在此背景下，各行业、各单位逐渐将商用密码应用改造（以下简称“密改”）作为下一步工作重点，以确保能够顺利、高效地完成密评工作。下面本文将以密改为核心内容，为大家进行详细的阐述与说明。

什么是密改

根据国家密码管理的相关法规，关键信息基础设施和重要信息系统的密码应用必须落实“三同步一评估”，即密码应用与对应系统同步规划、同步建设、同步运行，实施密码应用安全性评估。实践中，因为信息化发展历程不统一等原因，未使用、未合规使用密码技术的现象普遍存在，需要实施密码应用工程，以建立健全基于密码的安全保护体系，维护密码应用安全性。

对于密改，目前存在两类误解：一是认为没有通过密评的信息系统才需要密改；二是认为密改通过密评就一劳永逸。其实，密评与密改的关系就像人类针对病毒的体检与抗体的关系，需要随着外部病毒和体内抗体的变化，开展周期性体检和增强抗体。

密改环节

密改是一项对规范性和技术性要求很高的系统工程。整个工程分为三大阶段：规划阶段、建设阶段和运行阶段。每个阶段都有各自的抓手，分别是密码应用解决方案、密码应用实施方案和密码应用应急处置方案等。密改过程中需要严格把握这些方案的技术水平和工程质量。

密改的要则

密改应遵循基本的项目管理要则，做好密改项目队伍建设，可以事半功倍。首先，在密改过程中，需要把握好项目建设的资质、资金、进度、质量和可持续性等关键指标的设计和落实。其次，密改方案应充分体现密码支撑总体架构、密码基础设施建设部署、密钥管理体系构建、密码产品部署及管理等内容，维护密码应用的持续性和发展性。最后，在密改技术选择上，应选用国家认可的密码算法、技术、产品和服务，确保密码应用的合规、正确和有效。

合规自查

密改项目队伍应当充分做好合规自查，为密评工作做好充分准备。合规自查应当依据密码应用相关技术标准和管理规范，认真评审项目的密码应用方案，评审密码应用与对应信息系统整体安全保护等级的一致性，评审密码应用在整个信息系统的完备性、正确性和有效性，并分项细查物理与环境安全、网络和通信安全、设备和计算安全、应用和数据安全等层面的密码技术应用的合规性、正确性和有效性，细查密码应用相关的规章制度、人员管理、建设运行和应急处置等策略配置和流程细节。

密改产品

密码改造所需产品主要包括服务器密码机、安全网关和签名验签服务器等。服务器密码机是服务端密码运算类设备，提供密钥生成、数字签名、签名验证、数据加密和数据解密等通用密码服务功能；安全网关是一种网络安全设备，提供虚拟专用网络、访问控制和传输加密等密码安全服务；签名验签服务器具有数据签名与验证、证书验证和身份认证等功能。

*来源：数观天下

2023 年 7 月 1 日，新修订的《商用密码管理条例》（以下简称《条例》）开始施行。当前，发展数字经济上升为国家战略，密码人才是推动数字经济和密码产业发展的关键力量。《条例》第四条规定，国家加强商用密码人才培养，建立健全商用密码人才发展体制机制和人才评价制度，鼓励和支持密码相关学科和专业建设，规范商用密码社会化培训，促进商用密码人才交流。

目前，我国依托网络空间安全、计算机科学与技术、信息与通信等一级学科，开展密码博士人才的培养，在研究生专业目录中设有密码专业硕士，在本科专业目录中设有密码科学与技术专业，在职业教育专业目录中设有密码技术应用专业。去年，《中华人民共和国职业分类大典（2022年版）》新增密码技术应用员和密码工程技术人员 2 个密码职业，按照人力资源和社会保障部（以下简称“人社部”）的要求，即将开展密码的职业培训。因此，在密码人才培养方面，我国既有学历教育，也有非学历教育的职业培训，基本建成了较为完善的人才培养体系。

