:什么是商用密码?
答:商用密码用于保护不属于国家秘密的信息。也就是说,商用密码可以用于保护除国家秘密之外的所有信息，既可以保护企业商业秘密、公民个人隐私，也可以保护政务领域中不属于国家秘密的工作信息。关于商用密码的名称，1996年，中央决定在我国大力发展商用密码，加强对商用密码的管理。1999年，国务院颁布施行《商用密码管理条例》(国务院令第273号)，商用密码的名称开始为社会所熟知和广泛使用。此后，中央文件和党内法规以及国家密码管理局制定发布的规范性文件均采用了“商用密码”这一名称。
问:《密码法》在商用密码使用方面提出了什么样的管理要求?
答:《密码法》规定公民、法人和其他组织可以依法使用商用密码保护网络与信息安全，对一般用户使用商用密码没有提出强制性要求。同时，为了保障关键信息基础设施安全稳定运行，维护国家安全和社会公共利益，《密码法》第二十七条规定了关键信息基础设施的商用密码使用要求。
公民、法人和其他组织可以依法使用商用密码，既是《密码法》赋予公民、法人和其他组织自主选择使用商用密码的权利，也是鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全。
问：为什么要加强密码安全教育?
答：密码安全事关国家安全，密码安全意识是国家安全意识的重要内容。密码安全教育是密码工作的重要组成部分，对密码工作高质量发展起着重要的导向和促进作用。做好密码安全教育工作，对于正确贯彻中央关于密码工作的方针政策，提高全民密码安全意识，引导全社会合规、正确、有效使用密码，确保密码使用优质高效、确保密码管理安全可靠，具有重要意义。
问：为什么要把密码安全教育纳入国民教育体系和公务员教育培训体系?
答：将密码安全教育纳入国民教育体系，在各阶段的教育过程中，开展密码常识、密码安全意识的教育，有利于提高全民密码安全意识，提高全社会自觉使用密码保护网络与信息安全、维护国家密码安全的意识。
在公务员培训中，密码安全教育主要是关于密码常识、密码安全意识和密码工作的教育，将密码安全教育纳入公务员教育培训体系，有利于公务员在履行职责过程中更好地贯彻总体国家安全观，提高密码安全意识与履职能力。
转自|哈密市委机要保密局
来源： 哈密零距离
月1日起，新修订的《商用密码管理条例》将正式生效，随着现在数字化进程的加快，商用密码已经应用在老百姓生活的方方面面，为大家提供安全保障。
什么是密码？
根据《中华人民共和国密码法》的规定，密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。举个例子，小张约小王去食堂吃饭，但是不想让别人知道，相互约定以“0”代表小张，“1”代表小王，“7”代表食堂，“9”代表吃饭，“0179”就代表了“小张约小王去食堂吃饭”这样的意思，这个过程中，数字和语义之间的替代就是最原始的一种“密码”。我们常在谍战影视剧作品中看到通过摩斯密码等方式传递情报的情节，其实正是密码的一种应用。
而生活中，我们常说的手机密码、银行卡密码这些，实际上应该被称为“口令”，是一种简单的认证方式，并不是严格意义上的“密码”。
那么商用密码指的是什么呢？
根据《中华人民共和国密码法》的规定，密码分为核心密码、普通密码和商用密码。
核心密码、普通密码用于保护国家秘密信息，本身也属于国家秘密，主要用于党和国家的一些重大活动，或是抢险救灾这类突发事件。
商用密码则用于保护不属于国家秘密的信息，是与老百姓生活息息相关的一类密码，广泛应用在金融、通信、公安、税务等国民经济发展和社会生产生活的众多领域。《商用密码管理条例》正是对这类密码的应用和管理进行规范的国家行政法规。
国家密码管理局商用密码管理办公室主任 李国海：《商用密码管理条例》最早是1999年制定的，随着时代发展，商用密码在维护国家主权、安全和发展利益以及保障网络和信息安全方面的作用越来越凸显，原条例已不能很好适应当前的新形势新任务。根据2020年施行的《中华人民共和国密码法》，对《商用密码管理条例》进行了修订，从而更好地规范商用密码应用和管理，发挥商用密码在保护网络与信息安全中的核心作用。
商用密码守护百姓数据安全
商用密码涵盖了老百姓生活的众多领域，比如现在常用的移动支付、电子政务等都使用了商用密码技术，确保老百姓的数据安全。
密码的主要功能是加密保护和安全认证，具有防篡改和不可抵赖的特性，对数据的保护能力非常强。
