近日，由工(gōng)業和信息化部網絡安(ān)全産(chǎn)業發展中(zhōng)心主辦(bàn)的“2024信息技(jì )術應用(yòng)創新(xīn)發展大會暨解決方案應用(yòng)推廣大會”在天津圓滿落幕。會上，一系列重大成果和創新(xīn)平台的發布成為(wèi)亮點，其中(zhōng)，由道普信息聯合中(zhōng)金金融認證中(zhōng)心有(yǒu)限公(gōng)司、山(shān)東省國(guó)土空間數據和遙感技(jì )術研究院共同打造的“山(shān)東省自然資源廳商(shāng)用(yòng)密碼應用(yòng)支撐平台”， 憑借其在商(shāng)用(yòng)密碼應用(yòng)領域的突出表現，成功入選工(gōng)業和信息化部“2023年信息技(jì )術應用(yòng)創新(xīn)應用(yòng)示範案例”。

該案例創新(xīn)應用(yòng)的“密碼服務(wù)平台+密碼資源池”建設模式，實現了密碼資源的統一管理(lǐ)和應用(yòng)，采用(yòng)密碼環境統一建設、密碼資源共享共用(yòng)的模式，為(wèi)一定範圍内，相同環境下的密碼技(jì )術規模化應用(yòng)提供了應用(yòng)标準。這一榮譽不僅彰顯了該平台在提升信息系統安(ān)全防護能(néng)力方面的顯著成效，也為(wèi)山(shān)東省商(shāng)用(yòng)密碼的廣泛應用(yòng)樹立了标杆。

一、國(guó)家政策為(wèi)商(shāng)用(yòng)密碼應用(yòng)注入新(xīn)動能(néng)

商(shāng)用(yòng)密碼，這一數字經濟領域的堅固鎖鑰，正以其卓越的防護能(néng)力，為(wèi)海量數據編織一張安(ān)全網。近年來，國(guó)家出台了一系列支持商(shāng)用(yòng)密碼發展的政策措施，為(wèi)商(shāng)用(yòng)密碼的應用(yòng)與創新(xīn)提供了堅實的制度保障。

1999年，《商(shāng)用(yòng)密碼管理(lǐ)條例》正式由國(guó)務(wù)院頒布施行，标志(zhì)着我國(guó)商(shāng)用(yòng)密碼發展和管理(lǐ)從此走上了法治化軌道；

2014年2月，國(guó)務(wù)院辦(bàn)公(gōng)廳轉發密碼局等部門關于金融領域密碼應用(yòng)指導意見的通知指出：又(yòu)快又(yòu)好的推進國(guó)産(chǎn)密碼；

2015年，兩辦(bàn)文(wén)件要求在骨幹網絡、重要信息系統和各個領域部署推動國(guó)産(chǎn)密碼；

2017年11月底，國(guó)家密碼管理(lǐ)局下發了《政務(wù)雲密碼支撐方案及應用(yòng)方案設計要點》；

2017年，國(guó)家密碼管理(lǐ)局發布了42項金融和重要領域國(guó)産(chǎn)密碼應用(yòng)試點任務(wù)；

2018年2月，發布GM/T 0054-2018《信息系統密碼應用(yòng)基本要求》，面向全社會、全行業，強制執行密評；

2018年6月，公(gōng)安(ān)部《網絡安(ān)全等級保護條例（征求意見稿）》，第四十七條第三級以上要先開展密碼應用(yòng)安(ān)全性評估。網絡通過評估後，方可(kě)上線(xiàn)運行，并在投入運行後，每年至少組織一次評估；

2019年10月，第十三屆全國(guó)人民(mín)代表大會常務(wù)委員會第十四次會議通過《中(zhōng)華人民(mín)共和國(guó)密碼法》，并确定2020年1月1日起正式執行。

2020年7月，《貫徹落實網絡安(ān)全等級保護制度和關鍵信息基礎設施安(ān)全保護制度的指導意見》發布；

2023年4月，《商(shāng)用(yòng)密碼管理(lǐ)條例》修訂發布，清晰界定了商(shāng)用(yòng)密碼管理(lǐ)範圍，合理(lǐ)設置了管理(lǐ)環節，明确了管理(lǐ)條件和程序，寬嚴有(yǒu)度，規範到位，對促進商(shāng)用(yòng)密碼技(jì )術進步和商(shāng)用(yòng)密碼産(chǎn)業發展具(jù)有(yǒu)重要意義。

這些政策不僅促進了商(shāng)用(yòng)密碼技(jì )術的研發與應用(yòng)，還為(wèi)商(shāng)用(yòng)密碼應用(yòng)的标準化、規範化建設指明了方向，為(wèi)商(shāng)用(yòng)密碼産(chǎn)業的發展注入了新(xīn)的活力。

