2021密码应用技术白皮书_460页_12mb

炼石 CipherGateway 2021 密码应用技术白皮书总结

核心内容

本白皮书由北京炼石网络技术有限公司发布，旨在阐述密码技术在数字经济中的应用价值、产业现状及合规要求，为行业从业者提供密码应用的参考指南。白皮书围绕“用密”展开，从技术、产品、服务、合规等多个维度深入探讨密码技术如何融入业务流程，提升数据安全水平，同时为密评（密码应用安全性评估）工作提供技术方案和合规指引。

主要观点

1. 数字经济伴生安全风险
   数字经济以数据为核心要素，数据在收集、存储、使用、加工、传输、提供、公开等环节均面临安全威胁，数据安全成为数字经济发展的重要保障。

2. 密码技术是数字安全的核心
   密码技术是数字安全的“压舱石”，是保障数据机密性、完整性、真实性、不可否认性等安全属性的核心手段。随着网络安全威胁的加剧，密码技术成为企业数据安全防护体系的重要支撑。

3. 实战与合规驱动密码应用发展
   实战需求（如防御黑客攻击、防止数据泄露）和合规需求（如《密码法》《网络安全法》《数据安全法》《个人信息保护法》等）共同推动密码产业进入黄金发展期。

4. “面向切面安全”模式推动密码应用创新
   传统“外挂式”密码产品存在门槛高、周期长、风险大等问题，而“内嵌式”密码技术将安全与业务解耦，但能力融合，实现“好用、好管”的目标。

5. 密码融入业务流程
   密码技术应直接作用于数据处理流程，构建“以数据为中心”的安全防护体系，提升数据访问控制、审计、防绕过等能力，实现数据安全与业务效率的统一。

6. 密评推动合规落地
   密码应用安全性评估（密评）成为推动密码合规应用的重要机制，密评涵盖从物理、网络、设备、应用等多个层面，对密码应用进行系统性检查，确保符合国家法规和标准。

关键信息

1. 数据安全风险分析

• 数据收集：超范围采集用户信息、信息泄露（如某程集团、某借网络、Zoom等案例）。
• 数据存储：黑客脱库、数据库漏洞（如某东电商平台、某论坛、某物流公司等案例）。
• 数据使用：内部人员违规操作、系统权限管理不善（如湖南某银行、伟易达等案例）。
• 数据加工：误操作导致数据删除、脱敏质量低（如某集团、Gitlab等案例）。
• 数据传输：网络攻击、传输泄露（如Zoom、微软、优步等案例）。
• 数据提供：未经授权的数据共享、数据泄露（如某银行、某市区政府等案例）。
• 数据公开：未进行保密审查、随意公开数据（如某医院、某市区政府等案例）。

2. 密码技术应用模式

从业务视角归纳了20种密码应用模式，包括：

• 身份鉴别及密钥管理（如PKI、IBC、预共享密钥、数字签名）
• 数据传输（如离线通信加密、代理重加密、在线通信加密、可感知窃听专线）
• 数据存储（如应用内加密、数据库加密、文件加密）
• 数据使用（如数据匿名化、访问控制、防绕过、可信计算、数字水印、防篡改、责任认定）

3. 密码技术发展趋势

• 密码产品需实现“能用、好用、好管”，满足企业业务需求和管理要求。
• 密码技术需适应云计算、物联网、移动终端等新兴场景，提升兼容性和性能。
• 密码技术应从“外挂式”向“内嵌式”转变，实现安全与业务的深度融合。

4. 密码产业现状与前景

• 我国商用密码产业在2016-2020年持续增长，2020年产业规模突破466亿元，同比增长33.14%。
• 《密码法》等法规推动密码应用规范化，促进密码技术在关键信息基础设施、政务系统、金融系统等领域的广泛应用。
• 各行业和地区相继出台密码应用标准和要求，如金融行业、政务系统、教育、医疗等。

5. 密评合规与技术方案

• 密评涵盖物理、网络、设备、应用等维度，对密码应用进行系统性评估。
• 密评改造技术方案包括总体框架、技术实施、密钥管理、安全管理、合规分析等。
• 密评评分规则、高风险项、测评流程等均有明确规范，确保密码应用合规性。

结论

本白皮书系统性地介绍了密码技术在数字经济中的关键作用，强调密码技术不仅是安全防护的手段，更是推动数字经济发展的重要支撑。面对日益严峻的数据安全挑战，企业需加强密码应用，构建以密码为核心的、多技术融合的数据安全防护体系，同时配合密评工作，实现合规与实战的双重目标。未来，随着国家政策的引导和法律法规的完善，密码产业将迎来更大发展机遇，推动数据安全防护向更高效、更智能、更合规的方向演进。