倪光南
倪光南，中国工程院院士、中国科学院计算技术研究所研究员，长期致力于推广国产芯片和操作系统。作为我国最早从事汉字信息处理和模式识别研究的学者之一，倪光南院士首创在汉字输入中应用联想功能，曾先后任中科院计算所公司 ( 联想前身 ) 和联想集团首任总工程师，主持开发了联想式汉字系统、联想系列微型机，1988 年和 1992 年两获国家科技进步一等奖，1994 年被遴选为首批中国工程院院士，2011 年和 2015 年分别获得中国中文信息学会和中国计算机学会终身成就奖。
随着信息技术和网络的快速发展，我国网络安全威胁的范围和内容不断扩大和演化，网络安全形势与挑战日益严峻复杂，如何切实维护好人民利益和国家安全， 确保我国的网信事业安全可靠、可控已经迫在眉睫。
为此，信息安全与通信保密杂志社就关于我国网络安全自主可控的有关话题，专访了中国工程院院士倪光南。
记者：目前我国网信领域的总态势是怎样的?
倪光南：当前，我国网信事业的发展存在明显的“长板”和“短板”。在长板方面，总体来看，中国的优势在于拥有世界最丰富的科技人力资源、最大的市场、世界第二大经济体实力、国家的优惠政策以及中国的举国体制等。
从技术运用领域看，主要体现在互联网应用和新一代信息技术，互联网应用包括电商、移动支付、社交、搜索等，新一代信息技术包括人工智能、大数据、5g、物联网、云计算等。
中国网信领域总体技术和产业的水平在世界居第二位，仅次于美国。中国企业在全球 ict 企业前十名中占据三席，分别是华为(华为未上市，但其估值接近苹果)、阿里巴巴、腾讯。这些应用方面的优势， 虽然不足以弥补我们在基础方面的劣势，但通过应用的牵引，能够促进技术和产业的发展，从而带动基础方面的提高，因此大力发扬“长板”的作用有很大意义。只要善于扬长避短，坚持自主创新，完全有可能在“长板”中的某个部分实现从跟跑并跑到并跑领跑的转变，5g 便是一个重要契机。
短板方面，主要是芯片和基础软件。芯片方面的短板体现在芯片设计、制造、封装测试、材料、装备、eda 设计工具等方面，具体而言， 芯片的产业链各环节不均衡。
首先，芯片设计水平具备一定的实力，例如国产高性能计算机的 cpu、服务器 cpu、手机 cpu 等等，都可与世界顶级 cpu 一争高低;其次，芯片生产水平较差，我国最大的集成电路制造公司——中芯国际(smic)在世界同类企业中排行第五;然后，集成电路生产装备国产化比率不到 20%，在材料方面，如光刻胶全部依赖进口，其他许多材料也严重依赖进口;最后，设计工具(eda)完全依赖进口等等。为弥 补短板，国家通过 ic 产业基金计划，第一期为1400 亿元，第二期投入更大，社会各界纷纷参与， 有望在十年至二十年内努力补齐这一短板。
基础软件方面的短板包括移动 os、桌面os、大型工业软件等。基础软件主要指智能终端操作系统(桌面、手机等)， 还有大型工业软件(包括 cae、cad、cam 等软件)。基础软件具有规模大、垄断性强、开发周期长等特点。基础软件短板的危害不亚于芯片短板，此前基础软件短板的危害并未充分暴露(包括安全风险和供应链风险)，目前其风险已凸显出来。基础软件的市场基本上被外国所垄断，对于我国而言，不仅在经济上需付出巨大代价，而且
存在着重大安全隐患。
我国网信领域的整体技术和产业水平已居世界第二，在对形势的估计上，我们既不能夜郎自大，也不能妄自菲薄。相比发达国家而言，中国在网信领域处于整体跟跑的状态，但有些方面已出现了跟跑、并跑、领跑并存的局面。
当前形势对中国核心技术的发展，机遇和挑战并存。一方面，通过“引进”获得核心技术已不可能;另一方面，自主创新的核心技术也更易进入市场，也将获得发展壮大的机会，华为的多年“备胎”一夜转正就是一个例子。
记者：网信事业可靠可控的着眼点是什么?