新修订的《商用密码管理条例》规定：“国家支持网络产品和服务使用商用密码提升安全性，支持并规范商用密码在信息领域新技术、新业态、新模式中的应用”。
从2020年10月开始，我国新发的金融IC卡，也就是我们常用的芯片银行卡，就全部使用了自主可控的芯片和商用密码等技术确保支付安全。随着技术升级，现在大家在生活中广泛使用的移动支付，可实现无网无电支付的数字人民币，这些数字化支付方式的背后，也都使用了商用密码技术、产品和服务。
以数字人民币为例，假设小张在水果店通过数字人民币消费了100块钱，如何在小张和水果店老板之间建立安全的交易环境与通道？怎样确保交易金额不被篡改？如何防止小张在交易过程中的支付信息被第三方窃取？这就需要商用密码加密保护和安全认证功能的支持。
中国人民银行数字货币研究所信息安全专家 霍云：在交易过程中，数字人民币根据不同使用场景，综合使用多重签名、协同签名、混合加密、消息认证码、数字证书、零知识证明等各类密码技术，对用户，运营机构，支付平台，商户、终端和机具等角色进行身份认证，对交易数据进行加密解密和签名验签，保护用户资金不被盗用、交易数据不被篡改，个人信息不被滥用，守好百姓的钱袋子。
规范商用密码在信息领域应用
除了移动支付领域，日常生活中，我们使用的身份证、社保卡、门禁卡以及各类电子证件，包括我们的各类通信手段，大家经常使用的电子政务，在医院看病的电子病历等等，这些都运用了商用密码技术对信息交互、身份认证、数据存储等过程进行保护。
可以说，商用密码技术与我们的生活密切相关。如何更好规范商用密码在信息领域的应用？新修订的《商用密码管理条例》规定：“国家鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全”，强调“任何组织或者个人不得窃取他人加密保护的信息或者非法侵入他人的商用密码保障系统，不得利用商用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动”。
推进检测认证体系建设 激发市场活力
随着商用密码应用日益广泛，我国商用密码企业迅速增长，商用密码研发、推广的市场前景也越来越好。为了更好激发市场活力，《商用密码管理条例》修订过程中，也对行政审批等流程进行了简化优化。
国家密码管理局商用密码管理办公室主任 李国海：修订后的《商用密码管理条例》坚持放宽准入与规范监管相结合。按照行政审批制度改革要求，放宽市场准入，将原先的全环节严格管控，调整为对关键环节进行重点把控，把更多行政资源从事前审批转到事前事中事后监管，使商用密码管理真正“放得开”、确保“管得住”。
立足激发市场活力和经营主体内生动力，《商用密码管理条例》在修订过程中，取消了商用密码产品生产单位审批、销售单位许可、品种和型号审批，取消了商用密码科研机构指定审批。同时明确，国家推进商用密码检测认证体系建设，鼓励在商用密码活动中自愿接受商用密码检测认证；要求建立国家统一推行的商用密码认证制度，实行商用密码产品、服务、管理体系认证；强调要规范检测机构活动，依法依规对商用密码进行审查。
工业和信息化部商用密码应用产业促进联盟理事长 杨建军：商用密码的检测认证主要检测的是商用密码产品是不是满足我们国家的商用密码相关的一些算法、技术接口、功能等等相关的一些标准，如果这个产品一旦通过了认证，也就是说它符合了这些标准以后，对它的市场推广来说非常有利。从用户选择角度来说，他肯定要选择一些通过认证的产品，所以这样一来也会提高这个产品的市场竞争力。
可以说，新修订的《商用密码管理条例》出台后，将为推进新时代商用密码高质量发展、保障网络与信息安全、维护国家安全和社会公共利益、保护公民合法权益提供有力法治保障。
来源：央视新闻客户端
本定义
《中华人民共和国密码法》第2条对密码做了明确定义，即“密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务”。
按照《中华人民共和国密码法》相关规定，国家对密码实行分类管理，将密码分为核心密码、普通密码和商用密码三大类。
其中，核心密码、普通密码用于保护国家秘密信息。商用密码是指对不属于国家秘密内容的信息进行加密保护、安全认证所使用的密码技术、密码产品和密码服务。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。
