文章開篇先問一道武俠題
如果一位普通人，拿到了倚天劍和屠龍刀，能否從此“號令天下，莫敢不從”？
相信大多數金庸迷都會嗤之以鼻：修煉不了屠龍刀和倚天劍中的《九陰真經》《武穆遺書》，刀劍就僅僅是副“利刃”而已，普通人拿著武力值依舊為0。
接下來再問行業用戶們一道安全專業題
您憑借什么認為自己的密碼保護措施足夠安全？
絕大多數用戶會回答：因為我們部署了身份認證系統、服務器密碼機、電子簽章系統、證書管理服務器、安全網關……
這樣的回答其實就回到了文章開篇提問的那個關鍵點，擁有了“利刃”，就等于強大（安全）嗎？顯然答案是否定的。沒有一套科學有效的密碼保障系統，僅僅依靠密碼設備“單兵作戰”，很難發揮密碼設備的最大效用。
然而“說易行難”，市場中能像上文那般流暢回答出單位部署了哪些密碼設備的用戶，已經算少數了，更多的用戶甚至都沒有密碼防護措施。這絕非夸大事實，在2018年管理部門全國摸底調查中發現，75% 的等保三級及以上信息系統沒有應用密碼防護。而在少數擁有密碼保護系統的用戶中，密碼防護實際水平也令人堪憂：在2018-2019年首批126系統密評試點中，85% 使用密碼保護的信息系統存在不規范現象，安全防護效果大打折扣。
北京數字認證股份有限公司（簡稱“數字認證”）認為，在當前國內市場中，密碼應用“用得太少”“該用沒用”“不懂亂用”的情況很多，這些亂象制約了密碼技術的作用，讓其難以發揮應有的效力。只有“該用盡用，科學應用”，建設科學有效的密碼保障系統，才能護航用戶走得更穩，走得更遠。
用好密碼
先從重視密碼開始
其實究其原因，之所以出現密碼應用亂象，最根本的癥結就在于用戶們并沒有真正意識到密碼的價值。事實上有不少用戶對此質疑：密碼保障系統建設對于行業用戶和企業用戶而言，真的是“必選項”嗎？答案就兩個字：是的。
作為國之重器，關乎黨和國家安全的“命門”“命脈”，密碼技術是保障網絡空間安全的基礎性核心技術。它既為信息的傳輸過程和存儲過程提供安全保護，防止非授權信息泄露和信息篡改，又為實現網絡空間中的身份認證、授權管理和責任認定提供重要支撐。
正因如此，面向用戶安全需求建立一個密碼保障系統，從而保障密碼應用合規、正確、有效就變得非常重要，不僅要“該用就用”，還必須“科學地用好”。以醫院常見的病案簽名為例，當醫生需要對病歷簽名時，往往只是將病案首頁簽名，并沒有對病案整體信息進行簽名，表面上看是應用了密碼簽名技術，但實際上根本無法保障整個病案的不可否認性或完整性，而科學有效的密碼保障系統則可以完美地解決這些問題。
國家從政策上也釋放出同樣的信號。在《商用密碼管理條例》《網絡安全等級保護條例（征求意見稿）》等相關條例中明確指出，非涉密的關鍵信息基礎設施、網絡安全等級保護第三級以上系統、國家政務信息系統等，使用商用密碼進行保護，已成法定要求。
“三同步一評估”
讓密碼保障系統建設有章可循
建立科學有效的密碼保障系統其實有章可循。《國家政務信息化項目建設管理辦法》指出：“項目建設單位應當落實國家密碼管理有關法律法規和標準規范的要求，同步規劃、同步建設、同步運行密碼保障系統并定期進行評估?！痹跀底终J證看來，“三同步一評估”就是建設密碼保障系統的總體思路。
1
同步規劃：制定科學有效的密碼方案
在規劃階段，重點要完成四件事：明確保護對象、分析密碼應用需求、設計密碼應用建設方案、密碼應用方案評審。其中最核心的輸出就是要制定符合業務需求和業務特點的“密碼應用建設方案”。
對于很多用戶而言，新建系統在規劃階段滿足需求并不難，難的是已建系統，對此數字認證的建議是增加一個“差距分析”環節——分析系統已有的防護措施，識別殘余風險和需要整改的密碼應用需求。
數字認證避坑指南：此階段的最大難點在于密碼保障系統和業務系統的融合，切忌脫離業務特點談論密碼應用建設方案。如果簡單粗暴地對照密評指標逐項羅列密碼產品，可能會導致方案無法落地，或重復建設。
2
同步建設：全面發揮密碼措施保障
當規劃完成，接下來的建設重點就落到了“實現”。在這個階段，要進行編制密碼應用實施方案，實現密碼技術措施和密碼管理措施，以及密碼應用安全性評估。人們經常討論的密碼產品或服務采購、密碼功能的開發、密碼應用的集成其實就是這個階段的“技術措施的實現”，而密碼管理制度的建設和修訂、密碼管理機構和人員的設置、建設過程管理則屬于這個階段的“管理措施的實現”。
數字認證避坑指南：此階段的核心是密碼技術、管理措施的實現。切記密碼保障系統的建設是否正確最終是由“密碼應用安全性評估”決定的，因此評估必須要全面，注意細節，有可度量的標準供參照。
3
同步運行定期評估：持續發揮密碼保障作用
