迈入新时代，信息技术应用创新是数字经济发展的基础，是制造强国、网络强国、数字中国建设的关键支撑。推进密码技术与信创产业的深化融合应用，对于发展软件和信息技术服务行业，支撑数字中国建设具有重要意义。为此，国家工业信息安全发展研究中心联合关键软件密码应用研究中心于2022年8月24日召开关键软件密码应用研讨会，旨在进一步完善《关键软件密码应用研究报告》相关内容，分析关键软件密码应用面临挑战，论证信创产业密码应用发展前景，为行业主管部门提供有力研究支撑。
炼石网络创始人、CEO白小勇受邀参会并发表了《密码技术与软件创新融合探索》主题演讲，立足信创产业步入快速发展期，深入探索密码技术与信创产业创新融合，推动我国产业软件密码应用生态升级，完善信创安全体系构建，保障数字经济发展、数字中国建设行稳致远。
《浪淘天地入东流——习近平总书记指引我国信息化发展纪实》一文中提出“从社会发展史看，人类经历了农业革命、工业革命，正在经历信息革命”“信息化为中华民族带来了千载难逢的机遇”“没有信息化就没有现代化”“我们必须抓住信息化发展的历史机遇，不能有任何迟疑，不能有任何懈怠，不能失之交臂，不能犯历史性错误”。
信创发展尽头是市场经济前提下的产业领先。当下，信创产业已进入发展关键期，这是我国坚持信息技术应用自主创新的必经之路。据艾媒咨询统计，中国信创产业规模在2020年突破1万亿，2021年信创产业规模超1.3万亿元，预计未来将保持高速增长态势。信创发展初期，采用指令式的手段，按照“计划经济模式”发展，旨在通过行业应用拉动构建国产化信息技术软硬件底层架构体系和全周期生态体系，解决核心技术关键环节“卡脖子”的问题，实现为数字中国建设夯实基础的目标。但信创产业的尽头，应该是市场经济前提下达到产业领先，在国家信创战略的指引下，依靠市场和广大企业、用户的自发选择。
坚持安全可控是实现信创高质量发展的关键。在实际建设发展中，信创产业面临着多方面的安全挑战：一是关键软件自主可控方面，中美贸易摩擦，凸显关键软件供应链安全风险，针对通用基础软件、重要领域应用软件，我国已开始布局国产化替代，但仍然需要周期；二是软件内建安全机制方面，安全的外部经济学、前景理论等特点，决定了安全机制总是滞后于业务设计，软件安全机制普遍薄弱；三是安全应用协同发展方面，传统安全合规侧重基础设施防护，导致安全主要以“外挂”模式保护应用与数据，导致安全与应用长期脱钩，如同隔靴搔痒，防护效果有限。
信创布局中亟待补齐密码技术安全对抗能力。密码作为保障数据安全的关键核心技术，本身就属于信创重要的组成部分，反过来又能为信创提供最经济有效的安全防护。我国应大力推进在构建自主可控信息技术体系中推进密码优先发展，构建以密码技术为核心、多种技术相互融合的新网络安全体系，建设以密码基础设施为支撑的新网络安全环境。从供给侧和需求侧入手，面向信创建立高质量商用密码应用体系，能充分发挥商用密码在保障信创安全的作用；将商用密码作为广义信创产业推广，也将加速国密生态建设进程，深化信创产业体系建设。
“密码信创政策”交织融合多重意义。具体来看，涵盖三个方面：一是政策密集出台驱动安全需求爆发；二是密码对信创产业安全护航与发展促进；三是政策扶持密码产业自身发展。
合规能有效破局安全需求的经济学外部效应。从经济意义来看，安全需求本身具备经济学的外部效应特征，即消费方与受益方不一致。以化工厂为例，如果没有《环境保护法》等法律法规制约，在不考虑社会责任的情况下，其最经济的选择是就地排污排废。就数据保护而言，如果没有外部的合规要求，数据泄露最直接的受害者就是老百姓，而对企业等数据处理者的自身利益没有实质损害。因此，对数据的服务者提出基础性的安全保障要求，如将密码应用保障数据安全的要求通过法定程序转化为国家意志，对于提升国家安全具有积极意义。