二、商(shāng)用(yòng)密碼應用(yòng)存在諸多(duō)挑戰

在商(shāng)用(yòng)密碼的廣泛應用(yòng)中(zhōng)，也面臨着不容忽視的挑戰。日益複雜的合規要求、管理(lǐ)不到位、應用(yòng)不規範以及安(ān)全漏洞等問題，成為(wèi)了商(shāng)用(yòng)密碼推廣過程中(zhōng)的絆腳石。如何在保證安(ān)全合規的同時，提高商(shāng)用(yòng)密碼的管理(lǐ)水平和應用(yòng)效果，成為(wèi)了亟待解決的關鍵議題。

1.商(shāng)用(yòng)密碼安(ān)全合規要求嚴格

我國(guó)已形成較為(wèi)完善的商(shāng)用(yòng)密碼标準體(tǐ)系，截至目前，已發布密碼行業标準 144 項，密碼國(guó)家标準 43 項，對商(shāng)用(yòng)密碼安(ān)全提出了更高的要求。

2. 商(shāng)用(yòng)密碼管理(lǐ)不到位

用(yòng)戶單位需要确保員工(gōng)使用(yòng)強密碼來保護信息數據和資産(chǎn)，但很(hěn)多(duō)員工(gōng)往往會選擇弱密碼或者重複使用(yòng)密碼，增加了密碼洩露和入侵的風險。另外，不少信息系統尚未采用(yòng)密碼技(jì )術進行保護，這一現狀令人堪憂。

3. 商(shāng)用(yòng)密碼應用(yòng)不規範

即便是在使用(yòng)了密碼技(jì )術的系統中(zhōng)，不規範的應用(yòng)也屢見不鮮。在對重要領域信息系統的安(ān)全性測評中(zhōng)，不符合規範的比例曾高達85%，這直接威脅到信息系統的整體(tǐ)安(ān)全。

4.商(shāng)用(yòng)密碼應用(yòng)不安(ān)全

現在仍有(yǒu)大量系統在使用(yòng)已被證明不安(ān)全的加密算法，如RSA1024、MD5等，這些“過時”的密碼技(jì )術如同虛設的防線(xiàn)，難以抵禦現代黑客的攻擊。

5. 商(shāng)用(yòng)密碼應用(yòng)成本高、難度大

密碼産(chǎn)品繁多(duō)、系統改造困難且成本高昂，以及密碼資源管理(lǐ)分(fēn)散、難以有(yǒu)效維護，使得信息安(ān)全形勢更為(wèi)嚴峻。

三、多(duō)規管理(lǐ)融合實現全面合規

在數字化經濟蓬勃發展的背景下，商(shāng)用(yòng)密碼作(zuò)為(wèi)信息安(ān)全的基石，其重要性日益凸顯，已經成為(wèi)保障各類信息系統和數據安(ān)全不可(kě)或缺的基礎設施。面對商(shāng)用(yòng)密碼應用(yòng)的複雜環境，密評作(zuò)為(wèi)一項重要機制，正逐漸成為(wèi)商(shāng)用(yòng)密碼合規管理(lǐ)的有(yǒu)力抓手。密評的實施，不僅促進了商(shāng)用(yòng)密碼技(jì )術的規範化應用(yòng)，還增強了組織對安(ān)全威脅的防禦能(néng)力。

2023年7月1日起實施的《商(shāng)用(yòng)密碼管理(lǐ)條例》明确規定密評、關保、等保應當加強銜接，避免重複評估、測評。随着衆多(duō)政策要求多(duō)監管、強監管和日益嚴峻的安(ān)全風險，對運營單位網絡安(ān)全提出了更高要求，滿足監管的難度越來越大。不僅如此，運營單位還面臨着一些運營單位存在着技(jì )術方法和管理(lǐ)措施不聚焦、無法形成動态管理(lǐ)機制、等保密碼關保等合規驗證工(gōng)作(zuò)重複、合規管理(lǐ)成本高等風險。

安(ān)全是整體(tǐ)，合規是基準。道普信息風險管控專家建議，可(kě)以借助專業的第三方風險管控服務(wù)，采取多(duō)規管理(lǐ)融合手段，基于網絡安(ān)全責任制、等級保護、關基保護、密碼應用(yòng)、數據安(ān)全、個人信息保護等監管要求，從“合規規劃、合規實施、結果管理(lǐ)、合規跟蹤”四個維度，開展等保、密碼、關保測評等安(ān)全性評估，實現合規工(gōng)作(zuò)的規範化，降低合規管理(lǐ)成本，滿足監管部門各項網絡安(ān)全要求，保障信息化管理(lǐ)對象合規運行，減少監管部門的通報，實現全面合規。

随着商(shāng)用(yòng)密碼在各個領域應用(yòng)的不斷深化，其作(zuò)為(wèi)數據資源保護核心技(jì )術的地位愈發凸顯。道普信息将依托自身在商(shāng)用(yòng)密碼領域的深厚積累，持續推動商(shāng)用(yòng)密碼技(jì )術的創新(xīn)與發展，助力信息化安(ān)全防護能(néng)力的全面提升，為(wèi)我國(guó)數字經濟的繁榮貢獻力量。我們期待，在商(shāng)用(yòng)密碼的引領下，一個更加安(ān)全、智能(néng)、高效的數字化時代正在徐徐展開。