东西方研究所-化解技术民族主义-2020.6-36页_2mb

《化解技术民族主义：管理网络供应链风险的安全与信任方案》总结

核心内容

本报告由东西方研究所的 Andreas Kuehn 和 Bruce W. McConnell（迈康纳）撰写，探讨了技术民族主义（TechNationalism）在信息通信技术（ICT）供应链中的影响，并提出了一套基于保障、透明度和问责制的解决方案，以平衡国家安全、网络安全与经济利益之间的关系。

主要观点

• 技术民族主义的背景：ICT 产品和服务在全球供应链中广泛存在，其安全性和可靠性对国家经济、安全和认同至关重要。然而，ICT 供应链的复杂性使得其容易受到攻击、污染或操控，因此各国政府纷纷采取措施限制外国 ICT 产品和服务的使用。

• 技术民族主义的弊端：尽管这些措施旨在提高安全性，但它们可能带来市场扭曲、阻碍创新、降低竞争力，并对全球贸易和外交关系造成负面影响。此外，技术民族主义可能引发技术与经济的脱钩，威胁全球经济的长期增长。

• 解决方案框架：本报告提出了一个包含五个部分的解决方案，涉及组织、行业和生态系统三个行动领域，旨在通过透明、可问责和安全的措施，提高 ICT 供应链的安全性和可靠性。

关键信息

1. 技术民族主义的驱动因素

• 国家安全：担心外国政府对 ICT 产品和服务的干预或影响。
• 地缘政治竞争：ICT 技术成为国家间战略竞争的新领域。
• 经济利益：维护本国 ICT 行业的竞争力和自主性。
• 网络空间主权：各国对网络空间的主权定义和治理模式不同，加剧了技术民族主义的发展。

2. 技术民族主义的弊端

• 市场扭曲：限制性政策可能减少竞争，导致价格上涨和创新受限。
• 安全风险：单靠技术民族主义无法确保全面的安全，反而可能掩盖漏洞和风险。
• 国际关系紧张：技术民族主义可能引发贸易壁垒和外交摩擦。
• 经济成本：实施技术民族主义政策会带来高昂的合规和管理成本。

3. 解决方案：保障、透明度和问责制

3.1 保障

• 安全开发流程：如安全开发生命周期（SDL）和软件质量保证（SQA）。
• 安全配置与运维：确保产品交付和使用过程中的安全性。
• 漏洞管理：建立漏洞披露机制和漏洞赏金计划，提高安全响应能力。
• 安全测试与评估：通过第三方测试和评估确保 ICT 产品的安全性。

3.2 透明度

• 透明度报告：供应商应提供关于其产品和服务的透明信息。
• 软件物料清单（sBOM）：确保产品组件的透明度，便于追踪和管理安全风险。
• 供应链风险管理：供应商需提供其供应链安全实践的说明，以提高整体信任度。

3.3 问责制

• 合同义务：要求供应商遵守安全标准并履行相关责任。
• 法律追责机制：通过法律手段对供应商的不合规行为进行追责。
• 行业联盟与认证：如 ICT 安全评估联盟、NESAS 等，为供应商提供评估和认证框架。

4. 五个组成部分

4.1 第一部分 - 组织：风险告知型采购要求

• 采购方应制定基于安全和风险的采购政策。
• 引入安全开发生命周期、软件质量保证、安全配置、安全运维流程等标准。

4.2 第二部分 - 行业：由采购方主导的安全要求

• 建立行业联盟，推动供应商提高安全标准。
• 推动 sBOM 的使用和供应链风险实践声明。
• 要求供应商提供董事会声明和参与安全评估联盟。

4.3 第三部分 - 行业：由供应商主导的保障和透明度要求

• 供应商应主动参与国际标准制定。
• 推动漏洞披露机制、漏洞赏金计划和独立评估。
• 建立行业安全评估与认证计划。

4.4 第四部分 - 生态系统：区域透明中心

• 建立区域透明中心（RTC）以促进供应商的透明度和安全性。
• 提供统一的测试和评估标准，提高互认性。
• 与政府和企业合作，推动 ICT 安全性评估。

4.5 第五部分 - 生态系统：全球合规项目

• 建立全球范围内的合规项目，以统一标准和提高信任。
• 例如，美国的 CMMC 和欧盟的网络安全认证框架。
• 强调国际标准的必要性，以避免各国对 ICT 产品实施不一致的安全要求。

行动路线图

• 短期行动：

  • 实施保障、透明度和问责制方案。
  • 将供应链风险管理纳入企业风险管理体系。
  • 推动威胁和漏洞信息共享。

• 长期行动：

  • 与行业合作，制定符合国家安全和经济利益的政策。
  • 推动国际标准和规范的制定与采用。
  • 建立全球性的 ICT 合规项目和评估体系。

总结

• 技术民族主义虽然有助于国家安全，但其潜在风险不容忽视。
• 本报告提出的解决方案强调透明、可问责和安全的协同作用，有助于降低供应链风险。
• 通过多方合作，包括政府、企业、行业协会和国际组织，可以建立一个更加安全、可靠和公平的全球 ICT 供应链生态系统。
• 该方案旨在减少技术民族主义的负面影响，同时增强 ICT 产品的安全性和可信度。

致谢

本报告由东西方研究所撰写，感谢多位专家和机构在报告编写过程中提供的建议和协助，包括 Kamlesh Bajaj、Paul Evans、Tara Hairston 等。