到了同步運行階段，用戶要實現運行管理和控制，側重監督檢查，確保應急響應與保障到位，并定期進行密碼應用安全性評估。系統監管方此時將按照國家、行業相關密碼應用監督檢查要求及標準，對密碼應用活動開展監督檢查工作；系統測評方則會定期開展商用密碼應用安全性評估，確保信息系統的密碼應用措施符合相應的安全要求；系統運營方需要按照職責劃分和規章制度，正確執行運行管理和控制。
數字認證避坑指南：密碼保障系統的正確運行直接關系到安全防護效果，需要系統運營方、監管方、測評方充分合作。有的用戶懷著“過關即滿分”的心態，感覺只要監管部門檢查過關，就可以將密碼保障系統束之高閣，這樣的思想并不可取。對于密碼保障系統落地而言，走到這個階段僅僅只是一個起點。
雖然“三同步一評估”的核心思路已經清晰明確，但對用戶而言，搭建一套高質量的密碼保障系統，依然難度不?。菏紫?，密碼系統建設具備較高的專業性，而用戶的密碼專業人才較少；其次密碼系統要與業務系統深度融合，安全需求必須全面摸清且精準；最后在合規性、穩定性方面，企業需要更專業的服務來確保密碼系統滿足監管需求。
鑒于此，數字認證充分發揮多年形成的密碼保障系統規劃、密碼保障系統建設和密碼保障系統運行的技術能力和經驗，形成科學的方法體系，為用戶提供全生命周期的密碼保障服務，這些服務目前已得到不少用戶的應用和認可。
科學合理的密碼保障系統該怎么搭？
數字認證“方法論”大公開！
雖然行業用戶和企業用戶的密碼應用情況不盡相同，但是大家建設科學合理的密碼保障系統目標是一致的，有一些“方法論”的內容可以覆蓋需求的共性，幫助大家更快達成目標?！懊鞔_范圍與保護對象、分析密碼應用需求設計、制定密碼應用方案”就是數字認證方法論中的核心要素。
1
第一步，要進行需求分析，即找準需要保護的信息。通過梳理重要數據信息流向和承載實體（物理安全邊界、計算環境）來明確信息保護的范圍。
這一步看似簡單，其實難度很大。以醫院的信息系統為例，首先要分辨出哪些信息是公開的，哪些信息涉及到個人隱私需要保護，哪些信息是醫療數據需要傳輸等等，可以將其分為公開信息、一般信息和重要信息。當信息梳理出來后，針對信息的流向和范圍也隨之確定了，那么接下來就可以有針對性地制定相應的保護措施：需要保留在本地的，只需要做終端加密保護就可以，不需要再去部署網絡傳輸加密；需要通過廣域網傳輸出去的信息，那除了網絡傳輸加密外，還需要防止被截取，被篡改。
數字認證在這個階段的做法是根據重要數據的信息流向節點，從機密性、完整性、真實性、不可否認性四個方面進行風險分析，從而形成全面詳實的密碼需求列表。例如針對某重要信息來分析它的威脅源、脆弱點、影響程度，確認存在哪一類風險，最終確定是否需要精密性保護，或是完整性保護、真實性保護，有的放矢。
2
第二步，進行密碼保障系統密碼應用方案設計。針對上一步密碼保障系統密碼應用的需求分析，開始設計包含可信身份、傳輸安全、存儲安全、計算環境保障、抗抵賴等技術措施以及安全管理措施在內的密碼應用建設方案，從而滿足GB/T 39786-2021《信息系統密碼應用基本要求》。
在這個階段，有三大原則可以供用戶參考與借鑒：
01
總體性原則
從防護整體性角度考慮，對本平臺的密碼應用開展頂層設計，明確密碼應用需求和預期目標，并與本平臺網絡安全保護等級相結合。
02
成熟性原則
方案采用的商用密碼產品均為市場上長期銷售和應用的成熟的商用密碼產品，均具有密碼管理部門核準的商用密碼產品資質。
03
經濟性原則
在功能、性能上可快速擴展設計滿足GB/T 39786的密碼應用改造方案，確保本平臺密碼應用改造投資合理，規模適度，避免資金浪費和過度保護。
在第二步的設計環節中，數字證書與密鑰管理，與密碼應用方案的自評估工作也非常重要。尤其是自評估，用戶不妨先按照GB/T 39786-2021的相關要求，按照量化評分+高風險判定的評估機制，對設計好的密碼應用方案進行自評估。只有評分超過閾值，且不存在高風險項，密碼保障系統才能被判定為“基本符合”。這樣做的益處在于，將來用戶進行實際密評時，由于已經提前充分了解自己的長短板，那么密評機構的測評工作會變得更加順利。
當下正處于密碼應用向規范化發展的關鍵階段，數字認證作為一家具有核心能力的密碼技術服務提供商，牽頭制定密評頂層標準GB/T 39786-2021《信息安全技術 信息系統密碼應用基本要求》，對于密碼標準和合規密碼應用有深入到位的理解。未來數字認證將繼續深耕行業，通過持續的理念創新、技術創新、模式創新，幫助客戶構建正確、合規、有效的密碼保障系統，攜手行業共建更加安全可信的網絡空間。