倪光南：在网信领域对技术安全的表述是“安全可控”或“自主可控、安全可信(安全可靠)”，至少是包含了“可控性” 和“安全性” 两个方面。
党的十九大报告中提出要统筹传统安全和非传统安全，网络安全属于非传统安全，其内涵比传统安全广泛。此前国家网信办公布的《网络产品和服务安全审查办法》将网络安全审查分成“安全性”审查和“可控性”审查，2019年公布的《网络安全审查办法》将审查内容进一步扩大，包括审查“可控性、透明性以及供应链安全” 以及其他多个方面，概括性地分析，这些审查主要是审查能否满足“自主可控”的要求。
自主可控是实现网络安全的前提，也是必要条件，但并不是充分条件。换言之，采用自主可控的技术不等于实现了网络安全，但没有采用自主可控的技术则一定不安全。以可控性为例，假设消费者购买了一辆传统汽车，自然拥有了对汽车的控制权，一般不需考虑可控性，只需考虑安全性。但是，如果购买的是自动驾驶汽车，这辆汽车是一件网信产品，那么其安全性就变得复杂。即使汽车本身的安全性没有问题，但它可能被黑客劫持，这时汽车的控制权就被黑客掌控，黑客可以遥控汽车，使其不受驾驶员的控制，甚至导致车毁人亡，这便是可控性出了问题。由此可见，对属于非传统安全范畴的网络安全而言，离不开自主可控。
记者：请您具体谈谈对“网络安全关键核心技术要自主可控”这句话的理解。
倪光南：网络安全的核心是技术安全，技术安全的一条核心原则就是关键的核心技术要自主可控。核心技术是我们最大的“命脉”， 实现网络安全，要尽可能把关键核心技术掌握在自己手里，才能避免处于被动地位，“网信领域具有高垄断性，新进入市场的国产软硬件如果不能打破垄断，就没法实现替代”。
过去我们对自主可控没有形成制度支撑， 因而不能及时发现短板，容易被人“卡脖子”。现在我国技术自主可控的情况依然堪忧，迄今为止，我国政府采购等活动中仍有不利于自主可控的情况，影响了重要部门的网络安全。
目前“穿马甲”情况严重，也就是将不能自主可控的外国技术，假冒国产自主可控技术， 混入政府采购和重要领域，(可能)成为特洛伊木马。我国亟需制订自主可控测评评估标准并由专门机构实施，形成制度保障。
自主可控测评还需要适应形势的发展，例如现在根据美国法律，如果根源在美国的技术发展，就会被计入属地比重，范围包括 ip 与相关核心技术，若美国技术成分占比超过 25%，就会受到美国法律的管辖，这种情况也要在自主可控测评中加以考虑。
实践证明，如果网络安全空间不能实现自主可控的话，将有很大的风险。换句话说，只要不是实现完全自主可控，就有随时被“黑” 的可能性。
记者：自主可控的落实点如何来体现?
