2014年5月22日，国家互联网信息办公室宣布我国即将推出网络安全审查制度，对进入中国市场的重要信息技术产品及提供者进行安全审查，这无疑将为维护国家网络安全提供有效的法律依据，对于网络强国建设具有重大推动作用。综观全球，与信息技术产品和服务有关的审查不胜枚举，网络安全审查已成为各国维护网络安全、争取国家利益的重要手段。

一 产品审查持续受重视

美、英等发达国家从20世纪开始便持续重视对信息技术产品的安全审查。近年来，除关注产品本身的安全以外，美国国防部、情报机构、司法部、商务部等政府机构还纷纷加大了对供应链安全的审查力度。

（一）美国NIAP审查

2000年1月，国家电信与信息系统安全委员会（后更名为国家安全系统委员会）发布文件NSTISSP#11（后更名为CNSSP#11），规定要进入国家安全系统的、商业现货的信息安全产品及信息安全相关产品，首先必须通过美国国家信息保障联盟（National Information Assurance Partnership，NIAP）通用准则评估认证体系（Common Criteria Evaluation and Validation Scheme，CCEVS）的评估认证，政府部门采购该类产品时，必须从NIAP的授权产品清单中选择满足安全要求的产品。其中国家安全系统是指属于美国政府部门的、处理涉密信息及军事、情报等敏感信息的信息系统。

NIAP由国家安全局和美国标准技术研究院联合成立，主要成员为双方的专业技术和管理人员。其审查范围包括所有政府部门采购的、用在国家安全系统中的、商业现货的信息安全产品（如防火墙、入侵检测）或信息安全相关产品（如操作系统、数据库管理系统）。CCEVS的认证标准为《信息技术安全性通用评估准则》（Common Criteria，CC）和保护轮廓。送审企业在提交评估产品之前要完成安全目标描述，内容包括产品概述与安全特征、潜在安全威胁评估，以及产品与所选保护轮廓的符合性。NIAP委托经其认可的检测实验室检测产品与保护轮廓的相符程度。

（二）美国供应链安全审查

2013年以来，美国政府颁布了一系列法律法规，明确要求政府机构在信息技术采购过程中严格执行供应链安全审查。

2013年11月，美国国防部颁布第2012-D050号临时政策作为国防联邦采购补充条例，要求国防部在采购信息技术时，必须将“供应链风险”作为评估重点。该临时政策适用对象广泛，包括国防部所有网络或系统中的每种组成部分，还包括直接向国防部销售的商业现货产品，以及向国防部提供服务的供应商所使用的任意设备及其组成部分。该临时政策授权国防部出于降低供应链风险的原因，可以取消不满足质量要求的供应商的投标权，甚至可以特别指定不同意合同商分包给某个供应商，且不必向承包商披露具体原因，也不接受对投标决定的申诉。该临时政策没有指定可供承包商和供应商评估自身供应链风险的明确标准。

2013年12月7日，美国国家情报总监发布第731号情报机构指令，要求情报共同体的所有成员在IT采购中充分考虑供应链风险，并规定出于保护国家安全的需要，机构可不必披露基于供应链风险评估而取消承包商资格的具体原因。

2014年1月17日正式签署为法律的《2014年统一拨款法案》明确了美国司法部、商务部、国家航空和航天局及美国国家科学基金会的拨款规定。法案第515节（“狼条款”）指出，这些机构的任意“高影响级”或“中影响级”的信息系统或网络的采购必须事先通过供应链风险评估。

（三）英国IT安全评估与认证

英国政府自1989年起实施了英国IT安全评估与认证计划，以评估和确认IT技术产品和系统的安全特性的可信程度。英国的IT安全评估认证机构由商业工业部和英国通信电子安全小组（Communications-Electronics Security Group，CESG）共同建立，行政上由CESG领导。CESG是隶属于英国政府通信总部（Government Communications Headquarters，GCHQ）的一个文职机构，其前身是通信电子安全局，负责保证政府和军事通信的安全。

目前，审查依据的评估认证标准为CC标准，原有的IT安全评估标准已不再使用。在认证机构的监督下，由商业评估机构实施认证。商业评估机构是认证机构指定并通过英国国家实验室认可机构认可的实验室，其业务受认证机构监督并与CESG签署相关合同。

二 云服务审查如雨后春笋

通过采用云计算服务提高工作效率、降低采购成本已经逐渐成为世界各国政府部门的普遍做法。自2012年以来，美国、英国、澳大利亚等越来越多