台皮陸骨 vs. MIT微笑標章

前一陣子有媒體披露關於「美國黑名單的中國監視器藏在工業區、陸製貼牌拿MIT微笑標章…」等內容，報導一出在業界也激起不少的話題。所謂「內行看門道，外行看熱鬧」，在熱鬧之餘，哪些才是業界該思考的？
 
（右圖MIT Logo取材自經濟部工業局「臺灣製產品MIT微笑標章」網站） 

9月底天下雜誌757期封面「躲不掉的中國天眼」報導中，有關於「台皮陸骨、美國黑名單的中國監視器藏在工業區、陸製貼牌拿MIT微笑標章…」等內容，引來國內安控界的關注，也激起不少話題。根據觀察，此報導經披露後至少引來三方面的不同反應。
 
一個事件、三個面向的反應

首先，此次報導相關內容對安控界而言根本不是新鮮事，業界早已將其視為常態性的商業行為，只要沒有違法也沒什麼不可以。圈內大家在商言商，只要互不故意嚴重侵害，這只不過是市場競爭行為的一個模式而已;何況中國大陸製品在台灣市場也已行走多年，買賣雙方樂此不疲--其性價比高於台製品，市場接受度高，市佔率一度衝高到60%以上，這是不爭的事實。
 
而從用戶端（User）來看，長久以來他們只要「俗擱大碗」就欣然接受，各行各業只要不涉及敏感區域，管它哪裡做的都一樣，一切聽由系統整合商或工程安裝商的安排。不過此次事件發生在公務機關「禁中令」之後，又在國家級的科學工業園區，尤其是半導體廠商，他們因考慮到資安風險而紛紛關切此事，包括「因為是台皮陸骨，無法辨識是真正的台製品或是陸製品？」、「有誰可以告訴我，我們加裝的安控設備是安全無虞的？」…等，因事涉高科技廠辦重大風險指標之一，也迫使相關單位重新嚴格檢視。
 
當然，對於此事件反應最快速的莫過於MIT微笑標章的主關機關--經濟部工業局，事實上工業局在報導披露的當日即已展開一連串的相應措施，例如：快速調查此事件、走訪安控大廠、拜會安防公會等聽取廣泛意見、深入理解脈絡與探討如何加強MIT的高標準性等，此一連串快速又積極的作為，安控廠商都看在眼裡，也給予相當的肯定。
 
安控設備MIT微笑標章基準修訂

工業局也儘速於10月6日召開了「安全監控產品之MIT微笑標章產品驗證基準修訂」產業溝通會議，並邀請了由台灣智慧安防工業同業公會之前所成立的「網路攝影機非中國製定」專案小組委員等10家廠商參與溝通會議;經責成共識後很快地又於10月24日再度召開MIT微笑標章第三類產品「安控設備」品項驗證基準修訂推動小組會議。其實這幾次的會議，無非是要防止「台皮陸骨」產品在公務機關標案裡蒙混闖關，以避免資安風險。
 
資安是重中之重
其實大家應該很清楚，隨著科技的日新月異，安控產品也已由類比轉向網路化、智慧化，這幾年因物聯網（IoT）、人工智慧（AI）的興起，安控產品也演進到AIoT的技術領域，成為AIoT領域的供應鏈。也由於進入AIoT時代，資安的重要性也隨之高漲，2018年開始安控產品如IP攝影機、NVR、DVR等只要走網路功能的產品，政府已推出網路影像監控系統的資安認證，並於2021年11月將此網路影像監控系統的資安認證升格為國家標準CNS16120;也就是說，網路影像監控系統已經有國家標準的認證，促使安控業界在產品技術與品質管理方面更上一層樓，同時也因市場氛圍的驅使，資安國家認證的市場也隨著公領域的需求而逐漸展開。
 
對照於MIT微笑標章的申請條件或規範未與時俱增，其驗證基準的修訂確實有其必要。為因應上述事件，如何避免陸製白牌蒙混申請MIT微笑標章，以及確保拿到MIT微笑標章的產品又能安全無虞，工業局MIT微笑標章執行單位經前述向安防產業收集意見後，對原有安全監控產品的MIT微笑標章驗證基準做了最新的增修提議。
 
主要晶片不得為經政府認定有資安風險地區品牌之產品
此次增修提議部分原本增加了「原產地認定條件」，即成品組立工程、主機板SMT製程作業都須在台灣完成;主晶片不得為經政府認定有資安風險地區品牌;產品品質檢驗基準將影像監控系統安全CNS16120之資安標準納入檢驗基準等要項。其中，對資安比較關鍵性的是有關於主晶片（SoC、DSP、FPGA、CPU、GPU等）或通訊晶片（4G、5G、Wifi、BT或GNSS等），不得為經政府認定有資安風險地區品牌之產品，就此修訂內容來看確實拉高了MIT標準，應可滿足MIT在台製造的原汁原味精神，又可防範資安風險。
 
然而，對於主機板SMT製程作業須在台灣完成此項提議，由於跟安防產業現況尚有不小的落差，廠商在製程的成本考量上會有些衝擊，況且主機板SMT是否在台灣打件對資安並沒有太大影響--資安的問題主要是在軟體和韌體，而且主晶片及通訊晶片已規定不得為經政府認定有資安風險地區品牌之產品，如此一來對於開後門、機密外洩等資安風險應可阻絕。因此，目前對主機板SMT製程作業須在台灣完成此項提議，暫不列入考慮。
 
期望內需市場將MIT發揚光大

雖然因應此次事件，工業局MIT微笑標章執行單位花了許多心思、積極修補MIT產品驗證基準，希望避免再次發生此類似事件。但另一個值得思考的問題是：MIT標章目前對安控產業來說有其需求性嗎？有業者表示，安控產品一向以外銷為導向，全球市場（尤其歐美）對產品是否有MIT標章根本不在乎，因MIT標章並非國際公認的標準，它只適合在台灣本土的市場。也因此，雖然此次對MIT產品驗證基準的修訂彰顯了政府對MIT產品的嚴格把關，但實際上安控業者可能用不到或用不上。

與其如此，倒是希望政府在國內市場要大力推動MIT微笑標章，尤其經此次修訂後，MIT標章不僅代表產品品質的認證，對安控產品也有更高的資安認可，政府必須大力促成MIT產品採購要求，尤其公部門市場更應積極去推動或鼓勵。否則此次的修訂若只是淪為回應媒體報導的效應，而無助於MIT標章精神的發揚光大及經濟效益的提升，將甚為可惜！