信息产业在宏观上表现有明显的生态性,如产品生态、应用生态、开发环境生态等等,其健康有序发展不是仅仅依靠几项核心技术的突破就能保证的,而需要从产业链上下游协作和生态体系建设等方面实现。
虽然部分源代码和技术的开放,为我们提供了加快技术发展的机遇,但目前的这种浅层次的合作授权模式,难以做到期望的核心技术消化吸收,难以改变核心技术受制于人、信息安全受制于人的现状。
近年来,随着网络安全和自主可控等政策的出台,在催生了规模可观的国产化IT市场的同时,也重创了国外企业级IT厂商的在华业务,为此,IBM、Intel、AMD、惠普、思科、微软、高通、EMC、VIA等境外IT巨头纷纷积极寻找中国本土的战略合作伙伴。
有观点认为,通过和境外IT巨头合作,有可能通过这样的合作帮助其掌握核心技术,借力IT巨头的成功生态圈加速管理变革并与国际接轨,同时也能够顺应中国政府“保障信息安全、核心技术自主可控”的科技发展战略。
不过从长远发展角度分析,这种做法对中国的信息技术水平提升,虽有一定作用,但对整个国家的信息安全来说,却存在挑战和隐患。
来华合资的主因是国家出台自主可控政策
随着西方经济持续低迷不振和中国经济的蓬勃发展,加速国家相继出台一系列网络安全和自主可控政策,越来越多的境外IT巨头赴华寻找战略合作伙伴,以成立合资公司的方式将品牌本土化。
于是自2012年开始,EMC、VIA、惠普、IBM、思科、ARM、高通、Intel、AMD、微软先后在中国设立合资公司或开展技术合作,推出所谓“符合中国安全可控标准”的产品,一些产品甚至还打进了党政军市场。
这种以共同组建合资公司的形式,积极推行境外品牌本土化战略,既显示了境外巨头对中国市场的重视,某种程度上也是对中国市场做出的重要让步。但本质上是境外IT巨头在国家出台对自主可控的政策要求下的妥协产物。
由于境外IT巨头无法舍弃中国这个全球第二大IT市场,遂借助合资的方式取得合法身份,减少国家政策和当地社会对外来资本的危机情绪,深度介入蒸蒸日上的中国IT市场甚至敏感行业市场,从而获取丰厚利润。
这种做法虽然对外资有利,但对中国未必有利可图。虽然部分源代码和技术的开放,为我们提供了加快技术发展的机遇,但目前的这种浅层次的合作授权模式,难以做到期望的核心技术消化吸收,难以改变核心技术受制于人、信息安全受制于人的现状。
更为重要的是,如果没有合理有效的监管和引导,还容易造成国外IT生态对国内产业的进一步垄断,无助于国内产业发展与技术能力的培养,影响我国信息安全产业的自主发展进程,动摇自主产业格局和生态。
成立合资公司会带来三大隐患
虽然在理想状态下,通过和境外IT巨头合作,引进国外IT品牌固然可以充分利用国外IT产品业已形成的软硬件生态,在短期取得一定的进展,但中国只能在现有的产业格局中取得一定的经济利益,不可能形成自主的软硬件能力,反而容易造成国内企业继续依赖现有国外IT生态的惰性。
此外,这种做法还存在三大隐患。
1、无法掌握核心技术
对于国外IT品牌的本土化,目前其绝大部分做法都是向国内企业提供“授权”而非“转移”知识产权,“授权”的目的仅仅在于可供国内企业能够合法地使用国外企业的知识产权,国内企业并不真正拥有该知识产权。
因此在核心技术及其发展决策方面,即便合资企业由国内资本控股,国内企业也仍然不具备核心技术及其发展的话语权。
举例来说,近期微软和中电科的主要合作内容,并没有涉及核心技术和知识产权,也不涉及Windows系统内核开发能力培训、以及技术共享和转让。而微软Windows和设备集团副总裁Yusuf Mehdi也表示,“微软将保留所有关于Windows 10的技术知识产权”。
另外,即便是“授权”,国外厂商为了长远自身利益考虑,目前也并没有在核心技术或知识产权上对中国进行开放:IBM在针对Power CPU的对外授权中,浮点运算单元等关键部件是受到美国出口限制的;Intel公司也并不向任何第三方提供X86指令集授权;虽然ARM公司在授权方面相对Intel更加开放,但也在授权同时提供了很多限制性条款,如非永久性授权、授权指令集不得自行修改扩充、被限制使用范围等……
从实践上看,与境外IT巨头的合资或合作,大多没能掌握核心技术。这样的例子不少……
目前信息产业大部分核心技术掌握在以美国为首的西方国家中,美国对中国的遏制策略是长期国策,对于真正重要的信息产业核心技术,即使美国企业出于自身利益考虑希望出口,美国政府层面也不可能同意。
2、存在安全隐患
过去,国内应用系统生长在国外基础技术平台之上,Intel和微软等国外厂商把基础软硬件做成了黑盒子,导致应用软件研发人员对软硬件底层机理不清,安全无法得到保障。
现在,国外厂商愿意把部分代码授权给国内,使过去的黑盒子变成灰盒子,以表明开放合作态度。但事实上,国外厂商的开放只是有限程度的开放,对于一些关键的代码或者说明,很难做到完全公开透明,所谓灰盒子相对于黑盒子仅仅是五十步和一百步的区别,依旧存在一定安全风险。
举例来说,早些年微软就号称把所有Windows源代码交给了中国政府审查备案,但即便如此,中国并未完全掌握对Windows全部代码的解读吸收能力。
再如我国一公司与AMD合资,本质上是AMD向中国出售IP核授权,如果是购买硬核授权,那么安全就无从谈起;如果是购买软核授权,其安全性也非常值得商榷,因为对软核做安全后门与隐患分析是非常困难的事情,需要完全读懂上千万行代码,其困难程度可能不亚于建立自主的产业生态系统。
购买CPU核在安全方面的隐患在于发展权不在自己手里,CPU软核一般2-3年就升级一次,老的软核还没有分析完,新的软核又要做安全分析,从最坏的前景考虑,国外还有可能停止供应软核......
