cookieOptions = {...}; .NDAA 889 禁令之後的實際現況 —— 海康威視、大華在美國公部門安裝採用的情形與處理 - 3S Market「全球智慧科技應用」市場資訊網

3S MARKET

2020年9月4日 星期五

National Defense Authorization Act: Section 889 Federal




隨著聯邦對海康威視,大華產品的禁令生效,安全行業尋求澄清


禁止在聯邦機構中,購買和安裝海康威視、大華和海能達的影像監控設備的禁令,於 8/13 正是生效。

這項禁止購買和安裝海康威視,大華和海能達的影像監視設備的禁令,是 2019 年《國防授權法》(NDAA)的一部分,於 8/13 正式生效。 為配合該禁令的實施,政府還發布了《聯邦採購條例》(FAR),其中概述瞭如何逐步應用該條例的臨時規則。

該 FAR 中概述的規則包括:
.一項「招標條款」,要求政府承包商聲明,該投標是否包括該法案所涵蓋的設備;

.將涵蓋設備定義為包括商業項目,包括商業可用的現成(COTS)項目,該規則說:「可能對許多小型實體產生重大的經濟影響;」

.要求政府採購人員修改不確定的交貨合同,以包括將來訂單的 FAR 條款;

.將禁令擴展到微購買最低值(10,000美元)和簡化購買最低值(250,000美元)或以下的合同,這通常使代理機構無需遵循聯邦採購規則,即可進行購買。

.禁止從中國電信巨頭華為,和中興通訊公司購買和安裝設備。據推測,這也並擴展到華為子公司海思半導體,後者的晶片已在許多網路攝影機中找到。

.並且,給予執行機構負責人,以個案為基礎的一次性豁免權,最長可達兩年。


但是,該規則尚未最終確定,有關各方可以在 10 月 15 日之前提交有關 FAR 的回饋。所謂「黑名單」規定的規則,將禁止政府機構接受利用承包商提供的設備和服務的投標。上述提供者預計將單獨處理,並且將在一年後生效,除非對法律進行更改。

根據美國安全產業協會(SIA)政府關係高級總監 Jake Parker 的說法,政府針對該行業發布的臨時規則的最直接影響,是承包商需要證明他們是否提供了承保範圍,向政府提供的產品或服務。他說:「例如,與 GSA 簽有長期合同,該行業的人已經簽訂合同,他們需要在那裡進行認證,並且在許多情況下,當他們從代理商那裡獲得聯繫時,就必須在每個訂單級別進行認證。」

海康威視公司發言人在提供給 SecurityInfoWatch 的一份聲明中說,公司對該規定已生效,而沒有任何審查或調查,以保證上述限制感到「失望」。

聲明寫道:「我們認為,這項規定是沒有理由或不當行為的海康威視,是不公正和針對性的。」 「與此同時,我們正在評估各種可用選擇,以對抗這種毫無根據的包容性,並保護公司和合作夥伴的權益。自 2001 年以來,海康威視的產品一直保護著全世界的人們、社區、財產和資產。


為此,海康威視嚴格遵守我們營運所在的所有國家的法律法規。我們已經做出了巨大的努力,以確保我們產品的安全性,符合美國政府要求的所有要求,包括獲得美國國家標準技術研究所的聯邦資訊處理標準(FIPS)140-2 認證。」

在其網站上發布的聲明中,大華還批評了政府頒布禁令的決定。

聲明說:「該禁令是倉促制訂的,沒有任何證據依據或正當程序。」 「明確地說,該禁令僅與聯邦機構有關。商業實體可能會像州和地方政府一般,繼續購買大華產品。大華致力於美國乃至全球的法律合規。」


找出問題
鑑於海康威視和大華等龐大的 OEM 產品組合、系統整合商、政府承包商和採購人員,在嘗試確定他們已經佈署或計劃安裝的涵蓋產品時,可能面臨重大挑戰。

帕克說:「我們希望在規則涵蓋的範圍內,提供更多的清晰度。」 「不幸的是,所提供的定義只是重複了基本法規中的內容,這是我們審查過的最差書面,和令人困惑的法規之一。鑑於該規則(不包含)的進一步定義,代理機構顯然將在其自己的指導下,有很大的酌處權來實施此規則。」

據 GSA 計劃主要承包商 Securityhunter 首席執行官邁克爾·羅傑斯(Michael Rogers)稱,大多數最終使用者對網路上懸掛的攝影機也一無所知。 

