2021密码应用技术白皮书

2022年1月25日作者：GoUpSec

2022年1月，国务院印发《“十四五”数字经济发展规划》（以下简称“规划”），明确了“十四五”时期推动数字经济健康发展的指导思想、基本原则、发展目标、重点任务和保障措施。规划指出，数字经济是继农业经济、工业经济之后的主要经济形态，是以数据资源为关键要素，以现代信息网络为主要载体，以信息通信技术融合应用、全要素数字化转型为重要推动力，促进公平与效率更加统一的新经济形态。

业务伴生风险。数据要素是数字经济深化发展的核心引擎，数据对提高生产效率的乘数作用不断凸显，成为最具时代特征的生产要素，数据的爆发增长、海量集聚蕴藏了巨大价值，数据的开发利用为经济社会发展提供了强大动力。安全是发展的前提，传统业务需求侧重于“希望发生什么”，而安全需求侧重于“不希望发生什么”，从而“确保发生什么”。因此，凡是有数据开发利用的场景，总会伴生着数据安全风险，都会产生数据安全需求。

风险驱动密码。数字时代呼唤安全创新，密码是国之重器，是数字技术发展的安全基因，是保障网络与数据安全的核心技术，也是推动我国数字经济高质量发展、构建网络强国的基础支撑。从实战需求看，日趋严峻的网络与数据安全威胁使得数字经济迫切需要密码技术这个“压舱石”，以有效抵御外部黑客攻击、防止内部人员泄露。从合规需求看，以密码应用安全性评估为抓手落实《密码法》，并结合《网络安全法》《数据安全法》《个人信息保护法》等法律法规，也在持续拉动密码应用新需求。实战与合规叠加的需求成为安全产业发展的关键动力，推动新密码市场加速形成。

密码融入业务。密码作为直接作用于数据的安全技术，只有融入数据处理流程才能有效防范业务风险。从技术路线上，传统“外挂式”密码产品采用开发改造应用的模式门槛高、周期长、风险大，用户面临“难用、难管”等挑战。“面向切面安全”等新模式提出“内嵌式”密码技术创新，将安全与业务在技术上解耦、但又在能力上融合交织，提供轻量级改造应用的实施模式，有效防护企业应用与数据，让密码“好用、好管”。

本白皮书以“用密”为主线展开介绍密码技术、产品、服务、集成、合规等密码相关知识，希望为需求和供给两侧从业者提供密码应用参考手册。作为重点部分，从业务视角归纳了20种密码应用模式，尝试在保密性、完整性、真实性、不可否认性等的基础上，从数据开发利用场景提炼更直观的密码使用方案。进一步的，对全面开展中的密评工作，梳理了典型的密评改造技术方案，为密评工作者提供参考。