“一实战、双合规”辩证驱动安全产业发展。从技术实战来看，安全建设呈现“一实战、双合规”的辩证统一，密码技术贯穿始终。不论是攻防演练还是合规整改，本质上是解决实战对抗的问题，所以实战是检验数据安全能力的唯一标准。但是，实战对抗对应着偶发的、高技术水平的对抗风险，对于绝大部分企业来说，难以具备持续性的资源投入应对。而合规建设可将这种对抗性风险转变成常态的、可重复验证、可被审计的非对抗风险，合规更容易被推广。当然，合规需求也是来自于实战的最佳实践，实战与合规的需求是辩证统一的。在炼石看来，安全合规分为过程合规和结果合规。从过程看，密码作为一种直接作用于数据的技术手段，合规、正确、有效的使用密码技术，可以满足《密码法》等法定要求的“数据安全过程合规”。从结果看，DSM数据安全管理认证等是《数据安全法》《个人信息保护法》以及配套法律法规的落地手段，体现了“数据安全结果合规”。
信创产业亟需建设密码防护能力。当今，我国持续推进信息技术应用创新产业发展，推动信创产品和解决方案在更多领域落地应用。但是，信创产业正面临日益增多的安全威胁和“卡脖子”风险，关键软件安全既包含狭义的操作系统、数据库等安全，也包括广义上整个信创体系中的信息化应用安全。密码技术作为保障安全的核心技术和基础支撑，是维护信息安全最有效、最可靠的技术手段，是信创产业的护城墙。随着密码技术对社会生活各方面的渗透，其在维护国家安全、经济安全、保护人民利益中发挥着越来越重要的作用，成为夯实信息技术应用创新体系建设的安全保障。“密码护航信创”体现为，一是构建虚拟防护安全边界，为软件产业打造密码安全一体化的防护建设。流动的数据没有边界，密码技术可以对数据重构边界，打造防绕过的访问控制和高置信度的审计。通过加密技术，在边界上施加访问控制、审计等技术，实现“防绕过的访问控制”以及“高置信度审计”，进一步集成企业IAM身份认证管理，打造同时满足传统场景和零信任场景的有效数据保护。二是重构软件系统安全能力，以密码提供的安全技术和信任机制推动软件产业安全升级。针对开发中或完成开发的软件系统，密码提供适配开发阶段的技术支撑，对于投入使用的成熟产品，可以免开发或轻量级改造的方式进行安全能力建设，基于面向切面数据安全技术，将安全与业务在技术上解耦、但又在能力上融合交织，构建高覆盖率的安全增强点组合，融合识别、加密、去标识化、检测/响应、追溯等能力，实现主体到应用内用户、客体到字段级的细粒度防护。
密码作为信创组成部分互为促进。信创为密码产业发展注入新活力，推动密码高质量供给，面向多样化应用场景，新的信创产品从硬件和软件层面都在深刻改变着密码产品形态，为软件产业嵌入深融业务流程的密码安全能力夯实基础。密码产业自身供应链上中下游，对信创CPU、操作系统、数据库、中间件等有着丰富需求，这也拉动了信创的需求与供给两端发展。
信创密码主题贯穿国家各级政策。纵览国家顶层规划、多领域和多省市政策措施，“信创与密码主题”遍布其中。如今，信创产业已经跃上新台阶，面对后疫情时代，以及经济面临新的压力，信创和密码产业结合迎来新挑战。在遵循市场自然规律的前提下，如何合理制定政策措施，激发密码市场蓬勃发展，推进密码与信创产业深度融合，成为新时代的题中应有之义。
密码产业价值链重心在“用密”环节。从密码产业本身来说，核心的源头是算法，但算法在价值链分配中占据相对小的部分，更大的是应用密码的安全产品以及业务领域广泛密码应用。商用密码产业由密码算法（研究机构）、密码产品（密码厂商）、含密安全产品（安全厂商）以及密码应用产品（各种使用密码功能的业务应用系统开发商）组成。采用密码产品的目的就是将密码技术在各种应用场景中发挥作用，达到安全防护的目标。从密码算法到最终的密码应用，各个环节都将密码技术进行“叠加封装”，最终形成丰富的密码产品。落实到信创安全体系中，全面应用密码等新需求将对密码产品形态产生深刻影响，进而推进密码产业做强做优。
