如果一位普通人，拿到了倚天劍和屠龍刀，能否從此“號令天下，莫敢不從”？
相信大多數(shù)金庸迷都會嗤之以鼻：修煉不了屠龍刀和倚天劍中的《九陰真經(jīng)》《武穆遺書》，刀劍就僅僅是副“利刃”而已，普通人拿著武力值依舊為0。
接下來再問行業(yè)用戶們一道安全專業(yè)題
您憑借什么認為自己的密碼保護措施足夠安全？
絕大多數(shù)用戶會回答：因為我們部署了身份認證系統(tǒng)、服務(wù)器密碼機、電子簽章系統(tǒng)、證書管理服務(wù)器、安全網(wǎng)關(guān)……
這樣的回答其實就回到了文章開篇提問的那個關(guān)鍵點，擁有了“利刃”，就等于強大（安全）嗎？顯然答案是否定的。沒有一套科學(xué)有效的密碼保障系統(tǒng)，僅僅依靠密碼設(shè)備“單兵作戰(zhàn)”，很難發(fā)揮密碼設(shè)備的最大效用。
然而“說易行難”，市場中能像上文那般流暢回答出單位部署了哪些密碼設(shè)備的用戶，已經(jīng)算少數(shù)了，更多的用戶甚至都沒有密碼防護措施。這絕非夸大事實，在2018年管理部門全國摸底調(diào)查中發(fā)現(xiàn)，75%的等保三級及以上信息系統(tǒng)沒有應(yīng)用密碼防護。而在少數(shù)擁有密碼保護系統(tǒng)的用戶中，密碼防護實際水平也令人堪憂：在2018-2019年首批126系統(tǒng)密評試點中，85%使用密碼保護的信息系統(tǒng)存在不規(guī)范現(xiàn)象，安全防護效果大打折扣。
北京數(shù)字認證股份有限公司（簡稱“數(shù)字認證”）認為，在當(dāng)前國內(nèi)市場中，密碼應(yīng)用“用得太少”“該用沒用”“不懂亂用”的情況很多，這些亂象制約了密碼技術(shù)的作用，讓其難以發(fā)揮應(yīng)有的效力。只有“該用盡用，科學(xué)應(yīng)用”，建設(shè)科學(xué)有效的密碼保障系統(tǒng)，才能護航用戶走得更穩(wěn)，走得更遠。
用好密碼，先從重視密碼開始
其實究其原因，之所以出現(xiàn)密碼應(yīng)用亂象，最根本的癥結(jié)就在于用戶們并沒有真正意識到密碼的價值。事實上有不少用戶對此質(zhì)疑：密碼保障系統(tǒng)建設(shè)對于行業(yè)用戶和企業(yè)用戶而言，真的是“必選項”嗎？答案就兩個字：是的。
作為國之重器，關(guān)乎黨和國家安全的“命門”“命脈”，密碼技術(shù)是保障網(wǎng)絡(luò)空間安全的基礎(chǔ)性核心技術(shù)。它既為信息的傳輸過程和存儲過程提供安全保護，防止非授權(quán)信息泄露和信息篡改，又為實現(xiàn)網(wǎng)絡(luò)空間中的身份認證、授權(quán)管理和責(zé)任認定提供重要支撐。
正因如此，面向用戶安全需求建立一個密碼保障系統(tǒng)，從而保障密碼應(yīng)用合規(guī)、正確、有效就變得非常重要，不僅要“該用就用”，還必須“科學(xué)地用好”。以醫(yī)院常見的病案簽名為例，當(dāng)醫(yī)生需要對病歷簽名時，往往只是將病案首頁簽名，并沒有對病案整體信息進行簽名，表面上看是應(yīng)用了密碼簽名技術(shù)，但實際上根本無法保障整個病案的不可否認性或完整性，而科學(xué)有效的密碼保障系統(tǒng)則可以完美地解決這些問題。
國家從政策上也釋放出同樣的信號。在《商用密碼管理條例》《網(wǎng)絡(luò)安全等級保護條例（征求意見稿）》等相關(guān)條例中明確指出，非涉密的關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級保護第三級以上系統(tǒng)、國家政務(wù)信息系統(tǒng)等，使用商用密碼進行保護，已成法定要求。
“三同步一評估”，讓密碼保障系統(tǒng)建設(shè)有章可循
建立科學(xué)有效的密碼保障系統(tǒng)其實有章可循?！秶艺?wù)信息化項目建設(shè)管理辦法》指出：“項目建設(shè)單位應(yīng)當(dāng)落實國家密碼管理有關(guān)法律法規(guī)和標(biāo)準(zhǔn)規(guī)范的要求，同步規(guī)劃、同步建設(shè)、同步運行密碼保障系統(tǒng)并定期進行評估。”在數(shù)字認證看來，“三同步一評估”就是建設(shè)密碼保障系統(tǒng)的總體思路。
