近日,國務(wù)院總理李強主持召開的國務(wù)院常務(wù)會議審議通過了《商用密碼管理條例(修訂草案)》(以下簡稱《條例(修訂草案)》),并對規(guī)范商用密碼應(yīng)用和推動商用密碼市場發(fā)展做出部署。
會議要求,要全面貫徹總體國家安全觀,進(jìn)一步規(guī)范商用密碼應(yīng)用和管理,督促平臺企業(yè)依法履行用戶密碼保護(hù)責(zé)任,確保個人隱私、商業(yè)秘密和政府敏感數(shù)據(jù)的安全。要更好順應(yīng)數(shù)字經(jīng)濟(jì)快速發(fā)展趨勢,建立健全商用密碼科技創(chuàng)新促進(jìn)機制,推動商用密碼科技成果轉(zhuǎn)化和產(chǎn)業(yè)化應(yīng)用,促進(jìn)商用密碼市場持續(xù)健康發(fā)展。
一、行業(yè)與政策簡析
近年來,生成式人工智能(AIGC)、數(shù)據(jù)交易、數(shù)據(jù)全生命周期安全管理等業(yè)務(wù)場景快速發(fā)展,關(guān)鍵信息基礎(chǔ)設(shè)施安全的重要性突顯。應(yīng)用場景的復(fù)雜性和網(wǎng)絡(luò)安全的嚴(yán)峻形勢對商用密碼提出了更高的保障需求。商用密碼市場規(guī)模快速增長,成為行業(yè)剛需。
我國現(xiàn)有商用密碼產(chǎn)品3000余款,涵蓋軟件、芯片、模塊、板卡、整機和系統(tǒng)等產(chǎn)品形態(tài),形成了完整的商用密碼產(chǎn)品體系。同時商用密碼企業(yè)自主創(chuàng)新能力持續(xù)增強,產(chǎn)業(yè)支撐能力不斷提升,部分產(chǎn)品性能指標(biāo)達(dá)到國際先進(jìn)水平。
《中華人民共和國密碼法》的實施以及《商用密碼管理條例(修訂草案)》的通過,將進(jìn)一步規(guī)范密碼應(yīng)用市場,加快密碼技術(shù)與密碼產(chǎn)品創(chuàng)新,推動密碼在數(shù)字化進(jìn)程中的應(yīng)用普及。
二、新版《條例》重要修訂解讀
中國金融認(rèn)證中心(CFCA)信息安全專家郭嘉表示,《條例(修訂草案)》與1999年出臺的《商用密碼管理條例》相比,在結(jié)構(gòu)、內(nèi)容上均有大幅度的變化,全面貫徹落實了《密碼法》中商用密碼管理的具體制度。重要修訂內(nèi)容如下:
1.依托《密碼法》為上位法
由于1999年出臺的《商用密碼管理條例》早于《密碼法》的頒布時間,因此并未明確規(guī)定上位法依據(jù)。隨著《密碼法》的頒布實施,商用密碼管理作為我國密碼管理中的組織部分,其管理規(guī)范即可依托《密碼法》為上位法。而且《條例(修訂草案)》重點規(guī)定的檢測認(rèn)證、電子認(rèn)證、進(jìn)出口管理制度也與《密碼法》相關(guān)內(nèi)容同頻共振,進(jìn)一步落實了《密碼法》的管理要求。
2.“四級+專項”管理體制
1999年出臺的《商用密碼管理條例》對密碼管理實行的是國家和省級兩級管理體制?！稐l例(修訂草案)》依托《密碼法》,實際上確定了“四級管理+專項管理”的體制,即國家、省級、市、縣負(fù)責(zé)相應(yīng)行政區(qū)域的商用密碼工作,國家網(wǎng)信、商務(wù)、海關(guān)、市場監(jiān)督管理等有關(guān)部門在各自職責(zé)范圍內(nèi),負(fù)責(zé)商用密碼有關(guān)管理工作。
3.明確劃定商用密碼邊界
《條例(修訂草案)》秉承了《密碼法》的立法思路,第九條和第三十九條明確了“商用密碼技術(shù)”納入指導(dǎo)目錄的要求,也將“商用密碼服務(wù)”納入規(guī)制范圍。
4.細(xì)化密碼檢測認(rèn)證流程
2017年國務(wù)院取消了商用密碼產(chǎn)品生產(chǎn)單位審批、銷售單位許可、外商投資企業(yè)使用境外密碼產(chǎn)品審批、境外組織和個人在華使用密碼產(chǎn)品或者含有密碼技術(shù)的設(shè)備審批等四項行政許可事項。
