在新基（jī）建的（de）大背景（jǐng）下，随着网络安全与（yǔ）密码（mǎ）技（jì）术的不断演（yǎn）进，融合密（mì）码技术（shù）的（de）网络安全体系（xì）框架（jià）逐（zhú）渐（jiàn）成为网络安全建（jiàn）设的新（xīn）趋势（shì）。

在 2020 国（guó）家网络安全周举行之际，记者有幸在现场采访到了中国电科集团网络安全领域首席专家、中国网（wǎng）安副总工程师、卫（wèi）士（shì）通（tōng）总工程（chéng）师董贵（guì）山（shān）。就密码在新基建（jiàn）中的应（yīng）用、服务等（děng）问题（tí），董贵（guì）山谈（tán）了他的看法（fǎ）。

董贵山：新型基（jī）础设（shè）施主要包括三（sān）个（gè）方面内（nèi）容：一是信息基础设施。主要是指（zhǐ）基于新一代信息技（jì）术演化生成的基础设施，比如，以（yǐ）5G、物（wù）联网（wǎng）、工业互联网、卫星互联网为（wéi）代（dài）表的通信网（wǎng）络基（jī）础设施，以人（rén）工智能、云计算、区块链（liàn）为代表的（de）新技术基础（chǔ）设施（shī），以数据（jù）中心、智能（néng）计算中心为代表的算力基础设施等（děng）；二（èr）是融合（hé）基础（chǔ）设施（shī）。主（zhǔ）要是指深度应用互联网、大数（shù）据（jù）、人工（gōng）智（zhì）能（néng）等技术，支（zhī）撑传统基础设施转型升级，进而形（xíng）成的融合基础设施，比（bǐ）如（rú），智能（néng）交通基（jī）础设施、智慧能（néng）源基础设施等；三（sān）是创新基础设施。主要是指支撑科学研究（jiū）、技术（shù）开（kāi）发、产品研制的具有公益属性的（de）基础设施，比如，重大科技基础设施、科教基础设施、产业技（jì）术创新基础设（shè）施等。

从以（yǐ）上三个方面的分（fèn）类来（lái）看，新型基础设施是（shì）未来（lái）引（yǐn）领（lǐng）数字（zì）经（jīng）济发展的关键（jiàn）载体和支柱，覆盖（gài）了网络（luò）通信、信息计算、新兴技术领域、行（háng）业性融合平（píng）台以及科研支撑平台，将成为数字中国在网络空间“数字孪生（shēng）”的沃土和通（tōng）路。网络安（ān）全作（zuò）为新基建、数字经济发展的基石（shí）， 也（yě）受到了广泛的关（guān）注与重视（shì）。

新型基础设施具备基础平台支撑、海量数（shù）据汇聚、广泛实体接（jiē）入（rù）、泛在服务交付四大（dà）特性。“基础平台（tái）支撑”体现了（le）新（xīn）型基础设施的总（zǒng）体（tǐ）定位（wèi），不管是信息基础设施、融合基础设施还是创新基础（chǔ）设施，都具有（yǒu）显著（zhe）的基础（chǔ）性（xìng）和平台性，是网络通（tōng）信、信息服务和科（kē）研创新（xīn）的基础支撑；“海量数据（jù）汇聚”“广泛实体（tǐ）接入”体现了新（xīn）型基础设施的平台价值，信息基础设施和融合基础设施汇聚了海量（liàng）的通信数据、行业数据和科研数（shù）据，提供网（wǎng）络互联（lián）平台，为广泛的网络实体提供网络接入和（hé）服务（wù）功能；“泛在服务交付（fù）”体现了新型基础设施的交付模（mó）式，不管是传（chuán）统基础设施还（hái）是信（xìn）息基础设施，均（jun1）是（shì）采用服务化的价值交付模式，结（jié）合互联网泛在接入、网络互（hù）联的特点，新型基（jī）础（chǔ）设（shè）施能够为广（guǎng）泛的网络实体提供泛在化的服务覆盖，最大（dà）化平台（tái）价值。这四大（dà）特性无一不代表着巨大的数据价值和平台价值，对网（wǎng）络攻（gōng）击者（zhě）具（jù）有极（jí）高的诱惑力，存在（zài）极大（dà）的安全风险。

