在新基建的大背景下，隨著網(wǎng)絡(luò)安全與密碼技術(shù)的不斷演進，融合密碼技術(shù)的網(wǎng)絡(luò)安全體系框架逐漸成為網(wǎng)絡(luò)安全建設(shè)的新趨勢。

在 2020 國家網(wǎng)絡(luò)安全周舉行之際，記者有幸在現(xiàn)場采訪到了中國電科集團網(wǎng)絡(luò)安全領(lǐng)域首席專家、中國網(wǎng)安副總工程師、衛(wèi)士通總工程師董貴山。就密碼在新基建中的應(yīng)用、服務(wù)等問題，董貴山談了他的看法。

董貴山：新型基礎(chǔ)設(shè)施主要包括三個方面內(nèi)容：一是信息基礎(chǔ)設(shè)施。主要是指基于新一代信息技術(shù)演化生成的基礎(chǔ)設(shè)施，比如，以5G、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、衛(wèi)星互聯(lián)網(wǎng)為代表的通信網(wǎng)絡(luò)基礎(chǔ)設(shè)施，以人工智能、云計算、區(qū)塊鏈為代表的新技術(shù)基礎(chǔ)設(shè)施，以數(shù)據(jù)中心、智能計算中心為代表的算力基礎(chǔ)設(shè)施等；二是融合基礎(chǔ)設(shè)施。主要是指深度應(yīng)用互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等技術(shù)，支撐傳統(tǒng)基礎(chǔ)設(shè)施轉(zhuǎn)型升級，進而形成的融合基礎(chǔ)設(shè)施，比如，智能交通基礎(chǔ)設(shè)施、智慧能源基礎(chǔ)設(shè)施等；三是創(chuàng)新基礎(chǔ)設(shè)施。主要是指支撐科學(xué)研究、技術(shù)開發(fā)、產(chǎn)品研制的具有公益屬性的基礎(chǔ)設(shè)施，比如，重大科技基礎(chǔ)設(shè)施、科教基礎(chǔ)設(shè)施、產(chǎn)業(yè)技術(shù)創(chuàng)新基礎(chǔ)設(shè)施等。

從以上三個方面的分類來看，新型基礎(chǔ)設(shè)施是未來引領(lǐng)數(shù)字經(jīng)濟發(fā)展的關(guān)鍵載體和支柱，覆蓋了網(wǎng)絡(luò)通信、信息計算、新興技術(shù)領(lǐng)域、行業(yè)性融合平臺以及科研支撐平臺，將成為數(shù)字中國在網(wǎng)絡(luò)空間“數(shù)字孿生”的沃土和通路。網(wǎng)絡(luò)安全作為新基建、數(shù)字經(jīng)濟發(fā)展的基石， 也受到了廣泛的關(guān)注與重視。

新型基礎(chǔ)設(shè)施具備基礎(chǔ)平臺支撐、海量數(shù)據(jù)匯聚、廣泛實體接入、泛在服務(wù)交付四大特性。“基礎(chǔ)平臺支撐”體現(xiàn)了新型基礎(chǔ)設(shè)施的總體定位，不管是信息基礎(chǔ)設(shè)施、融合基礎(chǔ)設(shè)施還是創(chuàng)新基礎(chǔ)設(shè)施，都具有顯著的基礎(chǔ)性和平臺性，是網(wǎng)絡(luò)通信、信息服務(wù)和科研創(chuàng)新的基礎(chǔ)支撐；“海量數(shù)據(jù)匯聚”“廣泛實體接入”體現(xiàn)了新型基礎(chǔ)設(shè)施的平臺價值，信息基礎(chǔ)設(shè)施和融合基礎(chǔ)設(shè)施匯聚了海量的通信數(shù)據(jù)、行業(yè)數(shù)據(jù)和科研數(shù)據(jù)，提供網(wǎng)絡(luò)互聯(lián)平臺，為廣泛的網(wǎng)絡(luò)實體提供網(wǎng)絡(luò)接入和服務(wù)功能；“泛在服務(wù)交付”體現(xiàn)了新型基礎(chǔ)設(shè)施的交付模式，不管是傳統(tǒng)基礎(chǔ)設(shè)施還是信息基礎(chǔ)設(shè)施，均是采用服務(wù)化的價值交付模式，結(jié)合互聯(lián)網(wǎng)泛在接入、網(wǎng)絡(luò)互聯(lián)的特點，新型基礎(chǔ)設(shè)施能夠為廣泛的網(wǎng)絡(luò)實體提供泛在化的服務(wù)覆蓋，最大化平臺價值。這四大特性無一不代表著巨大的數(shù)據(jù)價值和平臺價值，對網(wǎng)絡(luò)攻擊者具有極高的誘惑力，存在極大的安全風(fēng)險。

