商用密码应用为什么比等级保护落地更难.docxVIP

商用密码应用为什么比等级保护落地更难？

之前说了不少商用密码的问题，即因为商用密码应用的困难，现阶段国家有关部门没有大面积强制要求，今天说说为什么商用密码应用比等级保护更难落地。

防护的深度不同。

等级保护虽然也提出了“一个中心，三重防护”，即安全计算环境、安全区域边界、安全通信网络等三重防护，安全管理中心一个中心，但在实际过程中并没有要求全部做到，只要分数足够且没有高危漏洞即可，这使得实践中大多数是在安全区域边界和安全通信网络上下功夫，对应用系统自身的影响不大。

商用密码应用的要求则更加深入，技术上从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个角度提出了要求，其防护深度更是到了应用和数据安全，在防护深度上是要比等级保护更加深入，对应用系统自身的影响很大。

对应用系统改造的要求不同。

由于等级保护制度中的各项防护基本上都可以通过外挂设备的形式实现，等级保护对应用系统自身的要求不高，大部分系统可以先按照传统模式开发，再进行适当的安全加固即可。

但商用密码应用则不然，由于深入到了应用和数据安全，需要对应用系统使用的软件和数据存储机制进行改造，例如使用国密数据库加密、国密SSL证书等等，由于国密为中国特有，开发商只能摸着石头过河，对信息系统进行深度改造，其难度之大不亚于重新开发

产业的成熟度不同。

网络安全产业发展多年，已经较为成熟，基本上等级保护各项要求都有成熟的商业产品，直接采购即可。而商用密码产业则不然，在物理和环境安全和网络和通信安全有了可以接受的方案，但在设备和计算安全和应用和数据安全上，却仅仅提出了密码加密机的解决方案，缺乏扩展能力，成为了系统的性能瓶颈，仅适用于小型信息系统，中大型系统根本无法使用。

同时，与等级保护中各项要求只有能证明具备能力即可不同，商用密码应用却非常强调国密证书，简单来说，对等级保护来说，如果企业自行研发或使用开源IPS软件，只要能证明具备入侵防护能力，等级保护就认可，但对商用密码应用来说，即便安全公开文档实现了国密算法，只要没有国密证书，密评就不认可。

这个区别对于大型企业来说是难以接受的，这类企业规模大，在系统建设上不可能大量采购成品，在实现等级保护上是购买软件授权进行二次开发或者自行开发，这样的成本和可控性才能保证，现有密评的僵化政策使得这类企业无法使用商用密码。

国内外可借鉴经验不同。

国际上，商用密码实际上是中国特有的，国外在这一领域多数是采用国际通用算法，这导致没有国外经验可以借鉴。国内上，由于产业成熟度问题，仅有小型系统实施经验，大型系统由于僵化的密评制度，唯密评证书问题，几乎没有大型企业和大型系统应用商用密码。国内外应用经验的匮乏，更是进一步加剧了应用商用密码的难度，而等级保护则简单的多，百度一下就有很多案例。

商用密码应用目前处于意义重大但无法落地的窘境，要想解决就需要在制度上学习等级保护制度，改革密评制度，测评不再是单单看密评证书，而是真正的去测试、去检验，拥抱开源，放弃割韭菜和卖盒子的思想，用产品和服务获得客户。