1、同步規(guī)劃：制定科學(xué)有效的密碼方案
在規(guī)劃階段，重點要完成四件事：明確保護對象、分析密碼應(yīng)用需求、設(shè)計密碼應(yīng)用建設(shè)方案、密碼應(yīng)用方案評審。其中最核心的輸出就是要制定符合業(yè)務(wù)需求和業(yè)務(wù)特點的“密碼應(yīng)用建設(shè)方案”。
對于很多用戶而言，新建系統(tǒng)在規(guī)劃階段滿足需求并不難，難的是已建系統(tǒng)，對此數(shù)字認證的建議是增加一個“差距分析”環(huán)節(jié)——分析系統(tǒng)已有的防護措施，識別殘余風(fēng)險和需要整改的密碼應(yīng)用需求。
數(shù)字認證避坑指南：此階段的最大難點在于密碼保障系統(tǒng)和業(yè)務(wù)系統(tǒng)的融合，切忌脫離業(yè)務(wù)特點談?wù)撁艽a應(yīng)用建設(shè)方案。如果簡單粗暴地對照密評指標(biāo)逐項羅列密碼產(chǎn)品，可能會導(dǎo)致方案無法落地，或重復(fù)建設(shè)。
2、同步建設(shè)：全面發(fā)揮密碼措施保障
當(dāng)規(guī)劃完成，接下來的建設(shè)重點就落到了“實現(xiàn)”。在這個階段，要進行編制密碼應(yīng)用實施方案，實現(xiàn)密碼技術(shù)措施和密碼管理措施，以及密碼應(yīng)用安全性評估。人們經(jīng)常討論的密碼產(chǎn)品或服務(wù)采購、密碼功能的開發(fā)、密碼應(yīng)用的集成其實就是這個階段的“技術(shù)措施的實現(xiàn)”，而密碼管理制度的建設(shè)和修訂、密碼管理機構(gòu)和人員的設(shè)置、建設(shè)過程管理則屬于這個階段的“管理措施的實現(xiàn)”。
數(shù)字認證避坑指南：此階段的核心是密碼技術(shù)、管理措施的實現(xiàn)。切記密碼保障系統(tǒng)的建設(shè)是否正確最終是由“密碼應(yīng)用安全性評估”決定的，因此評估必須要全面，注意細節(jié)，有可度量的標(biāo)準(zhǔn)供參照。
3、同步運行定期評估：持續(xù)發(fā)揮密碼保障作用
到了同步運行階段，用戶要實現(xiàn)運行管理和控制，側(cè)重監(jiān)督檢查，確保應(yīng)急響應(yīng)與保障到位，并定期進行密碼應(yīng)用安全性評估。系統(tǒng)監(jiān)管方此時將按照國家、行業(yè)相關(guān)密碼應(yīng)用監(jiān)督檢查要求及標(biāo)準(zhǔn)，對密碼應(yīng)用活動開展監(jiān)督檢查工作；系統(tǒng)測評方則會定期開展商用密碼應(yīng)用安全性評估，確保信息系統(tǒng)的密碼應(yīng)用措施符合相應(yīng)的安全要求；系統(tǒng)運營方需要按照職責(zé)劃分和規(guī)章制度，正確執(zhí)行運行管理和控制。
數(shù)字認證避坑指南：密碼保障系統(tǒng)的正確運行直接關(guān)系到安全防護效果，需要系統(tǒng)運營方、監(jiān)管方、測評方充分合作。有的用戶懷著“過關(guān)即滿分”的心態(tài)，感覺只要監(jiān)管部門檢查過關(guān)，就可以將密碼保障系統(tǒng)束之高閣，這樣的思想并不可取。對于密碼保障系統(tǒng)落地而言，走到這個階段僅僅只是一個起點。
雖然“三同步一評估”的核心思路已經(jīng)清晰明確，但對用戶而言，搭建一套高質(zhì)量的密碼保障系統(tǒng)，依然難度不?。菏紫?，密碼系統(tǒng)建設(shè)具備較高的專業(yè)性，而用戶的密碼專業(yè)人才較少；其次密碼系統(tǒng)要與業(yè)務(wù)系統(tǒng)深度融合，安全需求必須全面摸清且精準(zhǔn)；最后在合規(guī)性、穩(wěn)定性方面，企業(yè)需要更專業(yè)的服務(wù)來確保密碼系統(tǒng)滿足監(jiān)管需求。
鑒于此，數(shù)字認證充分發(fā)揮多年形成的密碼保障系統(tǒng)規(guī)劃、密碼保障系統(tǒng)建設(shè)和密碼保障系統(tǒng)運行的技術(shù)能力和經(jīng)驗，形成科學(xué)的方法體系，為用戶提供全生命周期的密碼保障服務(wù)，這些服務(wù)目前已得到不少用戶的應(yīng)用和認可。