董貴山：“網(wǎng)絡(luò)安全與信息化是一體之兩翼，驅(qū)動之雙輪”。安全是發(fā)展的保障，發(fā)展是安全的目的，網(wǎng)絡(luò)安全和信息化建設(shè)互相依存、協(xié)調(diào)共生。新型基礎(chǔ)設(shè)施建設(shè)是“云大物移智”的有機聚合和結(jié)構(gòu)化升級，網(wǎng)絡(luò)安全風(fēng)險也覆蓋了信息服務(wù)平臺、IoT設(shè)備、PC端、移動端，這些承載著新基建業(yè)務(wù)、數(shù)據(jù)和服務(wù)的載體正在時刻接受海量網(wǎng)絡(luò)攻擊的考驗，如何全面保障新型基礎(chǔ)設(shè)施安全也受到了業(yè)界的廣泛關(guān)注。新型基礎(chǔ)設(shè)施作為國家級的網(wǎng)絡(luò)信息服務(wù)平臺、行業(yè)融合支撐平臺和科研平臺，應(yīng)參考關(guān)鍵信息基礎(chǔ)設(shè)施的相關(guān)要求進行安全防護設(shè)計和建設(shè)工作，同時針對新基建各領(lǐng)域特定場景進行定制化防護。傳統(tǒng)的網(wǎng)絡(luò)安全防護體系多具有通用性和普適性，無法細粒度的涵蓋到特定場景和業(yè)務(wù)數(shù)據(jù)流轉(zhuǎn)方面，而密碼技術(shù)因其技術(shù)特點和防護理念能夠深入到業(yè)務(wù)場景之中，與業(yè)務(wù)應(yīng)用進行深入融合，像為士兵穿上“盔甲”一樣，為防護對象提供“貼身防護”能力。

密碼是保障網(wǎng)絡(luò)和信息安全最有效、最可靠、最經(jīng)濟的關(guān)鍵核心技術(shù)，是網(wǎng)絡(luò)安全的最后一道防線，能夠為新基建的“基礎(chǔ)平臺支撐、海量數(shù)據(jù)匯聚、廣泛實體接入、泛在服務(wù)交付” 四大特性提供針對性的防護。

（1）密碼為“基礎(chǔ)平臺支撐”構(gòu)筑完善的安全防護體系。

新型基礎(chǔ)設(shè)施為國家信息化建設(shè)提供新一代的基礎(chǔ)支撐平臺，其平臺價值極高，因此需要完善的安全防護能力。密碼技術(shù)在網(wǎng)絡(luò)安全防護體系中位居核心和基礎(chǔ)地位，依靠密碼技術(shù)和網(wǎng)絡(luò)安全技術(shù)能夠打造集感知安全、傳輸安全、存儲安全、計算安全、處理安全、應(yīng)用安全于一體的安全防護能力，構(gòu)建以密碼技術(shù)為核心、多種技術(shù)相互融合的新網(wǎng)絡(luò)安全體系， 構(gòu)筑新基建安全防護體系。

