英国政府如何落实可信要求

英国政府和业界几年前已经开始重视软件可信能力。英国标准协会（BSI）于2014年发布了《软件可信：治理和管理》规范，2018年又代之以《信息技术系统可信：治理和管理》规范。

不过，英国政府对可信的重视为中国业界同行所知，大约是从他们以“软件可信能力欠缺”为由限制华为产品开始的。

英国政府对华为实施审查的机构“华为网络安全评估中心”（HCSEC）从2015年起开始发布监督委员会年度报告（可在英国政府网站下载），迄今已发布7期。透过这7期年度报告，可以部分还原英国政府落实软件可信要求的治理结构和审查内容。

治理结构

HCSEC成立于2010年，其目的是“根据华为与英国政府之间的一系列安排，为英国电信市场上使用的一系列华为产品提供安全评估，以规避因华为参与英国部分关键国家基础设施而带来的任何风险”。2013年，该机构共有21名员工，到2020年已增加到42名员工。

HCSEC是华为下属的一家全资子公司。但这只表示华为要承担审查相关的费用，却不表示华为能“又当球员又当裁判”。该中心监督委员会的主席由英国国家安全顾问指派，主席再邀请其他委员会成员，也就是说，该中心的人事安排完全在英国国家安全委员会的控制下。

实践上，HCSEC监督委员会的主席一直由政府通信总部（GCHQ）的主席兼任，前几年是夏兰·马丁（Ciaran Martin），2020年由琳迪·卡梅伦（Lindy Cameron）取代——GCHQ是向英国外交大臣汇报的情报和国家安全机构与国家安全局（MI5）、秘密情报局（MI6）一同接受联合情报委员会（JIC）的领导，其主要职责是向英国政府和英军提供情报和信息保障。

华为现任监事会副主席、运营商BG总裁丁耘一直在HCSEC监督委员会担任副主席，监督委员会的其他成员还包括华为英国区管理董事、英国内阁办公厅国家安全秘书处网络安全主任、英国国家网络安全中心（NCSC）技术主任、以及白厅各部的代表。从监督委员会的人员构成就能看出，这个委员会确保了HCSEC服务于英国的国家安全利益。

另外，HCSEC还每年聘请知名审计事务所安永（Ernst and Young）对自身运作的独立性进行审计——这里所说的“独立性”特指“独立于华为总部”。安永基于国际鉴证业务准则（ISAE）3000的规范，从财务预算、人事、采购、评估计划、与华为的协作关系、评估汇报机制等角度审计HCSEC的活动。

在2015年的审计报告中，安永指出：HCSEC雇员的奖金是由华为英国公司根据华为公司的标准计算的，HCSEC管理层无法审查或批准员工的奖金，并建议未来改为由HCSEC管理层负责审查其雇员的奖金分配。

安永还指出，部分HCSEC雇员尚未取得“高度审查”（DevelopedVetting）级别的安全许可，并建议未来强化对员工安全许可级别的管理制度。在外部专业审计公司的帮助下，HCSEC雇佣了一批通过英国政府安全审查的专业人士，给他们设置了不受华为影响的激励制度，从而确保了对华为产品评估审查的独立性。

HCSEC的组织架构