董贵山：“网络安全与（yǔ）信息化是一体之两（liǎng）翼，驱动（dòng）之（zhī）双（shuāng）轮”。安全是发（fā）展的保障（zhàng），发（fā）展是安全的目的，网络安全（quán）和（hé）信（xìn）息化建设（shè）互相（xiàng）依存、协调共生。新（xīn）型（xíng）基础设施建（jiàn）设是（shì）“云大物（wù）移智”的有机聚（jù）合和结构化（huà）升级，网络安全风险也覆盖了信息服务平台、IoT设备、PC端、移（yí）动端，这些承载着新基建业（yè）务、数据和服务（wù）的（de）载体（tǐ）正（zhèng）在时刻（kè）接（jiē）受（shòu）海量网（wǎng）络攻击的考（kǎo）验，如何全面保障新型基（jī）础设施安全也受到（dào）了业界的广泛关注（zhù）。新型（xíng）基础设（shè）施作为国家级的网络信（xìn）息服（fú）务平台、行业融合（hé）支撑平台和科研平台（tái），应参考关键信息基础设施的（de）相关要求进行安（ān）全防（fáng）护（hù）设计（jì）和建设工作，同时针（zhēn）对新基建各（gè）领域特定场景（jǐng）进行定制化防护。传（chuán）统的网（wǎng）络安（ān）全防护体系多具有（yǒu）通用性和普适（shì）性（xìng），无法细粒度的涵盖（gài）到特定场（chǎng）景（jǐng）和业务（wù）数据流转方（fāng）面（miàn），而密码技术因其技（jì）术特点（diǎn）和防（fáng）护（hù）理（lǐ）念能够（gòu）深入到业务场景之中，与业务应用进行深入融合，像为（wéi）士兵穿上“盔甲”一样，为防护对象提供“贴身（shēn）防护”能力。

密码（mǎ）是保障网（wǎng）络和信息安全最有效、最可靠、最经济（jì）的（de）关键核心技术，是网（wǎng）络安全的最后一道防线（xiàn），能够为新（xīn）基建的“基础平（píng）台（tái）支撑、海量数据汇聚、广泛实体接（jiē）入、泛在（zài）服务交（jiāo）付” 四大特性（xìng）提供针（zhēn）对性的防护。

（1）密码（mǎ）为“基础平台支撑”构筑（zhù）完善的安全防护体系（xì）。

新型基础设施为国（guó）家信息化（huà）建设提供新（xīn）一代（dài）的基（jī）础支撑平台，其平台价值极（jí）高，因此需要完（wán）善的安全防护能力。密码技术（shù）在网络安全防护体系（xì）中位居核心和（hé）基础地位，依靠密（mì）码技术和网络安全技术能够打（dǎ）造集感知安全、传输安全、存储安全、计算安全、处理安全、应用安全于一体的安（ān）全防（fáng）护能力，构（gòu）建以密码技术为核心、多种技术相互融合的新网络安全（quán）体系， 构筑新基建安（ān）全防护体系。

（2）密码为“海量数据汇聚（jù）”建（jiàn）立（lì）坚实的数据保护能力。

新型基础设施是基于多种功（gōng）能、多种（zhǒng）要素、多种技术的体系化集成，支撑（chēng）着跨（kuà）领域、跨平台（tái）和跨系统的（de）数（shù）据（jù）交换和（hé）信息共享（xiǎng），提供海（hǎi）量数据（jù）分析，实现数（shù）据的互操作和流程协（xié）同。密码（mǎ）技术提供的数据加密存储、可信数据汇聚、安全数据共（gòng）享、数据流转确权能够实现（xiàn）数（shù）据的全生命周（zhōu）期安全，并对敏（mǐn）感数据、个人隐私数据（jù）提（tí）供（gòng）针对性的数（shù）据脱敏、数据加密和数据（jù）隐藏能力（lì），将防护能力深入到业务流转之中。

（3）密码（mǎ）为（wéi）“广泛实体接入”提供安全的鉴别防（fáng）护机制（zhì）。

新型基础（chǔ）设施（shī）的部分（fèn）重（chóng）点领域如铁路、公路（lù）、电网、通信、管（guǎn）网等，为规模化的网络实体接入（rù）建设网络（luò）互联（lián）平（píng）台，实现实体（tǐ）的（de）广（guǎng）泛接入和互联通信。网（wǎng）络（luò）互联平台的安全稳定（dìng）运行成（chéng）为了新型基（jī）础设施建设实现价值（zhí）的前提。基于（yú）密码技（jì）术（shù）为网络实体建（jiàn）立安全的（de）数据（jù）执行和（hé）存储环境（jìng），基于密码技术建立平（píng）台侧与网络实（shí）体之间的可信鉴（jiàn）别和安全传输机制，两（liǎng）者结合构建从终（zhōng）端（duān）侧到平台侧的安全接（jiē）入环（huán）境，有效的（de）保（bǎo）护平台外延的网络（luò）实体安（ān）全，保（bǎo）障新型基础设施的网络实体（tǐ）安全和边界接入安（ān）全。