（2）密碼為“海量數(shù)據(jù)匯聚”建立堅實的數(shù)據(jù)保護能力。

新型基礎(chǔ)設(shè)施是基于多種功能、多種要素、多種技術(shù)的體系化集成，支撐著跨領(lǐng)域、跨平臺和跨系統(tǒng)的數(shù)據(jù)交換和信息共享，提供海量數(shù)據(jù)分析，實現(xiàn)數(shù)據(jù)的互操作和流程協(xié)同。密碼技術(shù)提供的數(shù)據(jù)加密存儲、可信數(shù)據(jù)匯聚、安全數(shù)據(jù)共享、數(shù)據(jù)流轉(zhuǎn)確權(quán)能夠?qū)崿F(xiàn)數(shù)據(jù)的全生命周期安全，并對敏感數(shù)據(jù)、個人隱私數(shù)據(jù)提供針對性的數(shù)據(jù)脫敏、數(shù)據(jù)加密和數(shù)據(jù)隱藏能力，將防護能力深入到業(yè)務(wù)流轉(zhuǎn)之中。

（3）密碼為“廣泛實體接入”提供安全的鑒別防護機制。

新型基礎(chǔ)設(shè)施的部分重點領(lǐng)域如鐵路、公路、電網(wǎng)、通信、管網(wǎng)等，為規(guī)模化的網(wǎng)絡(luò)實體接入建設(shè)網(wǎng)絡(luò)互聯(lián)平臺，實現(xiàn)實體的廣泛接入和互聯(lián)通信。網(wǎng)絡(luò)互聯(lián)平臺的安全穩(wěn)定運行成為了新型基礎(chǔ)設(shè)施建設(shè)實現(xiàn)價值的前提。基于密碼技術(shù)為網(wǎng)絡(luò)實體建立安全的數(shù)據(jù)執(zhí)行和存儲環(huán)境，基于密碼技術(shù)建立平臺側(cè)與網(wǎng)絡(luò)實體之間的可信鑒別和安全傳輸機制，兩者結(jié)合構(gòu)建從終端側(cè)到平臺側(cè)的安全接入環(huán)境，有效的保護平臺外延的網(wǎng)絡(luò)實體安全，保障新型基礎(chǔ)設(shè)施的網(wǎng)絡(luò)實體安全和邊界接入安全。

（4）密碼為“泛在服務(wù)交付”構(gòu)建泛在的密碼服務(wù)能力。

從新型基礎(chǔ)設(shè)施的建設(shè)領(lǐng)域如智慧城市、物聯(lián)網(wǎng)、車聯(lián)網(wǎng)、充電樁可以看出，核心價值是為數(shù)字經(jīng)濟廣大領(lǐng)域提供泛在化的服務(wù)，將基礎(chǔ)能力提供給更多的企業(yè)、組織和個人去使用，拓展服務(wù)范圍，讓更多人享受數(shù)字經(jīng)濟發(fā)展的紅利。泛在的服務(wù)能力一方面需要服務(wù)于各行業(yè)領(lǐng)域，密碼技術(shù)需要依托各行業(yè)領(lǐng)域特性提供相適應(yīng)的防護能力，另一方面需要延伸到海量的網(wǎng)絡(luò)實體，這些網(wǎng)絡(luò)實體是新型基礎(chǔ)設(shè)施建設(shè)的價值延伸和受益主體，同時也會成為網(wǎng)絡(luò)攻擊的薄弱點和攻擊點，成為攻擊平臺的跳板。為此，需要建立泛在化的密碼保障機制， 為廣大行業(yè)領(lǐng)域提供泛在的密碼服務(wù)接入能力，為移動終端、PC端、IoT終端提供體系化的密碼防護能力，有力的支持新基建泛在服務(wù)的安全穩(wěn)定和可管可控。

