我国信息安全标准制定面临两大难题

“在信息安全方面，目前我国惟一能做到的就是将国内的密码运用到TPM上，其他方面基本拿不出标准提案来，形势非常严峻。

标准制定面临空中楼阁

随着政务信息化的飞速发展，安全问题日益凸显，每年由各类安全事件造成的损失数以亿计。其中既包括来自外部的威胁，如蠕虫、黑客、间谍软件等，也包含内部人员违规操作或者恶意破坏造成的安全隐患。“目前，信息安全已经形成一个巨大的产业，但是，由于信息安全行业发展的时间较短，需要分析和探讨的问题也较多。”吕诚昭表示，信息安全标准的制定就是其中之一。

但是，目前我国制定信息安全标准首先缺少基本的支撑。一方面，我国缺乏国家信息安全状况的基本数据，关于我国网络目前受攻击状况数据使用的是来自美国FBI的统计；另一方面，我国也没有网络受到攻击后的损失数据，目前的统计均来自美国FBI。此外，现在整个网络的脆弱性分析也没有准确数字。“这些是制定信息安全标准首先要迈过的一关。”吕诚昭表示。

话语权缺失

“思科曾经问，中国为什么要制定自己的标准？”对这一问题，吕诚昭表示，中国不是要脱离国际社会，闭门制定自己的标准，而是“在国际标准中，中国应该有发言权。”

一方面，信息安全产业保密性非常高，企业加入相关领域标准组织，不但被严格分级，而且要就相关标准的知识产权和专利签署保密协议，不向未加入标准组织的企业公开。“如果在制定国际标准时，中国没有争取‘发言’，那么在国际标准出台后，中国就被挡在国际信息安全标准的大门之外。”吕诚昭表示。

另一方面，没有相关标准就意味着要向国际标准组织缴纳高额专利费。“一旦相关国际标准组织要向中国企业收取专利费时，中国的IT业尤其是PC产业将面临严峻挑战。”吕诚昭表示，目前我国高新技术产业利润只有1.9%，如果IT企业被收取大量专利费，企业利润将会更低，并且很多小企业将重现DVD每年减少数百家的局面。“中国只有在国际标准中占有一席之地，同标准组织谈判时，才会降低中国企业缴纳专利费用的额度”。

但是目前我国在制定信息安全标准方面，形势并不乐观。“目前我国惟一能做到的就是将国内的密码运用到TPM上，其他方面基本拿不出标准提案来，形势非常严峻。”吕诚昭表示，现在我国信息安全标准的制定主要依靠科研单位，与国际上主要依靠企业的通行做法相去甚远。

为改变这一现状，全国信息安全标准化技术委员会正在积极努力，吸纳更多企业参与我国信息安全标准制定的工作。但吕诚昭表示：“参与其中的企业非常有限。”