另外,X86指令集也存在安全风险。经国内单位实测,发现X86指令集存在未公开指令,包括加解密、浮点操作在内共计二十余条,其中,有三条指令在用户模式就可以使机器死机或重启,作用机制直接穿透各种软件保护措施,防护软件不能感知;普通应用程序中嵌入一条即可使系统宕机。
从黑盒子到灰盒子,虽然看似国外厂商在开放程度上有所进步,但更多的还只是国外厂商所体现的一个姿态,把部分代码授权给国内公司的做法始终存在一定安全隐患。
3、扼制自主技术发展
信息技术产品与一般的工业产品不同,信息化产品软硬件之间互相依存,构成了一个庞大的信息产业生态体系。而这个体系中的任何一个点技术(芯片或软件)都不是目的,而是控制产业生态的手段。
IT基础产品的应用不但涉及到产品自身,还涉及到由该产品平台所承载的信息内容,网络文化甚至意识形态,而单纯地采取国外品牌本土化策略,容易造成国外IT生态对国内产业的进一步垄断,反而不利于我国信息安全产业的自主发展。
目前,国产自主软硬件发展到了关键阶段,经过“十五”、“十一五”、“十二五”的努力,已经在武器装备、指挥系统、党政军信息化等方面做到了基本可用。但国外垄断企业在以CPU和操作系统为代表的基础软硬件产品中已经形成很强的垄断,国内的力量还比较薄弱。这些国外品牌现在进入中国,并对引进与合作表现出开放的态度,其根本目的是为了进一步加强自身产业生态形成的垄断。
这些国外品牌厂商在进入中国后,可更加方便地打着“国产”旗号,进入与国家安全有关的重要行业,对我国在相关安全领域发展自主可控产业的已有布局带来干扰,同时也对国内自主企业的发展造成了不利局面,也对真正自主企业的发展造成了市场、舆论以及人才培养方面的干扰。
亡羊补牢,为时未晚
习近平总书记曾多次强调信息安全和产业发展要统筹兼顾,指出“安全和发展是一体之两翼、驱动之双轮。安全是发展的保障,发展是安全的目的”、“没有网络安全就没有国家安全,没有信息化就没有现代化”,明确提出中国“要有自己的技术,有过硬的技术”,号召建设“战略清晰、技术先进、产业领先、攻防兼备”的世界一流网络强国。
为确保国家信息安全战略的实施和我国信息产业的持续发展,可实施以下措施:
一是加强国家对国企和地方政府引进国外IT核心技术的思想引导和统筹规划,建立健全审查审批制度,事先审查,避免以经济效益为唯一指标盲目、重复引进。
信息产业的发展不仅仅需要考虑到经济因素,也要考虑到国家信息安全战略因素。因此,在企业和地方政府引起国外IT核心技术、与国外厂商成立合资公司的问题上,国家宜加强统筹规划和指导,兼顾安全与发展、市场效益与本土保护,避免企业和地方政府盲目、重复引进,造成安全隐患,甚至对本土信息产业的健康发展造成冲击。
二是建立健全自主可控测评认证标准,对已引进或引进后的IT项目进行分级认证,严格确保党政机关、关键行业的信息安全。自主可控是我国信息化发展的重要目标,同时也是对相关企业、科研院所自身能力和进入党政机关、关键行业市场资质的重要评估标准。自主可控包含的范围很广,除了关键核心技术自主可控外,还包括技术能力自主可控、发展主动权自主可控、供应链自主可控等。
最基本的,在党政机关和关键行业,需要从本土或合资厂商对体系架构修改能力、核心技术掌握程度、核心技术修改能力、关键模块自主替换能力等方面做定量评估。建议有关部门深入探讨,以自主可控、安全可信为基本原则,兼顾生态建设、产业发展,制定相关测评认证标准,在政府机关和关键行业建立严格的审查制度,强化国家信息安全战略得到有效实施。
同时,该测评认证标准可以倒逼引进国外技术、与国外厂商成立合资公司的本土厂商加强自身能力建设,做好国外先进技术的承接和真正落地。在具体实施过程中,各厂商也要做好规划,可以按照安全透明、安全可控、自主安全的步骤实施。
其中,安全透明是对引进的设计从实现原理上进行分析,确保没有不掌握的黑盒子和恶意后门。安全可控是持续消化吸收,进行针对性地安全分析,如果有安全问题能够自主修改。自主安全是在坚持自主发展原则的基础上,引进消化吸收国外先进技术所要实现的最终目的,全面形成自主设计能力,融入自主的安全技术和安全标准。
三是加强本土信息产业生态体系的建设与扶持力度,确保行业话语权,最终建成自主可控、健康健全的信息产业生态体系。
信息产业在宏观上表现有明显的生态性,如产品生态、应用生态、开发环境生态等等,其健康有序发展不是仅仅依靠几项核心技术的突破就能保证的,而需要从产业链上下游协作和生态体系建设等方面实现。
因此,我国信息化发展过程中要积极布局产业生态体系的建设,尤其是政府有关部门要从政策制定、产业引导、资金投入上积极部署,逐步摆脱对国外核心知识产权与生态系统的依赖。加大技术创新投入力度,在国际和国内市场争取更多的行业话语权。