倪光南：自主可控需制订客观、科学的测评标准，并由第三方机构实行测评;在关系到网信安全的重要场合，自主可控测评可起“一票否决”作用。为了客观地、科学地评估自主可控程度，有关部门提出了实行多维度测评的要求，即除了以往已经实施的“质量测评”和“安全测评”外，再增加了“自主可控测评”。
因此，多维度测评包含：自主可控测评， 即对产品 / 服务 / 系统的自主可控性进行评估， 该评估既能够针对cpu、os等核心技术产品， 也能够针对其他软硬件或服务，甚至也可针对一个信息系统或一项信息基础设施;质量测评， 即对产品 / 服务 / 系统的功能、性能等技术指标进行测评;安全测评，即对产品 / 服务 / 系统的安全性进行测评，此种测评往往是实施“等保”“分保”制度的必要内容。
当前，我国网信领域要求采用自主可控的技术和产品，特别是要求实现关键核心技术自主可控。过去三十多年，我国发展主要靠引进第三次工业革命的成果，基本是利用国外技术， 早期是二手技术，后期是同步技术。而现阶段， 不仅无法从他国获取关键核心技术，而且也很难获得一般的高技术，因此在引进高新技术上不能抱任何幻想，应当改变过去造不如买、买不如租的逻辑。
记者：未来网信领域的新常态将是什么?
倪光南：目前在网信领域，国产自主可控核心技术和软硬件已经逐步具备了替代进口的能力，今后实施国产自主可控替代将成为网信领域的新常态。
在网信领域，一项技术能否存活，往往不取决于性价比而取决于是否有相应的技术体系和生态系统的支撑。新研发出来的国产软硬件必须具备对原先市场垄断者的替代能力，才能在市场中取得一席之地，如果不能替代就根本进不了市场。我们可以看到，在今后相当长的时期里，网信领域的国产软硬件对原先市场垄断者的替代将是一个新常态，这是由中国实施的网络强国战略和自主创新指导思想所决定的。经过十多年的艰苦奋斗、自主创新，我国的北斗卫星导航系统正在逐步替代 gps 系统。当前桌面计算机技术体系的竞争格局是：国产“1 3” 架构对 wintel 架构。“1 3” 即国产 linux 操作系统 3 种国产 cpu(申威 / 飞腾 / 龙芯);wintel 架构即 windows 操作系统 intel 架构 cpu;近来我国金融等行业的数据中心已主要转为由 intel x86 服务器 oracle 数据库所构成。最近，国产 cpu( 如飞腾、鲲鹏等)集群 航天天域分布式数据库的整体性能都能超过 ibm 小型机、intel 最新 8 路服务器最高性能，为实施这一替代创造了条件;另外一个案例是国产工控实时操作系统 sylixos 对 vxworks 的替代， 现在 sylixos 正在一些领域推广应用，显示出替代 vxworks 的能力。
所以，为了尽快突破网信核心技术，应当“加快推进国产自主可控替代计划，构建安全可控的信息技术体系”。
记者：未来受 5g 影响最大的是哪些行业， 在网络安全方面又该注意哪些问题?
倪光南：通信和 ai 领域将是未来受 5g 影响最大的行业。5g 作为基础设施，作为新一代信息技术，由于其公共性，对 ai、物联网、大数据、云计算、移动互联网影响深远。
当然 5g、大数据等各种新技术，对于数据安全、网络安全要求更高。关于网络安全的概念， 我们应该跳出过去传统安全的框架，党的十九大提出统筹传统安全和非传统安全。有的网络产品看起来很好，但它可能被黑客控制了。用传统观点看，传统汽车本来是安全的，但是安全性还得加上可控性。很好的汽车故意撞人了， 这种可控性很难把握。我相信网络安全的要求对任何新一代信息技术都有很大影响，这既需要满足一般的安全要求，又要对新的网络技术实现可控。这种情况下，大家会给网络安全提出更高要求。
最后，倪光南强调，任何制度都要靠人去实施，人们的认识水平对于实现自主可控至关重要。对企业而言，应提高对自主可控的认识，在规划产品时对技术掌握程度、知识产权合法性、供应链安全等都要有周密的调查和部署，甚至要考虑到在别人切断供应时有没有备份系统顶上去。对用户而言，支持和选用国产软硬件从一定意义上说就是为自主可控作贡献。广大用户应增强网络安全意识，积极选用国产软硬件，并及时反馈使用中发现的问题，帮助国产软硬件不断提升技术水平，更好地保障我国网络安全。