《密碼法》頒布實施后,國家密碼管理局和市場監(jiān)管總局兩部門聯(lián)合推進(jìn)商用密碼檢測認(rèn)證體系建設(shè),制定商用密碼檢測認(rèn)證技術(shù)規(guī)范、規(guī)則,鼓勵商用密碼從業(yè)單位自愿接受商用密碼檢測認(rèn)證,提升市場競爭力?！稐l例(修訂草案)》對商用密碼產(chǎn)品檢測與認(rèn)證機構(gòu)的資質(zhì)要求、申請流程、主管機構(gòu)、監(jiān)督管理進(jìn)行深入細(xì)化。
5.加強電子認(rèn)證機構(gòu)管理
《密碼法》規(guī)定國家密碼管理部門對采用商用密碼技術(shù)從事電子政務(wù)電子認(rèn)證服務(wù)的機構(gòu)進(jìn)行認(rèn)定,會同有關(guān)部門負(fù)責(zé)政務(wù)活動中使用電子簽名、數(shù)據(jù)電文的管理?！稐l例(修訂草案)》進(jìn)一步規(guī)定,電子政務(wù)電子認(rèn)證服務(wù)機構(gòu)應(yīng)經(jīng)國家密碼管理部門認(rèn)定,并取得相應(yīng)資質(zhì)。
6.密碼進(jìn)出口清單式管控
1999年出臺的《商用密碼管理條例》規(guī)定進(jìn)口密碼產(chǎn)品及含有密碼技術(shù)的設(shè)備或者出口商用密碼產(chǎn)品,必須報經(jīng)國家密碼管理機構(gòu)批準(zhǔn)。任何單位或者個人不得銷售境外的密碼產(chǎn)品?！稐l例(修訂草案)》第五章規(guī)定了進(jìn)口《商用密碼進(jìn)口許可清單》和出口《商用密碼出口管制清單》中的商用密碼,應(yīng)當(dāng)向國務(wù)院商務(wù)主管部門申請領(lǐng)取兩用物項進(jìn)出口許可證。
7.密碼應(yīng)用由推薦變強制
等保2.0要求對于網(wǎng)絡(luò)安全等級保護(hù)第三級以上網(wǎng)絡(luò),要求運營者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù),但等保2.0僅為推薦性標(biāo)準(zhǔn),并不具備強制力?！稐l例(修訂草案)》中規(guī)定,非涉密的關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級保護(hù)第三級以上網(wǎng)絡(luò)、國家政務(wù)信息系統(tǒng)等網(wǎng)絡(luò)與信息系統(tǒng)都被要求“制定商用密碼應(yīng)用方案”“同步規(guī)劃、同步建設(shè)、同步運行商用密碼保障系統(tǒng)”,并“自行或者委托商用密碼檢測機構(gòu)開展商用密碼應(yīng)用安全性評估”。因此《條例》正式生效后,對商用密碼應(yīng)用的要求將由“推薦”上升為“強制”。
《商用密碼管理條例(修訂草案)》的正式通過,將促進(jìn)信息安全和密碼領(lǐng)域發(fā)生一系列重要變化,商用密碼推廣已具備必要基礎(chǔ)。萬事俱備,東風(fēng)已來,密碼行業(yè)將迎來重大發(fā)展機遇。
三、關(guān)于中國金融認(rèn)證中心(CFCA)
中國金融認(rèn)證中心(CFCA)是經(jīng)國家信息安全管理機構(gòu)批準(zhǔn)成立的國家級權(quán)威安全認(rèn)證機構(gòu),是國家重要的金融信息安全基礎(chǔ)設(shè)施。
CFCA專注于信息安全風(fēng)險管理領(lǐng)域,全面完善的信息安全服務(wù)貫穿信息系統(tǒng)整個生命周期。專業(yè)咨詢顧問團(tuán)隊以扎實的知識技能、豐富的實踐經(jīng)驗和多年積累的知識庫,服務(wù)于眾多金融機構(gòu)、非銀行機構(gòu)、政府機構(gòu)和大中型企事業(yè)單位,幫助企業(yè)構(gòu)建安全可靠的信息系統(tǒng)。
CFCA將以高度的責(zé)任心、使命感、緊迫感,堅定不移推進(jìn)密碼應(yīng)用與評估,更好地為我國數(shù)字經(jīng)濟(jì)保駕護(hù)航。