「這些客戶真的不知道 …… 例如海康威視和大華攝影機。最終使用者如何真正知道,它是海康威視還是大華攝影機?它可以寫在外殼上,但是它們經常貼牌生產和貼上私人標籤–聯邦機構真的會知道嗎?」羅傑斯問。

「聯邦管理人員沒有使用像 Securityhunter 這樣的公司,來對他們真正擁有的,以及真正刪除它的多年計劃,有一個真正的評估。我們的一位客戶去了他們的 IT 部門,IT 專家說:「不,您真的沒有問題。」我們必須告訴他們,這完全是偽造的 - 他們確實有問題。他們不能只是說「我們沒有海康威視」是因為他們看不到它。」


翻錄和替換?
儘管一些整合商已經對必須拆除和更換,現有監視系統的可能性表示擔憂,但派克說,到目前為止,FAR 並未概述任何情況,表明情況將會如此。他說:「除了機構尋求豁免之外,法規中沒有其他任何內容。」 「如果代理商尋求豁免,他們將需要一個逐步淘汰計劃來(最終)更換現有設備。我認為這樣做的意圖是,儘管採購週期和技術更新週期,都會自然發生替換。」

羅傑斯對此表示同意,並說,這項禁令背後的想法,或多或少是為了最大程度地降低人們認為前進的風險,而不是給預算拮据的機構造成不必要的麻煩,以徹底改革其安全系統。

羅傑斯解釋說:「他們不會因佈署這些產品而受到懲罰,因為這是一項沒有資金的計劃–他們只需要今天就停止購買它。」 「(NDAA禁令)實際上是在說 - '嘿,這裡有風險,'(國會)不希望(風險)擴散。這是一個警鐘 - 他們需要辨識這種類型的設備,停止購買,然後根據技術更新合同最終將其替換。現實情況是,NDAA 使我們走上了一條道路,即十年之內,政府將不再佈署任何(被禁技術)。政府喜歡計劃,這是進行這種過渡的一種非常緩慢且廉價的方法。」

羅傑斯補充說,他的公司已經提出要分析一些政府客戶的系統,但是他們似乎並不著急。他承認:「我們已經與其中一些組織進行了交談,並提出要對其進行評估,但似乎對此並沒有太大的興趣。」 「目前尚無人真正推動這一目標,但是我不知道這種情況是否會改變(該禁令正式生效)。對於只有這麼多資源的公務員來說,這確實是一個挑戰。

「我們出去嘗試對我們的(政府)客戶,進行有關 NDAA 的教育,它基本上表明您需要瞭解網路上的內容,以及這些內容如何造成漏洞,但是問題是這是其中的另一個原因」羅傑斯補充說,「沒有資金的計劃」- 聯邦政府有很多計劃 - 他們說,「你們應該這樣做或正在尋找,但是順便說一下,我們沒有給您任何額外的錢,」 「對於試圖做某事,但沒有財力或人力來執行它的聯邦安全人員來說,這只是更大的壓力。」
那裡有幾台攝影機?
儘管擔心該規定所涵蓋的設備,在政府內部具有廣泛的影響,但羅傑斯說,受影響的攝影機和其他產品,大多位於中小型佈署的邊緣。

他說:「您會發現它們大多在'邊緣',例如,在軍人的宿舍、停車場,在弗吉尼亞州的小型醫院和小型辦公地點,因為它們訂價過高,」 「您會在所有這些不同的(OEM)名稱下看到它們,因為政府正在使價值最大化,而從未認為這是一種風險。在州和地方一級,您會看到這些類型的攝影機中的很大比例,但這不是聯邦政府。」
黑名單規定
關於黑名單的規定,Parker 說,根據迄今為止,SIA 與政府官員的對話,他們認為該禁令的範圍不會像某些人所推測的那樣廣泛,並且該禁令將更狹窄地適用於,使用公司在履行聯邦合同中提供的服務和產品。SIA 也要求在這一點上更加明確。他說:「我們已經就這項規定,與政府分享了我們的想法,我認為這是該規定中,比起最初規定更為重要的部分,因此我們最擔心的是要充分清楚其含義,」他說。

安全整合商的底線
羅傑斯認為,最終,NDAA 可能會為整合商帶來福音,因為它將使他們能夠向政府客戶追加銷售。他說:「 NDAA 對安全整合商很有用,因為當(您的客戶)放棄低價選擇時,這對我們來說顯然是一件好事。」

任何經過翻譯或轉載之中文資訊,我們為了盡量使用台灣常用相關名詞與慣用語法,將與原中文有所變更,但不改內容意義 – 3S MARKET

0 意見: