经是网络大国，但还不是网络强国，一个重要原因就是我们还缺乏安全可控的信息技术体系的支撑，我国的信息基础设施以及信息化所需的软硬件和服务，大量地来自于外国跨国公司。由此构成的基础设施或信息系统就像沙滩上的建筑，在遭到攻击时顷刻间便会土崩瓦解。

“随着中国与发达国家的技术差距迅速缩短，外国对我们的方针也从封锁禁运变为 ‘技术合作’，但往往是以‘合作’之名，行 ‘穿马甲’之实。实际上是希望中国放弃追赶，停止构建安全可控的信息技术体系，这样，中国就会永远依赖外国，永远不能建成网络强国。 ” 倪光南表示。

加大市场化引导不违背WTO原则

“网信核心技术往往都是用出来的。” 倪光南强调。

人们常说“软件到3.0版才好用”，这对硬件也基本适用，说明任何核心技术如不通过大量使用，没有进入市场的良性循环，不能发展成熟。为此，在自主核心技术刚研发出来、还未进入市场良性循环时，如何帮助它打破垄断，进入市场，具有特别重要的意义，这就需要有“市场化引导”。例如：政府采购目录向自主可控的核心技术倾斜，在信息化项目的招投标中加入自主可控评估，实施网络安全审查制度，实施国产自主可控替代计划……

实施市场化引导对于构建信息技术体系来说非常必要。不能想象，将刚自主研发出来的一些软硬件凑在一起就能正常工作，只有通过实际使用，发现问题，解决问题，才能做好所有软硬件之间的适配，最终形成一个可实际使用的信息技术体系。

据介绍，软硬件产品从研发到市场化应用一般要经历“不可用”——“可用”——“好用”三个阶段，特别是处在“不可用”阶段时，如果没有市场化引导，很可能根本无法进入市场，没人应用也就不可能得到改进和发展。 这时特别需要为其提供市场化支持(例如通过政府采购),使这些开始“不可用”的技术也能有得到应用的机会，并在应用中发现问题，不断改进，最终从“不可用”发展到“可用”、“好用”。

有人担心加大市场化引导，会违背WTO原则，倪光南表示，其实这种担心是多余的。由于现阶段中国政府采购市场并不需要开放，运用政府采购实行市场化引导与WTO没有矛盾。此外，这些市场化引导措施往往与安全有关，在WTO中属于例外情况。

“可以看看美国的情况，它的一般消费品市场是充分开放的，但是美国的网信领域市场基本上都用美国自己的产品和服务，以软件为例，美国几乎100%用本国软件，大型软件中有影响的几乎只有德国SAP一家。以硬件为例，即使中国华为、中兴的通信产品性价比最高，却被以安全为由，不许进入美国市场。相比之下，中国网信市场的实际开放程度远远超过了美国。”倪光南举例道。

安全和发展要同步推进

倪光南认为，网信事业应当实施安全和发展同步推进。发展是硬道理，安全也是硬道理。为此，要建立必要的法规制度保障，例如贯彻实施《网络安全法》、《网络产品和服务安全审查办法》、实施多维度测评、实行等保制度等等。

“自主可控不等于安全，但不自主可控一定不安全。” 倪光南强调。

他表示，自主可控意味着不存在后门，可以主动增强安全(能掌控源代码，能自己分析研究、增强安全)，发现了漏洞可以主动打补丁等等，而不自主可控意味着丧失主动权，在网络攻击下完全处于被动挨打地位。所以应当将自主可控作为网络安全的必然要求，因为在此基础上才能构建安全可控的信息技术体系。

另外，安全可控还需要经受实践的检验和时间的考验，随着网络空间形势的发展，对安全可控的要求也在发展，一个系统的安全可控需要贯穿其全生命周期。

据介绍，在网信领域中“安全”的内涵比传统领域中“安全”的内涵更加广泛、更加全面。例如当传统汽车发展成了自动驾驶汽车，那么后者的“安全”性不仅包含了前者的“安全”性，还包含了能抵御网络攻击、能保护用户信息等等内涵，而这些本来对前者来说是不需要考虑的。 

为此，有关部门提出了实行多维度测评的要求，包括： 自主可控评估，即对产品/服务/系统的自主可控性进行评估，这种评估可以是针对CPU、操作系统等核心技术产品，也可以是针对其他软硬件或服务，甚至也可能是针对一个信息系统或一项信息基础设施。 质量测评，即对产品/服务/系统的功能、性能等等技术指标进行测评; 安全测评，即对产品/服务/系统的安全性进行测评，这种测评有可能与“等保”、“分保”的测评相结合。来源《中国电子报》