新型基礎(chǔ)設(shè)施建設(shè)一方面兼具關(guān)鍵信息基礎(chǔ)設(shè)施的價值定位，另一方面融合新興技術(shù)、新興領(lǐng)域的業(yè)務(wù)特點，具有較高的復(fù)雜性和先進性。因此需要基于密碼技術(shù)為新型基礎(chǔ)設(shè)施設(shè)計建設(shè)完善的網(wǎng)絡(luò)安全防護體系。

董貴山：當(dāng)前，密碼的價值得到了廣泛的重視，2020年1月1日，《中華人民共和國密碼法》正式實施，2020年成為了“密碼法元年”，密碼法對密碼進行明確的定義，密碼是指采用特定變換的方法對信息進行加密保護、安全認證的技術(shù)、產(chǎn)品和服務(wù)。其中，商用密碼用于保護不屬于國家秘密的信息，公民、法人和其他組織可以依法使用商用密碼保護網(wǎng)絡(luò)與信息安全。商用密碼具備機密性、完整性、真實性和不可否認性四大防護特性，能夠應(yīng)對網(wǎng)絡(luò)安全的數(shù)據(jù)泄露、數(shù)據(jù)篡改、身份仿冒和行為否認等風(fēng)險。

商用密碼是我國自主完善的技術(shù)體系，經(jīng)過二十余年的發(fā)展和演進，提出了包含SM1、SM2、SM3、SM4、SM7、SM9和ZUC算法的一套完整自洽的商用密碼算法體系，建立了覆蓋密碼算法、密碼協(xié)議、密碼功能接口、密碼產(chǎn)品規(guī)格、密碼應(yīng)用要求和測評規(guī)范的一套完善的標(biāo)準(zhǔn)體系，形成了以密碼芯片、密碼板卡、密碼整機和密碼系統(tǒng)等傳統(tǒng)產(chǎn)品為主，多種產(chǎn)品形態(tài)和應(yīng)用模式并現(xiàn)的產(chǎn)品體系。

商用密碼的建設(shè)受到了政策、法規(guī)、標(biāo)準(zhǔn)、規(guī)范的全面推動。以法規(guī)奠定密碼法制基礎(chǔ)，國家相繼出臺了網(wǎng)絡(luò)安全法、密碼法，加速數(shù)據(jù)安全法、個人信息保護法立法進程，旨在規(guī)范網(wǎng)絡(luò)安全，以法理奠定密碼的核心定位；以政策推動密碼按需建設(shè)，國家在關(guān)鍵信息基礎(chǔ)設(shè)施、政務(wù)信息化建設(shè)、信創(chuàng)產(chǎn)業(yè)等方面均以政策文件的方式明確了密碼是網(wǎng)絡(luò)安全和信息化建設(shè)的重要組成部分；以標(biāo)準(zhǔn)構(gòu)建密碼使用基線，網(wǎng)絡(luò)安全等級保護標(biāo)準(zhǔn)體系的升級明確了密碼在等保定級和合規(guī)防護方面的基本要求，密碼行業(yè)標(biāo)準(zhǔn)體系的快速增補也在全面完善密碼技術(shù)和產(chǎn)品的合規(guī)應(yīng)用；以測評保障密碼應(yīng)用合規(guī)，參考網(wǎng)絡(luò)安全等級保護的測評機制和測評要求，密碼行業(yè)出臺了密碼應(yīng)用安全性評估制度，以測評來明確密碼應(yīng)用的合規(guī)性、正確性和有效性，從而保障密碼應(yīng)用設(shè)計的完備性和密碼產(chǎn)品在各個環(huán)節(jié)的正確有效使用。

新型基礎(chǔ)設(shè)施建設(shè)同樣需要密碼技術(shù)的保障，無論是從合法合規(guī)角度還是消除安全風(fēng)險角度來看，密碼技術(shù)都是新型基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的最后一道防線。