一、密码专业人才的培养

从 20 世纪八九十年代开始，我国普通高校开始培养密码专业研究生。1988 年，西安电子科技大学在军队指挥学下设立密码学硕士点，1993 年在军队指挥学下设立密码学博士点。2002 年开始，北京理工大学、武汉大学、北京邮电大学、华中科技大学、解放军信息工程大学、中国科学院软件所、国防科技大学、哈尔滨工业大学等知名高校，分别依托信息与通信工程、计算机科学与技术、数学等一级学科，自主设立了密码学二级学科硕士点和博士点。上述博士点、硕士点为我国培养了一大批密码高层次人才。

2015 年，为实施国家安全战略，加快网络空间安全高层次人才培养，国务院学位委员会决定在工学门类下增设网络空间安全一级学科，设密码学及其应用研究方向，进一步加强密码博士、硕士研究生的培养。2022 年 9 月，国务院学位委员会、教育部联合发布《研究生教育学科专业目录》，在交叉学科门类增设密码硕士专业学位，为培养密码领域高层次人才开辟了道路。

在本科教育方面，早在 70 年代，我国一些专业性的军事院校就开始了密码本科人才的培养。长期以来，我国基本上是依托信息安全、网络空间安全等本科专业，设置密码专业方向，培养密码本科人才。截至目前，我国约有 138 所高校开设信息安全本科专业，约有 96 所高校开设网络空间安全本科专业。上述专业为我国培养了一大批密码本科人才。

2021 年 2 月，教育部发布普通高等学校本科专业目录，增设密码科学与技术本科专业，专业代码为 080918TK。从此，我国正式开始在各大高校培养密码本科专业人才。截至目前，已有 15 所高校设立密码科学与技术本科专业。

密码科学与技术本科专业是一个涉及数学、计算机科学与技术、网络空间安全、电子信息、信息与通信等多个领域的综合性本科专业，旨在培养具备扎实的理论基础和实践能力的人才。该专业的核心课程有密码学数学基础、现代密码学、对称密码理论、公钥密码理论、密码协议设计与分析、密码分析与应用、密码工程与应用、密码芯片分析与设计、密码测评与管理、密码法律法规与标准等。专业毕业生应掌握密码理论与技术、密码管理、密码应用、密码测评等专业综合知识，能够从事密码理论研究、密码系统设计与研发、密码管理、密码测评等工作。

二、密码技术技能人才培养

2022 年 5 月 1 日，《中华人民共和国职业教育法》（以下简称《职业教育法》）正式施行。《职业教育法》第三条规定：职业教育是与普通教育具有同等重要地位的教育类型，是国民教育体系和人力资源开发的重要组成部分，是培养多样化人才、传承技术技能、促进就业创业的重要途径。职业教育包括职业学校教育和职业培训。

为服务国家数字经济建设和服务信息安全，加强密码职业教育国家教学标准体系建设，2021 年 3 月，教育部在《职业教育专业目录》电子与信息大类中增设密码技术应用专业。目前，全国已经有 13 所高职院校设置密码技术应用专业。该专业属于职业学校教育，其目的是培养高素质密码技术技能人才。通过密码技术应用专业学习，使学生具备从事密码技术应用所需要的职业道德、科学文化与专业知识、技术技能等综合素质和行动能力。密码技术应用专业的职业教育实行学历证书制度，学业水平达到国家规定的学位标准的，可以依法申请密码技术应用高等职业教育本科学位。

在职业方面，《中华人民共和国职业分类大典（2022 年版）》中新增密码技术应用员（职业编码4-04-04-06）和密码工程技术人员（职业编码 2-02-38-13）共两个密码职业，均被标注为数字职业。人社部与国家密码管理局联合分别于2022 年 7 月和 2023 年 3 月正式发布《密码技术应用员国家职业技能标准》和《密码工程技术人员国家职业标准》。

