密码政策问答（六）

  答:商用密码科研成果最重要的包含商用密码算法、协议、密钥管理方案等,而成果转化活动是一个复杂过程,转化的最终目的是形成新技术、新工艺、新材料、新产品,乃至发展新产业。也就是说,要形成现实的生产力,只有这样,才能实现该科研成果的价值。

  以商用密码算法为例,我国自主设计的SM4分组密码算法、祖冲之(ZUC)密码算法、SM2椭圆曲线密码杂凑算法,以及SM9标识密码算法等已成为商用密码国家标准或行业标准,标志着我国商用密码算法体系已经基本形成。SM系列算法经过了多轮安全性分析评估,在设计、实现方面均有各自特点和优势,有力地支撑了商用密码产业化、规模化发展,得到了愈来愈普遍的认可和应用。

  答:得益于商用密码研发技术和成果转化的有力支撑,商用密码的应用领域逐步扩大,应用程度不断加深,应用认可度不断的提高,在维护国家安全、促进经济社会持续健康发展、保护公民、法人和其他组织合法权益方面发挥着逐渐重要的作用。我国金融信息系统、第二代居民身份证管理系统、国家电力信息系统、社会保障信息系统、全国中小学学籍管理等系统中,都应用商用密码技术构建了密码保障体系。同时,商用密码的广泛应用也对高质量商用密码技术、产品和服务提出了迫切需求,反过来极大促进了商用密码技术的研发交流和转化运用。

  答:经过多年发展,我国商用密码产业取得长足进步,满足互联网空间条件下差异化、多样化应用需求的能力不断的提高,产业支撑能力显著增强。

  首先,商用密码产业队伍持续壮大。截至2019年12月,商用密码从业单位已达1000多家。随着信息化发展对密码需求的一直增长,以商用密码为主业的上市公司慢慢的变多,一批具有国际影响力的旗舰企业,踊跃进入商用密码产业领域,按照商用密码管理政策法规和标准规范研制商用密码产品、提供商用密码服务。这一些企业活跃在商用密码产业链条的所有的领域,形成了分布合理、竞争有序、创新力强的商用密码产业队伍,创造了巨大的经济效益与社会效益。

  其次,商用密码产品品种类型不断丰富。截至2019年12月,通过国家密码管理局审批的商用密码通用产品有2000余款。2019年,全年共销售商用密码产品19亿台/套。从产品形态上,覆盖芯片、板卡、整机、系统等全产业链;从功能性能上,一批关键、基础、高性能商用密码产品推向市场,基本形成层次分明、功能完善、性能优异的产品体系;从应用领域上,更多满足电力、公安、交通、税务、金融等领域密码应用需求的产品可供选择,也有一批针对移动互联网、物联网、云计算、大数据等新兴领域的特定商用密码产品研制成功并得到应用。

  此外,商用密码检测和电子认证服务能力逐渐增强。密码检测基础理论、技术平台建设、运行机制等方面都取得新突破,多项成果达到国际领先水平,较好地满足了商用密码管理和产业高质量发展对检验测试评估的需求。电子认证服务正在慢慢地构建一个以国家电子认证根CA为认证源点,辐射全国各地区各行业、连接上亿用户的电子认证体系。

  答:《密码法》第二十一条第二款规定:各级人民政府及其有关部门应当遵循非歧视原则,依法平等对待包括外商投资企业在内的商用密码科研、生产、销售、服务、进出口等单位(以下统称商用密码从业单位)。国家鼓励在外商投资过程中基于自愿原则和商业规则开展商用密码技术合作。行政机关及其工作人员不得利用行政手段强制转让商用密码技术。

  《密码法》充足表现非歧视和公平竞争原则,按照“放管服”改革要求,进一步削减行政许可数量,发挥标准引领作用,加强检测认证体系建设,激发市场主体活力和社会创造力,有关许可和检测认证体系对国内外产品、服务以及内外资企业一视同仁、同等适用。

  知识产权保护也是《密码法》突出强调的内容。《密码法》对商用密码技术合作的知识产权保护进行具体规定,明确商用密码技术合作的前提是基于自愿原则和商业规则,行政机关及其工作人员不得利用行政手段强制转让商用密码技术。

  《密码法》一方面回应了各有关方面对我国外商投资过程中知识产权保护尤其是技术合作、转让的关切,澄清问题,消除疑虑;另一方面,也表明了我国不利用行政强制手段强制转让商用密码技术的态度,依法平等保护包括外商投资企业在内所有市场主体的商用密码知识产权,切实健全统一、开放、竞争、有序的商用密码市场体系。