（4）密码为“泛在服务交付”构建泛在（zài）的密码服务能力。

从（cóng）新型基础设施的（de）建设领域如智慧城市、物联网、车联网、充电桩可（kě）以看出（chū），核心（xīn）价值是为数字经济广大领域提（tí）供（gòng）泛在化的（de）服务，将基础能（néng）力提供给（gěi）更多的企业、组（zǔ）织和（hé）个人去使用，拓展服务范围，让更多（duō）人享受数字经济发展的红利。泛在的服务能力（lì）一方（fāng）面（miàn）需要服（fú）务（wù）于各行业领（lǐng）域，密码技术需（xū）要依托各行业领（lǐng）域特性（xìng）提供相适（shì）应的（de）防（fáng）护能力，另一方（fāng）面需（xū）要（yào）延伸到海量的网络实体，这些网络实（shí）体是新型（xíng）基础设施（shī）建设的（de）价值延（yán）伸（shēn）和受益（yì）主体（tǐ），同时也会成为网络（luò）攻（gōng）击的薄弱点和攻击点，成为攻击（jī）平（píng）台的跳板（bǎn）。为此，需要建立泛在化的密码保障（zhàng）机（jī）制（zhì）， 为（wéi）广大行业（yè）领域提供泛在的密（mì）码（mǎ）服务接入（rù）能力，为移动终端、PC端、IoT终端提供体系化的密码防护（hù）能（néng）力（lì），有力的支持新基建泛在服务的安全（quán）稳定和可管可控。

新（xīn）型基（jī）础设施建设一方（fāng）面（miàn）兼（jiān）具关键信息基础设施的（de）价值定位，另一方面融合（hé）新兴技术、新兴领域的业（yè）务特点，具有较高的复杂性和先进性（xìng）。因此（cǐ）需要（yào）基于（yú）密码技术为（wéi）新型基础设施设计建设（shè）完善的网络安全防护体系。

董（dǒng）贵山：当前，密码的价值得到了（le）广泛的（de）重视，2020年1月（yuè）1日，《中华人民（mín）共和（hé）国（guó）密码法》正式（shì）实施，2020年成为了“密码法（fǎ）元（yuán）年”，密码法对（duì）密码进行明确的定义（yì），密码是指采用（yòng）特定（dìng）变换的方法对信息进行加密保护、安全认（rèn）证的技术、产品和服（fú）务。其中，商用（yòng）密码（mǎ）用于保（bǎo）护不属于国（guó）家秘（mì）密的信息，公民、法人和其他组（zǔ）织可以依法使用商用（yòng）密码保护网络（luò）与（yǔ）信息安（ān）全。商用密码具（jù）备机密性、完整性、真实性和（hé）不可否认性四大（dà）防（fáng）护特性，能够（gòu）应对网络安全（quán）的数据（jù）泄露、数据篡改、身（shēn）份（fèn）仿冒（mào）和（hé）行为否认等风险。

商用密码是我国自（zì）主完（wán）善的技术体系，经（jīng）过二（èr）十余（yú）年的发展和（hé）演进，提出了包含SM1、SM2、SM3、SM4、SM7、SM9和ZUC算法的一套完整自洽的商用密码算法体系，建（jiàn）立了覆盖密码算法、密码协议、密码功能接口、密码（mǎ）产品规格（gé）、密码应用（yòng）要求和（hé）测评（píng）规范的一套完善的标准体系（xì），形成了（le）以密（mì）码芯片、密码板卡、密码（mǎ）整机和密码系（xì）统等（děng）传统产品为主，多种（zhǒng）产（chǎn）品形态和应（yīng）用模式并现的产品体系（xì）。

商（shāng）用（yòng）密码的建设受到了政策、法规、标准、规范的全（quán）面推动。以法规奠定密码法制（zhì）基础，国（guó）家相继出台了（le）网络安（ān）全法、密码法，加速（sù）数（shù）据安全（quán）法、个（gè）人信息保（bǎo）护（hù）法立法进程，旨在规（guī）范网（wǎng）络安全，以法理奠（diàn）定密（mì）码的核（hé）心定（dìng）位；以（yǐ）政策推动密（mì）码按需建设，国家在关键信息基础设（shè）施、政务信息化建设、信创产业等方面均（jun1）以政策文（wén）件的方式明确了密码是（shì）网（wǎng）络安全和信息化建（jiàn）设的重（chóng）要组成部分；以标准（zhǔn）构建密（mì）码使用基线，网络安（ān）全等级（jí）保护标准体系的升级（jí）明确了密码在等保定级和合规防（fáng）护方面的基本（běn）要求，密码行（háng）业标准体（tǐ）系的（de）快（kuài）速增补也在全面完善密（mì）码技术和产品的合（hé）规应用；以（yǐ）测评保（bǎo）障密码应用合规，参考（kǎo）网络安全等级保护的测评机制和测评要求，密码行业出台了密码应用安全性评（píng）估制度，以测评来明确密码（mǎ）应用的合规性、正（zhèng）确（què）性和有（yǒu）效（xiào）性，从而保障密（mì）码应用设计的完备性和（hé）密码产品在各个环节的正确（què）有效（xiào）使用。