密码技术应用员的定义是运用密码技术，从事信息系统安全密码保障的架构设计、系统集成、检测评估、运维管理、密码咨询等相关密码服务的人员，设四级/中级工、三级/高级工、二级/技师、一级/高级技师四个等级。主要工作任务是分析信息系统安全威胁和业务应用场景的密码应用需求、设计密码保障应用规划和实施方案、从事信息系统的密码资源融合部署实施工作、依据标准和规范开展信息系统密码应用安全性评估工作、从事密钥资产安全管理与使用工作、应急处置密码应用安全突发事件、从事信息系统密码应用态势监控与运维工作、提供密码应用技术咨询、密码职业技能培训、密码科普等相关服务。

密码工程技术人员的定义是从事密码算法与协议实现、密码设备和系统研制、密码产品检测与认证、密码服务系统设计、密码标准编制、密码管理、密码专业技术培训咨询的工程技术人员，设初级、中级、高级三个等级。

密码技术应用员和密码工程技术人员 2 个新职业的培训实行培训证书和职业技能等级证书管理制度。经过培训取得的职业技术技能等级证书、培训证书等学习成果，经职业教育学校认定，可以转化为相应的学历教育学分，达到相应职业学校学业要求的人员，可以取得相应的学业证书。

在职业培训方面，2021 年 4 月，人社部发布《关于加强新职业培训工作的通知》（人社厅发〔2021〕28 号），要求根据区域经济社会发展需要，适应市场需求，坚持就业导向，突出能力建设，大力开展职业培训，培养数字经济领域人才。2022 年 10 月，密码工程技术人员职业被纳入专业技术人才知识更新工程数字技术工程师培育项目。通过该项目的实施将培养具有优良密码科学素养、精于密码实操应用、能够解决复杂问题的密码工程技术人才。

目前，在人社部和国家密码管理局的指导下，在中国密码学会的领导下，我们积极引导密码行业协会、密码知名企业参与，开发密码新职业培训大纲、培训教材、教学课程、职业培训包等基础资源。

随后将按照人社部和密码管理局的有关规定和要求，组织密码职业培训与评价机构的征集遴选，积极开展培训和评价工作，服务密码新职业人才培养，满足新时代数字经济建设的需要。

三、结论与思考

当今世界正经历百年未有之大变局，我国正处于实现中华民族伟大复兴关键时期。“十四五”期间，数字经济将继续快速发展、全面发力，成为推动我国高质量发展的核心动力。密码是保障数字经济安全发展的基石。因此，发展数字经济，急需培育壮大密码人才队伍。据相关报道，现阶段我国对密码人才需求人数 30 万人左右，实际人才缺口 20 万人。随着数字经济快速发展，到 2025 年我国密码人才需求将达到 110 万人左右。

虽然，我国已经建成了较为完善的密码人才培养体系，但是密码学还不是一级学科，密码高端博士人才的培养需要挂靠在其他一级学科，新设立密码专业人才培养规格、教学资源亟需进一步完善，仅有 15 所本科高校和 13 所高职院校，数量远不能满足数字经济快速发展需要。因此，我们必须瞄准数字经济人才的需求，建设一流的密码学科，培养大量的一流密码人才。具体思考和建议如下：

一是进一步加快密码学一级学科建设。密码学科是密码科学研究和人才队伍建设龙头和引领。应该看到，目前密码学是在军事学门类军队指挥学一级学科下的二级学科，密码学及其应用是网络空间安全一级学科下的一个研究方向，由于这些学科的知识领域、理论体系、研究方法等与密码学科不完全相同，已经无法满足密码科学研究和人才培养的需要。因此，我们应加快密码学一级学科的建设，形成完善的密码学科基本结构，引领密码科学研究和人才队伍建设。

二是规范密码专业，打造优质密码教学资源。2021 年，教育部批准设立密码科学与技术本科专业和密码技术应用高职专业。下一步，建议成立密码专业教学指导委员会，加紧制定专业规范和指导性培养方案，编写一流密码系列教材，建设一流密码示范课程，打造一流密码优质教学资源，为培养密码专业人才和密码应用人才打好基础。