安全防护从应对式向主动式转变。目前的数据防护主流思路是应对式防御，未来在软件的不断发展过程中，软件交互与协同会更加频繁，软件功能会更加智能化，软件安全会面临更严峻的挑战，要实现软件产业与密码技术的深度融合，要推进软件产品集成运用相关密码功能，将密码功能变“外挂”为“内嵌”，既为产品本身提供安全保护，也直接对外提供密码支持。
安全机制与业务纽结缠绕难改造。在实践应用中，炼石发现密码应用最大痛点在于，安全机制和业务处理纽结缠绕、难以改造。例如，个人信息与重要数据保护主要是面向应用的功能型安全需求，容易遇到业务与安全研发排期不吻合，业务团队技术与响应跟不上；功能型安全需求要在应用中融合实现，但改造应用成本高、风险大、周期长；数据保护不落实，则合规风险越来越大、因泄露导致的业务风险会快速累积等问题。
免改造密码技术解决信创生态替换痛点。在信创产业发展中，不仅是CPU、操作系统、数据库等基础软件的升级，涉及广泛行业应用软件亟待升级替换是更大的市场空间，比如制造业的PLM/MES/ERP软件、医疗行业HIS软件、金融行业应用软件、能源行业应用软件、交通行业应用软件等等。这些巨大存量的应用软件普遍缺失内建密码安全机制，在全面“信创化”的过程中缺乏有效手段增强密码安全能力，因为通过开发改造模式成本极高、影响业务连续性，还有源代码维护等技术可行性挑战，从而面临“不改有风险、强改会要命”的两难困境。因此，创新的免改造密码技术，无需开发改造应用代码，面向复杂应用软件可以快速实施密码安全保护，能够有效解决广泛行业应用软件全面“信创化”的巨大痛点，深化融合密码与信创产业。
炼石作为数据安全技术创新厂商，推出基于信创平台的重要数据和个人信息保护免改造应用方案，兼容龙芯、飞腾、鲲鹏、兆芯等国产CPU平台，并适配了麒麟、统信等国产OS平台，从数据收集、存储、使用、加工、传输、提供、公开等全生命周期对数据有效防护，打造“以加密和去标识化技术为核心，融合数据识别、防护、检测/响应、追溯等多种安全技术”的实战化数据安全防护体系。
行之力则知愈进，知之深则行愈达。信创是国家重要战略，也是国家经济发展的新动能。炼石将持续在信创产业深耕，加强数据安全前沿技术的自主研发，并不断将创新技术应用于更多场景，在更多领域为客户提供专业的服务，筑牢数据安全屏障，助力信创产业发展。
炼石网络是一家数据安全技术创新厂商，先后获得安天、国科嘉和、腾讯等投资，面向个人信息和商业数据保护等场景，开创自研“免改造数据安全”产品，以及DSM数据安全管理平台。炼石免改造数据安全夺得第七届互联网安全大会（ISC 2019）首届“创新独角兽沙盒大赛”总冠军，技术特色是免开发改造应用的数据保护、高性能国产密码和去标识化技术，为政府、金融、运营商、交通、教医旅、工业等用户提供个人信息保护、商业数据保护、DSM数据安全管理合规改造、国密合规改造。面向《密码法》《数据安全法》《个人信息保护法》等法律法规，企业重要数据与个人信息亟待提升防护水平与合规改造。炼石基于免改造数据安全技术，通过高覆盖率的数据控制点，横向覆盖广泛应用，纵向叠加发现识别、加密、去标识化、检测/响应、审计追溯等安全能力，有效保护结构化与非结构化数据，实现集中式管控、分布式保护，可应用在数据存储、使用、加工、传输、提供等环节。炼石方案可在不影响业务的前提下敏捷实施上线，将安全与业务在技术上解耦、但又在能力上融合交织，实现主体到应用内用户、客体到字段/文档级的有效保护，打造实战化数据安全防护体系。
![白小勇：深化融合密码与信创思考]( "白小勇：深化融合密码与信创思考")
原文始发于微信公众号（炼石网络CipherGateway）：白小勇：深化融合密码与信创思考
评论