攸關(guān)政府資安設(shè)備採購的臺銀共同供應(yīng)契約—網(wǎng)路及資訊安全設(shè)備類(LP5-990074),自從去年新制訂出「加值服務(wù)選項(xiàng)」規(guī)格,要求必須通過資訊安全產(chǎn)品評估之共同準(zhǔn)則(Common Criteria, CC)ISO/IEC 15408定義之評估保證等級(EAL)檢測認(rèn)證之產(chǎn)品可被採購勾選。公告一出,對臺灣資安設(shè)備市場造成不小衝擊。而NCC經(jīng)過一年努力推動(dòng)臺灣版資通設(shè)備安全檢測認(rèn)證,並期望在今年7月臺銀換約時(shí)也被納入加值服務(wù)選項(xiàng)認(rèn)可中,但目前看來仍有變數(shù)。
去年臺銀祭出這項(xiàng)公告,首波是在入侵偵測防禦系統(tǒng)、防火牆與防毒閘道器等三類產(chǎn)品的採購案中。據(jù)臺銀統(tǒng)計(jì),自去年公告至今年4月為止,在這三類的產(chǎn)品採購案中,有近半數(shù)的採購案均勾選需要此加值服務(wù)選項(xiàng)功能。
而有無加值服務(wù)功能最大的差別就是反映在售價(jià)上。以1Gbps吞吐量的防火牆來說,含加值服務(wù)功能的產(chǎn)品售價(jià)約比不含此功能的產(chǎn)品高出5倍,而以500Mbps的入侵偵測防禦系統(tǒng)來說,也有2倍的價(jià)差。
由於目前取得CC認(rèn)證以外商品牌居多,因此市場上呈現(xiàn)幾家歡樂幾家愁現(xiàn)象。在國外政府標(biāo)案市場中,常見資安設(shè)備以國土安全為由,被設(shè)定採購門檻,外商需要配合該國各種規(guī)定才有機(jī)會得標(biāo)。本土廠商認(rèn)為此次臺灣政府不扶植本土業(yè)者就罷了,臺銀此舉將本土品牌屏除在這些加值選項(xiàng)之外,將不利國內(nèi)資安產(chǎn)業(yè)的發(fā)展。
通傳會NCC所推動(dòng)的臺灣版CC認(rèn)證,其包含書面審查與實(shí)機(jī)檢測兩部分,目前已制定出8類資通設(shè)備安全檢測技術(shù)規(guī)範(fàn)(網(wǎng)路型防火牆等8類IS0008~IS0015),而國外CC認(rèn)證只包含書面審查。然而自去年NCC開始舉辦檢測說明會,迄今本土廠商投入準(zhǔn)備此認(rèn)證的廠商卻不多,有業(yè)者認(rèn)為此認(rèn)證目前尚未被臺銀共同供應(yīng)契約認(rèn)可,耗費(fèi)金錢、人力資源投入也未必看得到結(jié)果,目前先觀望。
臺銀委託二科表示,此認(rèn)證能否暨CC之後,也被納入加值服務(wù)選項(xiàng),目前仍在研議中,將視取得認(rèn)證通過的家數(shù)來衡量。NCC技術(shù)管理處羅金賢副處長指出,近期將與臺銀協(xié)調(diào),請臺銀支持政府政策,將技術(shù)規(guī)範(fàn)納入加值服務(wù)選項(xiàng)當(dāng)中。