商用密码技术是保障信息安全的核心技术。从功能上看，主要包括加密保护技术和安全认证技术。加密保护是指采用特定变换的方法，将原来可读的信息变成不能直接识别的符号序列。
安全认证是指采用特定变换的方法，确认信息是否完整、是否被篡改、是否可靠以及行为是否真实。从内容上看，主要包括密码算法、密钥和密码协议。常用密码技术包括对称加密、公钥加密、哈希、数字签名等。
商用密码产品是指采用密码技术对不涉及国家秘密内容的信息进行加密保护或安全认证的产品，即承载密码技术、实现密码功能的实体。按照形态划分，商用密码产品分为六类：软件、芯片、模块、板卡、整机、系统。
按照功能划分，商用密码产品分为七类：密码算法类、数据加解密类、认证鉴别类、证书管理类、密钥管理类、密码防伪类和综合类。
常见的商用密码产品有安全芯片、签名验签服务器、存储加密机、IPSec VPN安全网关、POS密码应用系统、密钥管理系统、身份认证系统、数字证书认证系统、电子印章系统等。
某公司签名服务器产品应用流程示意图
商用密码服务是指基于密码专业技术、技能和设施，为用户提供集成、运营、监理等商用密码支持和保障的服务活动，即基于密码技术和产品，实现密码功能，提供密码保障的服务行为。其主要类型包括商用密码咨询服务、知识和技术培训服务以及应用系统的集成、运营和维护保障服务等。
密码咨询服务是指从政策、标准、规范、管理、技术、体制、机制等方面为用户提供有关密码的咨询服务。
密码知识和技术培训服务是指为用户提供商用密码基础知识、产品使用及安全管理、法规标准等方面的知识技能培训服务。
密码应用系统集成服务是指将商用密码产品和系统，与用户的网络设备及信息系统进行集成，以满足用户信息系统的密码保障需求并实现相应的安全目标，比如数字证书认证系统集成。
密码应用系统运营服务是指基于自身的密码应用系统和设备，使用密码技术，为用户提供以数据信息加密、身份认证为主要内容的经营性服务，比如增值税发票防伪税控系统运营。
密码应用系统维护保障服务是对商用密码产品及系统的安全性实行安全管理和维护服务。商用密码服务需要通过认证的方式对其质量与安全性进行技术把关，通过电子认证机构提供的电子认证服务，来规范商用密码服务的市场准入。
技术功能
作为一种重要的密码类型，商用密码同样可以保障信息的机密性、完整性、真实性和不可否认性。
机密性是指商用密码保证信息不被泄露给其他非授权实体的特性。信息是网络空间中最有价值的资产，信息泄露会对国家政治、军事、社会、行业、团体和个人带来巨大危害和影响。信息的机密性是网络与信息安全的重要属性之一。采用密码技术中的加密保护技术，可以实现信息的机密性。
完整性是指商用密码确保数据没有受到非授权篡改或破坏的特性。信息时代的数据规模大、应用领域多、使用价值高，如何保证这些数据在传输、存储过程中不被篡改成为重要课题。密码中的摘要算法等多种算法技术，可以用来实现数据的完整性保护，这也是密码安全属性的基本要素之一。
真实性是指商用密码保证信息来源可靠、没有被伪造和篡改的特性。如何鉴别信息的合法性、如何确认真实的身份信息、如何防止信息冒充等都是信息化建设应用过程中网络信息安全的基础性要求，随着信息化技术的广泛应用，它们将直接影响社会经济生活各个方面的健康稳定，密码中的身份认证技术（数字签名、消息认证码、身份认证协议等）可以有效解决信息的真实性等问题。
不可否认性是指商用密码确保一个已经发生的操作行为无法否认的性质。随着电子商务、网络支付等新兴模式的广泛普及和应用，网络上已生效的电子合同、电子声明等如何防止抵赖是实现网络与信息安全的重要任务之一。基于公钥密码算法的数字签名技术可解决行为的不可否认性问题。
主要作用
密码是目前世界上公认的，保障网络与信息安全最有效、最可靠、最经济的关键核心技术。
早期密码主要用于对数据的加密保护，现代密码不仅可以实现对数据的加密保护，还可以很好地实现对实体身份和数据来源的安全认证，满足网络和信息系统对机密性、完整性、真实性和不可否认性的安全需求。
对于我国而言，密码是重要的网络空间战略资源，是保障我国网络空间安全的核心技术和基础支撑，是构建网络信任体系的重要基石，是网络与信息安全的“内在基因”。
当前我国仍有较多领域采用国外制定的加密算法，存在着一定安全风险，一旦被不法分子利用攻击，将会带来巨大的损失。维护国家网络信息安全是密码应用的核心价值，需要积极推动密码技术和产品的自主创新，确保核心技术不被“卡脖子”，这也是保障国家安全的突出要求。
来源：中国信通院云计算与大数据研究所