從基礎(chǔ)設(shè)施這個詞匯來看，密碼行業(yè)同樣存在一個基礎(chǔ)設(shè)施——公鑰密碼基礎(chǔ)設(shè)施（Public Key Infrastructure，PKI），公鑰密碼基礎(chǔ)設(shè)施是一個包括硬件、軟件、人員、策略和規(guī)程的集合，用來實現(xiàn)基于公鑰密碼體制的密鑰和證書的產(chǎn)生、管理、存儲、分發(fā)和撤銷等功能，目前已廣泛應(yīng)用于政務(wù)、金融、電力等構(gòu)架關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域，為其提供可信的密鑰和證書管理，建立網(wǎng)絡(luò)安全的可信根。

新型基礎(chǔ)設(shè)施繼承了傳統(tǒng)基礎(chǔ)設(shè)施建設(shè)的服務(wù)化特性，通過端到端的服務(wù)模式創(chuàng)造和交付價值，這一模式特性要求密碼支撐能力能夠提供相匹配的能力，PKI更傾向于傳統(tǒng)的安全基礎(chǔ)設(shè)施，提供基礎(chǔ)通用的密碼支撐能力，對新型基礎(chǔ)設(shè)施建設(shè)的密碼需求的匹配性不高。

新型基礎(chǔ)設(shè)施的基礎(chǔ)平臺支撐要求密碼支撐提供靈活彈性可伸縮的服務(wù)能力，海量數(shù)據(jù)匯聚要求密碼支撐提供融合數(shù)據(jù)全生命周期的數(shù)據(jù)防護能力，廣泛實體接入要求密碼支撐提供平臺化的通信保護和接入管控能力，泛在服務(wù)交付要求密碼支撐提供服務(wù)化的密碼交付能力，讓新基建的受益者能夠享受經(jīng)過密碼防護的安全新基建服務(wù)。這些能力都是傳統(tǒng)的密碼建設(shè)模式無法全面響應(yīng)的。為此我們提供建設(shè)以密碼服務(wù)平臺為核心的新型密碼管理與服務(wù)基礎(chǔ)設(shè)施，應(yīng)對新型基礎(chǔ)設(shè)施泛在互聯(lián)海量支撐的平臺特性提供泛在化、平臺化的密碼服務(wù)能力和一窗式、多維度的密碼管理能力。

董貴山：基于我上述提到的目標(biāo)，衛(wèi)士通提出了集密碼服務(wù)與密碼管理為一體的密碼服務(wù)平臺的理念模型。在該模型的服務(wù)側(cè)，密碼服務(wù)平臺包括層次化密碼服務(wù)、通用密碼中間件和API網(wǎng)關(guān)，通過標(biāo)準(zhǔn)化集成能力集成優(yōu)秀的密碼系統(tǒng)和密碼設(shè)備；通過資源虛擬化和微服務(wù)化設(shè)計對外提供覆蓋基礎(chǔ)密碼服務(wù)、通用密碼服務(wù)和安全應(yīng)用服務(wù)的層次化密碼服務(wù)能力；通過通用密碼中間件封裝層次化密碼服務(wù)接口為應(yīng)用提供一站式的密碼集成能力；依托API 網(wǎng)關(guān)與管理側(cè)協(xié)同實現(xiàn)對應(yīng)用的接入認證和訪問控制。在管理側(cè)，密碼服務(wù)平臺通過密碼設(shè)備與服務(wù)管理提供統(tǒng)一的訪問入口和管理界面，支持租戶、應(yīng)用、設(shè)備、服務(wù)和訂單的多維度管理，對使用情況進行信息統(tǒng)計和可視化展現(xiàn)，支撐外部的密碼監(jiān)管和安全運營；各類平臺用戶可以通過統(tǒng)一訪問入口進行登錄認證，完成各自的管理職責(zé)。

