引 言

數字時代，數據成為國家基礎性戰略資源和重要生產要素，數據安全事關國家安全、經濟發展、人民利益。2021年6月，十三屆全國人大常委會第二十九次會議通過了《中華人民共和國數據安全法》，并于2021年9月1日起施行。《數據安全法》是數據安全領域的基礎性法律，其堅持總體國家安全觀，統籌發展與安全，以基本法的形式明確了我國數據安全治理體系的頂層設計和“四梁八柱”，以安全保發展。 數據安全，是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。數據安全的措施，應能夠確保數據的可用性、完整性和保密性，涵蓋數據全生命周期的安全防護。密碼是實現數據安全的核心技術與基礎支撐，要實現數據安全，繞不開密碼的身份認證、加密功能，密碼是數據安全的底線，也是最后一道防線。 密碼是指采用特定變換的方法對信息等進行加密保護、安全認證的技術、產品和服務。相關密碼技術及產品在護航數字經濟發展的作用將更加突出。如密碼技術中的身份鑒別、訪問控制、數據加密、密文計算、數據脫敏等措施，可有效解決數據產生、傳輸、存儲、處理、分析、使用等全生命周期安全問題。基于密碼的數據標識、數字簽名、數字內容和產權保護、區塊鏈等技術可確保數據安全有序流動，同時為數據溯源、行為追蹤、隱私保護提供有效支撐。

密碼技術提供什么數據安全能力？

密碼技術是保障數據安全最有效、最可靠、最經濟的手段。密碼提供的核心功能包括加密保護和安全認證。能夠為數據安全提供機密性、真實性、完整性和不可否認性的保障能力。· 數據機密性：保證數據不被泄露給非授權的個人、計算機等實體；· 數據真實性：保證數據來源可靠，沒有被偽造和篡改；· 數據完整性：保證數據沒有受到非授權的篡改和破壞；· 不可否認性：保證已經發生的數據操作行為無法被否認。

密碼技術由密碼算法、密碼協議和密鑰管理等關鍵部分組成。· 密碼算法：密碼算法是密碼的關鍵，算法的強度決定了密碼破譯的難度。算法是可公開的。· 密碼協議：密碼協議是密碼應用遵循的交互規則，不安全的密碼協議會導致系統存在通過“旁路”或“后門”竊取信息的風險。· 密鑰管理：密鑰管理是指對密鑰的生成、分發、更新、撤銷、銷毀等活動進行管理的技術，一切秘密寓于密鑰之中，密鑰的保密是重中之重。

以密碼為核心的數據安全框架

構建以密碼為核心的數據安全體系，應從確保數據的機密性這一原點出發，建立密碼服務平臺。平臺通過密碼基礎設施建設、第三方密碼服務、密碼監管運維和管理咨詢等多種方式，向各行業用戶提供密碼與數據安全服務。

以密碼為核心的數據安全服務，重點在于以數據為中心，圍繞數據全生命周期的活動，創新密碼技術和應用模式，實現對數據庫、文件、網絡流量、應用數據的針對性保護。在實現的過程中，根據數據保護的核心目標，選擇合適的密碼技術產品，既融合傳統密碼技術，如VPN設備，也充分利用新的密碼技術，如同態加密算法、嵌入式加密模塊等。

01、應用數據加密

應用加密的目標是實現對應用系統中敏感數據的全程保護。應用系統中的敏感數據存在：數據與應用流程耦合性高、動態分布和流轉等特點，數據保護的核心需求是確保數據不被非授權的用戶訪問。通過對應用數據加密，可以最大限度的減少敏感數據的暴露面，降低數據泄露風險。

對應用數據的加密保護，首先要解決敏感數據的識別問題，通過分析應用系統使用的數據內容，根據數據泄露后對業務安全的危害程度，完成敏感數據的識別；同時，還要分析業務應用系統中數據流轉的情況，重點識別數據通過API接口對外開放、通過存儲接口進行持久化存儲、通過頁面進行公開展示等場景，對上述場景，應重點考慮加密技術的應用。 其次，要實現對數據加密密鑰的有效管理。最安全的方式是做到一數一密，但這會極大增加密鑰管理的規模和復雜度；次一級的方式是做到一用戶一密，既確保用戶間數據的加密隔離，也能夠實現密鑰管理的可靠性。密鑰應安全存儲在密鑰管理設備和系統中，不應該在應用系統中長期或明文存儲。同時，密鑰應具備定期輪換機制，通過安全的密鑰輪換協議，確保密鑰使用的前后向安全。

02、存儲加密

存儲加密的目標是確保持久化存儲系統或介質中數據的安全。根據數據存儲對象的不同，一般分為數據庫加密和文件加密。數據庫加密與數據庫管理系統（DBMS）相關，文件加密與文件系統（FileSystem）相關，有多種技術方案。· 數據庫加密網關或組件：基于SQL協議或ODBC/JDBC組件實現，部署在應用系統和數據庫管理系統之間，通過截取和重組應用系統的SQL語句，實現對敏感數據的加密存儲。· 數據庫透明加密：基于數據庫管理系統提供的加密接口，在數據庫組織庫表文件時，完成對數據庫內容的加密。· 文件透明加密：基于文件系統提供的加密接口，在文件系統生成磁盤數據前，完成對文件內容的加密。

03、傳輸加密

根據數據傳輸的場景不同，可選擇網絡層加密、傳輸層加密和信源加密等不同的技術，也可以組合兩種及以上的技術。 網絡層加密基于IPsec VPN技術，可實現點對點、點對多點的傳輸加密。特點在于可實現較高的網絡數據加密處理能力，不足點在于一般無法實現端到端加密。比較適用于單位網絡之間，數據中心與數據中心之間的加密。 傳輸層加密基于TLS、HTTPS技術，實現傳輸層數據加密，該技術基于數字證書，在通信雙方間協商數據加密密鑰，可實現端到端數據加密。該技術適用于客戶端與服務器之間的數據傳輸加密。 信源加密是應用數據加密在傳輸場景中的應用，在數據傳輸和接收模塊中，對待傳輸的數據進行加密和解密，無論使用何種傳輸協議，都可確保敏感數據不會在傳輸過程中泄露。

04、數據開放共享加密

數據的開放流通是發揮數據要素價值的重要環節。在數據開放流通過程中，數據所有者為確保自身所掌握的數據資源及相應權益，不希望失去對數據內容的控制，因此出現了“數據可用不可見”的新型開放模式。在數據可用不可見的模式中，基于密碼模塊，可構建可信執行環境（TEE）模型；基于混淆電路、秘密分享、同態加密、不經意傳輸等密碼技術，可構建多方安全計算（MPC）模型；在各方不泄露輸入數據的前提下完成多方協同分析、處理和結果發布。

總結

密碼生來就用于保護數據，在信息化的早期，密碼幫助人們實現了機密通信，在數據要素化的新時代，通過服務化、模塊化等模式，將密碼融入數據全生命周期活動的設備、網絡、應用系統中，其必將在保護數據資產、發揮數據價值方面，發揮更大作用。

審核編輯：郭婷