新型基础设施建设同样需要密（mì）码技术（shù）的保（bǎo）障，无（wú）论是从合（hé）法合（hé）规角度还（hái）是消除安全风险角（jiǎo）度来看，密码技术都是（shì）新型基础设施网络安（ān）全的最（zuì）后一道（dào）防线。

从基础设施这个词汇来看（kàn），密（mì）码行业同样存在一（yī）个基础设施——公钥密码（mǎ）基础设施（shī）（Public Key Infrastructure，PKI），公钥密码基（jī）础设施是（shì）一个包括硬（yìng）件、软件、人员、策略和规程（chéng）的集合，用（yòng）来（lái）实现基于公钥密码体制的密钥和证书的产生、管（guǎn）理、存（cún）储、分发和撤（chè）销等功能，目（mù）前已广泛（fàn）应用于政务、金融（róng）、电力（lì）等构架关键（jiàn）信息基础设施（shī）领域，为其（qí）提供可（kě）信的密（mì）钥和证书管理，建立网（wǎng）络安全（quán）的可（kě）信根。

新型基础设（shè）施继承了传统基础设（shè）施建设的服务化特性，通过端到端的服务模式创造和交付价（jià）值，这一（yī）模式特性要（yào）求密码支撑能力能够（gòu）提供相匹（pǐ）配的能力，PKI更倾向于传统的安（ān）全基础设施，提供基础通用（yòng）的密码支（zhī）撑（chēng）能力，对（duì）新型基（jī）础（chǔ）设施建设的密码需求的匹配性不高。

新型基础设施的（de）基础平台支撑要求密码支撑提（tí）供灵活弹性（xìng）可伸缩的服务（wù）能力，海量数据（jù）汇（huì）聚要求密码支撑提供融合数据全（quán）生命周期的数据防护能力，广（guǎng）泛（fàn）实体接入要求密码支撑（chēng）提供（gòng）平台化（huà）的通信保护（hù）和（hé）接入管控能（néng）力，泛在（zài）服务交付要（yào）求密码（mǎ）支撑提供服务化的（de）密（mì）码交付能力，让新基建（jiàn）的受（shòu）益（yì）者能够（gòu）享受（shòu）经过密码（mǎ）防护的安全新基建服务。这些能力都是传统的（de）密码建设模式无法（fǎ）全（quán）面响应的。为此我（wǒ）们提（tí）供建设以密码服务平台（tái）为核心的新型密码管理（lǐ）与服务基础（chǔ）设施，应对新（xīn）型基础设施（shī）泛在互联海量支撑的（de）平台特性提供泛（fàn）在化、平台化的密码（mǎ）服务能（néng）力（lì）和一窗式、多维度的密码（mǎ）管理能力。

董贵山（shān）：基于我（wǒ）上述提到的目标，卫士通提出（chū）了集密码服务与密码管理（lǐ）为一（yī）体（tǐ）的密码服务平台的理念模型。在该模型（xíng）的（de）服务（wù）侧，密码服务平台（tái）包（bāo）括层（céng）次化密码（mǎ）服务、通用密码中间（jiān）件和API网关，通过标准化集（jí）成能力集成优（yōu）秀的密码系统（tǒng）和密码设备；通（tōng）过（guò）资源虚（xū）拟化和微服（fú）务化设计对外提供覆盖基础（chǔ）密码服务、通用密码服务和安（ān）全应用服（fú）务的层次化密码服务能（néng）力；通过通用密码（mǎ）中（zhōng）间件封装层次化密（mì）码服务接口为应用提供一（yī）站式的密码集成能力；依托（tuō）API 网关与管理（lǐ）侧协同（tóng）实现对应用的（de）接（jiē）入认证和（hé）访（fǎng）问控制。在管理侧，密码服（fú）务平台通过密（mì）码设备与服务（wù）管（guǎn）理（lǐ）提供统一（yī）的访问入（rù）口和（hé）管理界面，支（zhī）持租户（hù）、应用（yòng）、设备、服务和订单的多维度管理，对使用情（qíng）况进行（háng）信（xìn）息统计（jì）和可视（shì）化展现（xiàn），支撑外部的密码监管和安全运营；各类平台用户（hù）可以通过统一（yī）访问入（rù）口（kǒu）进（jìn）行（háng）登录认证，完成各自的管理职（zhí）责。