三是校企联合，建设密码实践教学体系。密码是一个实践性很强的专业。通过实验，可以进一步加深抽象难懂的密码理论的理解。通过实践，可提高密码实操应用能力。目前，密码实验多分布在信息安全或网络空间安全实验中，或者是一门相关课程内设实验。下一步，我们要将协同密码企业和学校，建设密码算法与协议实现、密码产品与系统开发、密码系统集成、密码检测认证评估等密码实践教学体系，服务密码专业教育和密码职业培训。

四是以新增密码职业为契机，积极开展培训评价工作。2022 年，在我国新版职业大典中新增密码职业。密码工程技术人员职业被纳入数字技术工程师培育项目。下一步，我们依据新发布的职业标准，开发优质职业培训基础资源，在人社部和国家密码管理局的指导下，按照数字技术工程师培育项目要求，积极开展密码职业培训和评价工作，为我国数字经济的发展提供急需的密码人才。

（本文刊登于《中国信息安全》杂志2023年第7期）

[目的/意义]密码是网络信息安全的基础和核心，是国家网络信息建设的重要组成部分。高速联网收费系统作为我国关键信息基础设施重点应用之一，其信息系统数据敏感而且重要，系统运营者应当使用商用密码对系统信息加密保护。

[方法/过程]为了构建高速联网收费系统自主、安全、可控的信息技术体系，基于商用

密码应用的安全性评估以及国家的相关法律法规文件的要求，针对业务密码管理和密码改造应用，从密码动态管理、物理与环境安全、网络与通信安全、设备与计算安全、应用与数据安全等层面提出改进措施。

[结果/结论]分析了当前高速联网收费系统在密码应用过程中存在的问题和风险，通过商用密码技术确保数据安全、网络安全、隐私安全和密码安全，构建了以密码技术为核心的安全体系，建设以密码基础设施为支撑的安全环境，从而为业务系统提供了更加完善的安全服务。

引言

随着信息技术的不断发展和信息化建设的不断进步，信息系统在管理和运营中全面应用，系统管理和运维压力越来越大，越权访问、误操作、滥用和恶意破坏等情况时有发生，严重地影响到了信息系统等业务系统的经济运行效能，并对社会造成重大影响。如何提高系统运维管理水平，跟踪业务系统上用户的操作行为，保障系统运行安全，密码应用是不可或缺的基础和核心，已成为国家网络信息安全建设的重要组成部分。

近年来，为确保国家信息安全、社会稳定、经济可持续发展，国家陆续出台了一系列安全法律法规。例如，《中华人民共和国电子签名法》《中

华人民共和国密码法》《中华人民共和国网络安全法》《中华人民共和国电子商务法》《中华人民共和国个人信息保护法》法规，以及《网络安全等级保护条例》《信息安全技术网络安全等级保护基本要求（等保2.0）》《信息安全技术 信息系统密码应用基本要求（GB/T 39786-2021）》《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）等文件，对信息系统安全做出了规范和指引，目的就是要提高网络安全应用水平，通过密码技术确保数据安全、网络安全、隐私安全和密码安全[1-2]。

从高速联网收费系统应用安全以及数据上报、存储、共享等过程的安全问题考虑，需有效防止假冒身份、篡改信息、篡改时间、越权操作以及否定责任等问题，因此采用可靠的密码应用技术，实现身份认证、可靠电子签名和时间戳等功能，以保证数据在生成、传输、存储、利用的全生命周期过程的真实、完整、准确，这既是国家政策要求，亦是高速联网收费系统的安全需求。

