據(jù)美國政府公報網(wǎng)站《聯(lián)邦公報》5月26日消息，美國商務(wù)部工業(yè)和安全局（下簡稱“BIS”）發(fā)布《信息安全控制：網(wǎng)絡(luò)安全物項》（No. 220520-0118）。

根據(jù)該規(guī)定，出于所謂國家安全和反恐需要，美國實體（如互聯(lián)網(wǎng)企業(yè)）與中國政府相關(guān)的組織和個人就網(wǎng)絡(luò)安全漏洞合作時，要先經(jīng)過美國商務(wù)部審核。

在新規(guī)征求意見階段，微軟就提出異議，但未被美國當(dāng)局采納。

《聯(lián)邦公報》文件截圖

如何理解美國商務(wù)部此次新規(guī)出臺的背景？

匯業(yè)律師事務(wù)所高級合伙人楊杰律師對觀察者網(wǎng)表示，從美國商務(wù)部此次關(guān)于網(wǎng)絡(luò)安全物項出口管制新規(guī)出臺的背景來看，其主要的依據(jù)還是2013年瓦森納協(xié)定國之間就控制網(wǎng)絡(luò)安全物項達成的共識。網(wǎng)絡(luò)安全物項既有技術(shù)，又有軟件。在瓦協(xié)看來，它們既可以用于民事，也可以用于軍事：比如像一些監(jiān)聽、入侵的軟件和技術(shù)，它們可能會被未來的敵國用于大規(guī)模的網(wǎng)絡(luò)戰(zhàn)，給西方國家?guī)砭W(wǎng)絡(luò)安全問題。

瓦協(xié)是美國主導(dǎo)下，西方盟國對軍民兩用物項進行管控的一個國際組織，中國是被排除在這個組織之外的。在2013年瓦協(xié)共識的基礎(chǔ)上，美國商務(wù)部后來開始針對網(wǎng)絡(luò)安全管控物項，起草有關(guān)出口管制的意見稿，供微軟等眾多美國企業(yè)討論，并最終形成了現(xiàn)在出臺的新規(guī)。其目的在于：該框架既足以“保護美國國家安全”，又不會對美國網(wǎng)絡(luò)公司的正常經(jīng)營活動造成影響。

2013年，瓦協(xié)將網(wǎng)絡(luò)安全物項納入多邊管制清單 資料圖

在上述管控基礎(chǔ)上，美國還創(chuàng)設(shè)性地設(shè)立了ACE許可制度（Authorized Cybersecurity Exports，即經(jīng)授權(quán)的網(wǎng)絡(luò)安全物項出口例外）。符合相關(guān)條件的網(wǎng)絡(luò)安全物項的出口和交流，是不需要向美國商務(wù)部申請許可證的。反之則需要許可證。

當(dāng)美國公司和外國公司就特定網(wǎng)絡(luò)物項進行合作時，如果美國商務(wù)部認定其不會影響美國國家安全和反恐利益，那么就會頒發(fā)許可證。對應(yīng)的，沒有許可證的相關(guān)出口和交流活動，將會受到限制和阻礙。

世界上絕大多數(shù)國家被美國ABCDE分組（C組名單為保留項）管控。其中的A組國家往往都是美國的盟友，例如瓦森納協(xié)定國；E組國家主要是被美國認定為“敵對國家”的朝鮮、伊朗和古巴等；而D組國家，大多被視為美國的“戰(zhàn)略競爭對手”，比如中國和俄羅斯。

美國工業(yè)與安全局網(wǎng)站截圖

在美國一攬子管控機制下，中國受限較多。比如許可例外制度，對D組國家就有一種不適用的情況：如果你的合作對象是高度敏感的D組國家的政府用戶，比如中國政府資助的大專院校實驗室、公檢法機關(guān)等，是不適用ACE許可例外制度的。

楊杰表示，對于出口管制文件規(guī)定ECCN編碼下的網(wǎng)絡(luò)安全物項，只可以在中國市場出售給四類“非政府用戶”，它們是：美國企業(yè)在華子公司、銀行和金融服務(wù)公司、保險服務(wù)公司和從事人體和生命安全的醫(yī)藥機構(gòu)。同時，網(wǎng)絡(luò)安全補?。╒ulnerability disclosur）和網(wǎng)絡(luò)事件響應(yīng)（cyber incident response）是可以和“非政府用戶”合作的。

楊杰指出，過去很多有關(guān)網(wǎng)絡(luò)安全漏洞的技術(shù)分享都是在開源社區(qū)中展開的?，F(xiàn)在美國出臺了管控新規(guī)，那么像微軟這樣的企業(yè)，在從事開源社區(qū)相關(guān)技術(shù)合作的時候，就會很猶豫——它無法確定自己的合作對象到底有沒有中國官方背景。如果是政府用戶，是不允許進行網(wǎng)絡(luò)安全方面的分享合作的。