密码服（fú）务平台提（tí）出“密（mì）码（mǎ）可用、密码（mǎ）好用（yòng）、密码能（néng）管、密码好管”的四大服务目标。在密码可用方面，通（tōng）过（guò）密码虚拟化、层次化密码服务应对目前密码资源使用（yòng）率（lǜ）低、密码技术使用不当、对新业务场景适应（yīng）性不强（qiáng）的问题；在密码好用方面，通过通用密码中间件、标准化集成能力应对密码与应（yīng）用对（duì）接（jiē）困难、密码服务接口（kǒu）不（bú）一致（zhì）以（yǐ）及已建密码资（zī）源难（nán）以利（lì）旧的问题；在密码能（néng）管方面，通过API网关（guān）、密码设备与服务管理应对业务应用情况（kuàng）不可（kě）控、密码使用情（qíng）况不可见以及密码资源（yuán）无法统一管理等问题；在密（mì）码好管方面，通过密码服务的使用计量和专业化技术团队应对密码整体态势（shì）无（wú）法获取、密码使用（yòng）应急能力不（bú）足（zú）以（yǐ）及使用计量（liàng）困难等问题（tí）。

针对新（xīn）型基础设施（shī）的场景要求，密码服务平台（tái）在基础密码服务方面能（néng）够（gòu）提供海量密钥和证（zhèng）书（shū）服务能力、适应物联网、车联网（wǎng）的多元（yuán）化（huà）证书签发和管理能力以及（jí）覆盖全网的（de）密（mì）码监（jiān）管和管（guǎn）理能（néng）力；在（zài）通用密码（mǎ）服务（wù）方面能够提供联接人机物的异构（gòu）统（tǒng）一身份认（rèn）证服（fú）务能力、数据流（liú）转管控与追溯（sù）机制、物联（lián）网设备的统（tǒng）一标识管理能力、车联网（wǎng）平台的电子地图安全管（guǎn）控服（fú）务和车（chē）端密码支撑能力等针对（duì）性的（de）密码服（fú）务（wù）能力。

董贵山（shān）：新基（jī）建是数字中国发展（zhǎn）的（de）“新”阶段（duàn），密码服务是密（mì）码行业发展（zhǎn）的（de）“新”模式（shì），两“新”碰撞，迸发新机（jī），以新（xīn）的密码（mǎ）服务模式保障新基（jī）建（jiàn）的“内生安全”。因（yīn）此为（wéi）保障密码在新基建中发挥更好的安（ān）全支撑（chēng）作用，需从多个角度推进（jìn）新（xīn）基建领域密码应用建设工作。

一（yī）是通过政策推动、业（yè）务驱动等推进密码在新基建领域的广泛部（bù）署（shǔ），立足密码作为网络安全的“内置基因”定位，实现新基建的“内生安（ān）全”，推动密码在新基建的建设和示范，形成新基建各（gè）典型领域（yù）密码应用最佳（jiā）实践（jiàn）。

二是从项目建设、场景需（xū）求中提炼业务场景和（hé）技（jì）术需求，开（kāi）展（zhǎn）密码技术突破和产品研制，从而能够实现密码技术与新基建（jiàn）各（gè）领域的深度融（róng）合，以（yǐ）密码服务支撑基础设施对外安全服务。三是落实国家（jiā）网（wǎng）络安全等级保护相关要求（qiú）和（hé）密码应用（yòng）建设（shè）的相关要求（qiú），在新型基（jī）础设施（shī）建设过程中要同步（bù）规划、同步建设、同步运行密（mì）码（mǎ）保障（zhàng）系（xì）统并定期进（jìn）行评估。在规划过程（chéng）中，要立足（zú）新型基础设施安（ān）全要求（qiú），站在整（zhěng）体角度设计密（mì）码（mǎ）应用方案，在建设过程（chéng）中，把密码服务融入到整体架构中，新（xīn）型（xíng）基础设施需与密码保（bǎo）障体（tǐ）系同（tóng）步运行，并通（tōng）过定期安全评（píng）估、密码应用（yòng）安全性评估等手段，持（chí）续保持密（mì）码应用的（de）有（yǒu）效性和安全性。