可控性是指对信息和信息系统实施
安全监控管理，防止非法利用信息和信息系统，是实现信息安全的五个安全目标之一。而自主可控技术就是依靠自身研发设计，全面掌握产品
核心技术，实现信息系统从硬件到软件的自主研发、生产、升级、维护的全程可控。简单地说就是核心技术、
关键零部件、各类软件全都国产化，自己开发、自己制造，不受制于人。
在评估信息领域重要项目或者制订发展规划时，常常需要论证是否达到自主可控的要求，以下为
倪光南院士对“自主可控”的一个
全面诠释，可更准确的理解“自主可控”的概念和重要性。
在当前的国际
竞争格局下，知识产权自主可控十分重要，做不到这一点就一定会受制于人。如果所有知识产权都能自己掌握，当然最好，但实际上不一定能做到，这时，如果部分知识产权能完全买断，或能买到有足够
自主权的授权，也能达到自主可控。然而，如果只能买到自主权不够充分的授权，例如某项授权在权利的使用期限、使用方式等方面具有明显的限制，就不能达到知识产权自主可控。国家一些计划对所支持的项目，要求首先通过知识产权
风险评估，才能给予立项，这种做法是正确的、必要的。标准的自主可控似可归入这一范畴。
技术能力自主可控，意味着要有足够规模的、能真正掌握该技术的科技队伍。技术能力可以分为一般技术能力、产业化能力、构建产业链能力和构建
产业生态系统能力等层次。产业化能力的自主可控要求使技术不能停留在样品或试验阶段，而应能转化为大规模的产品和服务。产业链的自主可控要求在实现产业化的基础上，围绕产品和服务，构建一个比较完整的产业链，以便不受产业链上下游的制约，具备足够的竞争力。产业
生态系统的自主可控要求能营造一个支撑该产业链的生态系统。
有了知识产权和技术能力的自主可控，一般是能
自主发展的，但这里再特别强调一下发展的自主可控，也是必要的。因为我们不但要看到现在，还要着眼于今后相当长的时期，对
相关技术和产业而言，都能不受制约地发展。有一个例子可以说明长期发展的重要性。众所周知，前些年我国通过投资、收购等等，曾经拥有了
CRT电视机产业完整的知识产权和构建整个生态系统的技术能力。但是，外国跨国公司一旦将CRT的技术都卖给中国后，它们立即转向了
LCD平板电视，使中国的CRT电视机产业变成
淘汰产业。信息领域技术和市场变化迅速，要防止出现类似事件。因此，如果某项技术在短期内效益较好，但从长期看做不到自主可控，一般说来是不可取的。只顾眼前利益，有可能会在以后造成更大的被动。
一般说来，“国产”产品和服务容易符合自主可控要求，因此实行国产替代对于达到自主可控是完全必要的。不过对于“国产”还没有统一的界定标准。某些观点显然是不合适的。例如：有人说，只要公司在中国注册、交税，就是“中国公司”，它的产品和服务就是“国产”。但实际上几乎所有
世界500强都在中国注册了公司，难道它们都变成了中国公司了吗；也有人说，“本国产品是指在中国境内生产，且国内
生产成本比例超过50%的
最终产品”，甚至还给出了按材料
成本计算的公式。显然，这样的“标准”只适合粗放型产品，完全不适用于高技术领域。倒是
美国国会在1933年通过的《购买美国产品法》可以给我们一个启示，该法案要求
联邦政府采购要买本国产品，即在美国生产的、增值达到50%以上的产品，进口件组装的不算本国产品。看来，美国采用上述“增值”准则来界定“国产”是比较合理的。
人们大多是根据产品和
服务提供者资本构成的“资质”进行界定，包括内资（国有、
混合所有制、民营）、
中外合资、外资等，如果是内资资质，则认为其提供的产品和服务是“国产”的。由于历史原因，中国网络公司很多是外资控股，为了改变资质，有的引入了“实际控制人”概念，有人将这类企业称为“VIE”，对此，业界仍在讨论中。
实践表明，光考察资质是不够的，为了防止出现“假国产”，建议对产品和服务实行“增值”评估，即仿照美国的做法，评估其在中国境内的增值是否超过50%。如某项产品和服务在中国的增值很小，意味着它是从国外进口的，达不到自主可控要求。这样，可以防止进口硬件通过“贴牌”或 “组装”变成“国产”；防止进口软件和服务通过由国产
系统集成商将它们集成在国产解决方案中，变成“国产”软件和服务。
实现IT系统的自主可控是一个
全产业链的长期行为，上至
法律法规、标准，下至具体的IT产品或服务，需要产业链上的各个单位、企业、机构甚至消费者共同参与才能实现。