密碼服務(wù)平臺提出“密碼可用、密碼好用、密碼能管、密碼好管”的四大服務(wù)目標(biāo)。在密碼可用方面，通過密碼虛擬化、層次化密碼服務(wù)應(yīng)對目前密碼資源使用率低、密碼技術(shù)使用不當(dāng)、對新業(yè)務(wù)場景適應(yīng)性不強的問題；在密碼好用方面，通過通用密碼中間件、標(biāo)準(zhǔn)化集成能力應(yīng)對密碼與應(yīng)用對接困難、密碼服務(wù)接口不一致以及已建密碼資源難以利舊的問題；在密碼能管方面，通過API網(wǎng)關(guān)、密碼設(shè)備與服務(wù)管理應(yīng)對業(yè)務(wù)應(yīng)用情況不可控、密碼使用情況不可見以及密碼資源無法統(tǒng)一管理等問題；在密碼好管方面，通過密碼服務(wù)的使用計量和專業(yè)化技術(shù)團隊?wèi)?yīng)對密碼整體態(tài)勢無法獲取、密碼使用應(yīng)急能力不足以及使用計量困難等問題。

針對新型基礎(chǔ)設(shè)施的場景要求，密碼服務(wù)平臺在基礎(chǔ)密碼服務(wù)方面能夠提供海量密鑰和證書服務(wù)能力、適應(yīng)物聯(lián)網(wǎng)、車聯(lián)網(wǎng)的多元化證書簽發(fā)和管理能力以及覆蓋全網(wǎng)的密碼監(jiān)管和管理能力；在通用密碼服務(wù)方面能夠提供聯(lián)接人機物的異構(gòu)統(tǒng)一身份認證服務(wù)能力、數(shù)據(jù)流轉(zhuǎn)管控與追溯機制、物聯(lián)網(wǎng)設(shè)備的統(tǒng)一標(biāo)識管理能力、車聯(lián)網(wǎng)平臺的電子地圖安全管控服務(wù)和車端密碼支撐能力等針對性的密碼服務(wù)能力。

董貴山：新基建是數(shù)字中國發(fā)展的“新”階段，密碼服務(wù)是密碼行業(yè)發(fā)展的“新”模式，兩“新”碰撞，迸發(fā)新機，以新的密碼服務(wù)模式保障新基建的“內(nèi)生安全”。因此為保障密碼在新基建中發(fā)揮更好的安全支撐作用，需從多個角度推進新基建領(lǐng)域密碼應(yīng)用建設(shè)工作。

一是通過政策推動、業(yè)務(wù)驅(qū)動等推進密碼在新基建領(lǐng)域的廣泛部署，立足密碼作為網(wǎng)絡(luò)安全的“內(nèi)置基因”定位，實現(xiàn)新基建的“內(nèi)生安全”，推動密碼在新基建的建設(shè)和示范，形成新基建各典型領(lǐng)域密碼應(yīng)用最佳實踐。

二是從項目建設(shè)、場景需求中提煉業(yè)務(wù)場景和技術(shù)需求，開展密碼技術(shù)突破和產(chǎn)品研制，從而能夠?qū)崿F(xiàn)密碼技術(shù)與新基建各領(lǐng)域的深度融合，以密碼服務(wù)支撐基礎(chǔ)設(shè)施對外安全服務(wù)。三是落實國家網(wǎng)絡(luò)安全等級保護相關(guān)要求和密碼應(yīng)用建設(shè)的相關(guān)要求，在新型基礎(chǔ)設(shè)施建設(shè)過程中要同步規(guī)劃、同步建設(shè)、同步運行密碼保障系統(tǒng)并定期進行評估。在規(guī)劃過程中，要立足新型基礎(chǔ)設(shè)施安全要求，站在整體角度設(shè)計密碼應(yīng)用方案，在建設(shè)過程中，把密碼服務(wù)融入到整體架構(gòu)中，新型基礎(chǔ)設(shè)施需與密碼保障體系同步運行，并通過定期安全評估、密碼應(yīng)用安全性評估等手段，持續(xù)保持密碼應(yīng)用的有效性和安全性。