我们后来找到了风河公司，他们告诉我们，这个软件以及华为正在用的这些版本，在英国各行各业，甚至一些比电信行业更敏感的行业里都在大规模使用。华为在软件开发过程中使用其他公司的操作系统、数据库以及开源软件，这些跟华为文化没关系，这是所有做产品的企业必然的选择，因为（一家公司）不可能做所有的东西。

现在大家有一个疑问，华为软件工程能力的提升为什么要花三到五年时间，为什么还要投20亿美金额外的投资？

把这个问题说明白了需要比较长的时间，不知道大家愿不愿意听。

华为最早跟英国政府合作成立HCSEC，主要是因为英国政府担心华为产品有后门。我们把源代码送到HCSEC，让英国有DV认证的英国公民看源代码，以此证明没有后门，看出来的结果也是没有后门。这是最初的目的。

全世界都知道华为敢于把源代码放到英国的HCSEC，让英国有DV认证的英国公民来看源代码，证明了我们没有后门。Robert在文章上也讲了，GCHQ也清楚了，所以现在其他国家担忧的后门的问题，其实在英国早就解决了。在我们决定把源代码拿到英国这个过程中，后门问题就解决了。

解决这个问题之后，HCSEC要看一看华为产品的防攻击、防渗透、防各种威胁的能力怎么样。在增强华为产品的防攻击、防渗透能力上，我们做了八年的工作。经过八年的努力，可以说，这个行业中华为产品在这方面是最强的，而且不是我们自己说的，是一家美国公司，Cigital公司通过评估和调查做的结论。

Cigital是一家专业的软件安全工程成熟能力进行评估的美国公司，从2013年开始，每年对我们产品的安全管理进行评估，有12个评估项目，我们有9项达到了业界最高级水平，其他三项也高于业界的平均水平。

但是大家很清楚，安全威胁的环境在发生变化，攻击渗透的技术不断进步，黑客能力水平越来越高。单单安全能力强，防攻击、防渗透能力很强，就好比是一个椰子，外壳很坚硬。万一外壳攻破了会怎么样？不能像椰子一样里头是一堆水。

所以，我们共同的关注点就从外面转到了里面。里面怎么样涉及到韧性，涉及到开发过程是不是高质量，是不是可信。从结果角度上升到了过程角度，结果要好，过程也要好。

HCSEC是可以看到华为的源代码的，（代码）是不是可读，是不是易修改、易构建都知道，好比一个人是赤裸在那里。

现在HCSEC的问题是，你们的代码不够漂亮。代码是华为三十年在通信行业，像windows一样累积起来的三十年代码，华为的代码要在不漂亮，易读、易修改等方面进行改进，还要把过程改进。不但结果是高质量，可信的，过程也要是可信的，才能证明可信。这就把焦点聚焦到整个软件的生产过程，我们叫做软件工程与实践，而且用面向未来的标准来对应历史上三十年的所有代码。