  答:《密码法》第二十二条规定:国家建立和完善商用密码标准体系。国务院标准化行政主任部门和国家密码管理部门依据各自职责,组织制定商用密码国家标准、行业标准。国家支持社会团体、企业利用自主创新技术制定高于国家标准、行业标准有关技术要求的商用密码团体标准、企业标准。

  商用密码标准化是实现商用密码技术自主创新、促进商用密码产业发展、构建商用密码应用体系的重要支撑。《密码法》明确商用密码标准体系包括商用密码国家标准、行业标准、团体标准和企业标准。

  商用密码国家标准、行业标准属于政府主导制定的标准,商用密码团体标准、企业标准属于市场主体自主制定的标准。其中,商用密码国家标准由国家标准化管理委员会组织制定,代号为GB。商用密码行业标准由国家密码管理局组织制定,报国家标准化管理委员会备案,代号为GM。商用密码团体标准由商用密码领域的学会、协会等社会团体制定,商用密码企业标准由商用密码企业制定或者企业联合制定。

  答:2011年10月,经国家标准化管理委员会批准,国家密码管理局设立了密码行业标准化技术委员会。密码行业标准化技术委员会作为我国密码行业唯一标准化组织,受国家密码管理局委托,主要职责包括:(1)提出密码行业标准规划和年度标准制定、修订计划的建议:(2)组织密码行业标准的编写、审查、复审等工作;(3)组织密码领域的国家和行业标准的宣传贯彻,推荐密码领域标准化成果申报科技进步奖励,或向国家标准化管理委员会提出项目奖励建议;(4)受国家标准化管理委员会委托,对相关国际标准文件进行表决、审查我国提案,并组织开展国际技术交流与合作等。

  答:当前,商用密码的行业标准分为基础类标准、应用类标准、检测类标准和管理类标准。基础类标准为其他三类标准提供了底层、共性支撑(如术语、算法、协议、产品等);检测类标准为基础类标准和应用类标准提供了合法性检测的功能,保障商用密码使用的合法性;管理类标准为其他三类标准提供了管理功能;应用类标准为上层具体的密码产品、服务应用提供支持。

  答:截至2019年12月,国家标准化管理委员会已发布商用密码国家标准29项,国家密码管理局已发布商用密码行业标准91项,覆盖商用密码技术、产品、服务、应用、检测和管理等多个领域,构建了较为齐全完备的商用密码标准体系,有效发挥了商用密码标准在引领科技进步、推动产业发展、促进互联互通、助力应用推进、优化管理服务等方面的重要作用。

  答:《密码法》第二十三条第一款规定:国家推动参与商用密码国际标准化活动,参与制定商用密码国际标准,推进商用密码中国标准与国外标准之间的转化运用。

  我国高度重视商用密码国际标准化工作,大力推进以我国自主设计研制的SM系列密码算法为代表的中国商用密码标准纳入国际标准,积极参与国际标准化活动,加强国际交流合作。2011年9月,我国设计的祖冲之(ZUC)算法纳入国际第三代合作伙伴计划组织(3GPP)的4G移动通信标准,用于移动通信系统空中传输信道的信息加密和完整性保护,这是我国密码算法首次成为国际标准。2015年5月起,我国陆续向ISO提出了将SM2、SM3、SM4和SM9算法纳入国际标准的提案。2017年,SM2和SM9算法正式成为ISO/IEC国际标准。2018年,SM3算法正式成为ISO/IEC国际标准。我国商用密码国际标准体系已初步成型,为密码在全球范围的发展与应用提供了中国方案,贡献了中国智慧。

  在转化运用国际标准方面,商用密码行业标准GM/T0028《密码模块安全技术方面的要求》和GM/T0039《密码模块安全检测要求》,分别参考国际标准ISO19790和ISO24759编制,为规范商用密码产品管理、提升商用密码产品安全防护能力发挥了及其重要的作用,充足表现了商用密码标准制定的开放性。

  60.问:为何需要鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准化活动?

  答:《密码法》第二十三条第二款规定:国家鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准化活动。

  企业、社会团体和教育、科研机构等全面深入地参与商用密码国际标准的制修订等国际标准化活动,是全球化的必然趋势和要求,有利于提升商用密码技术的全球影响力,同时也为降低包括密码脆弱性在内的全球网络安全整体风险贡献中国智慧和提供中国方案。