信息系统密码应用存在的问题和风险

1.1 系统密码管理应用需求

高速联网收费系统一般采用传统的“用户名+密码”的身份认证方法，密码设置简单，无法实现定期修改，认证的安全强度较低，无法满足系统较高的安全需求。另外，对于某些关键岗位或关键操作，没有进行多因子认证和二次验证，也为应用系统的安全带来一定风险。面临主要需求有4点：一是对收费系统、监控系统网络设备、安全设备的密码统一管理，对具备修改权限的用户实现密码录入，自动生成新的密码，定期自动更新；二是对收费计算机、服务器、工控机操作系统等软件的密码管理，密码自动生成，自动更新；三是对监控编码器、NVR、摄像机、车牌识别等设备密码的管理，密码自动生成，自动更新。对于不支持RADIUS、AD、OTP、SNMP等协议的设备，由业主负责协调厂商优化；四是对收费员、管理人员、维护人员等用户的密码管理。

1.2 商用密码应用安全性评估需求

为了响应国家和省密码局关于做好系统密评结果备案工作的要求，高速联网收费系统需进行密码应用安全性评估工作并进行备案，包括密码应咨询、密码应用方案设计、密钥管理评估、安全管理评估、测评服务和成果展示等，探索研究收费系统的密码应用建设规范。

高速联网收费系统密码管理应用方案

高速联网收费系统由数据中心、密码管理子系统、密码安全管理子系统组成。数据中心：存储基本的用户信息、用户身份、密码凭证、密码策略等数据；密码管理子系统：提供密码策略管理、密码规则自定义、密码周期维护、弱密码管理、设备资源密码管理、密码凭证管理等密码管理功能[3]；密码安全管理子系统：实现多因素安全认证、风险动态密码管理、密码安全隐私保护、密码数据安全传输、密码数据灾备服务等功能；认证管理与密码管理系统与各应用进行集成，通过接口与收费业务系统进行对接，实现内部员工、运维管理人员等用户的登录认证。高速联网收费系统架构图如图1所示。

2.1 密码动态管理

2.1.1 密码凭证管理

根据收费业务管理需求，在办理不同类型事项的安全要求不同，用户可以使用用户名/口令、动态口令等多种身份凭证进行身份认证和访问。满足收费员、运维人员、管理人员不同用户群体对系统的使用权限个性化需求，实现不同环境的身份密码凭证应用，支持多种不同凭证的应用和组合，支持对密码凭证的管理，适应移动终端和PC终端的多环境便携使用。因此，需要采取有效的技术和管理手段支持多凭证的签发和管理，支持用户的多凭证管理，如用户名密码口令凭证、数字证书凭证、动态令牌凭证等。

对用户的密码凭证进行统一管理，管理内容包括凭证类型管理、用户凭证管理和用户凭证分类功能等。凭证类型管理包括用户的静态密码、短信口令等凭证类型的管理，也包括对网络设备、操作系统等不同设备的凭证进行管理。用户凭证管理支持对用户凭证的添加、修改、删除、停用和启用等操作。

2.1.2 密码策略管理

用户名密码是用户的身份凭证，密码策略为用户密码应遵行的一个规则，包括密码长度、密码规则、密码锁定用户、密码修改等密码相关的规则。密码策略作为安全策略的一部分，可以为不同层次的用户确定不同的安全级别，体现了用户的层次管理和系统安全的重要性原则。因此，需要采取能够设置用户密码复杂的安全策略、密码错误次数策略、首次登录必须修改密码、周期性修改密码等安全措施，同时需要密码策略全局共享，相应权限的管理员能够维护密码策略，支持设置用户密码的安全策略，平台提供认证多次失败后自动锁定能力，超过锁定时间将自动解锁，也可支持系统管理员进行手动解锁，其中密码失败次数、密码失败后锁定时间、密码锁定后邮件通知安全措施可通过参数配置，支持设置首次登录必须重置密码、密码有效时间。

2.1.3 弱密码管理

弱密码即容易破解的密码，多为简单的数字组合、账号相同的数字组合易于被他人破解，因此需要实现对弱密码的专门管理，包括提供统一的弱密码库并进行维护管理，采用注册、认证双重防护机制实现对弱密码的屏蔽。

2.1.4 网络设备密码动态管理

基于Radius协议，提供设备的全生命周期管理，包括设备入库、调整等过程中的设备账号创建、设备变更、设备注销等功能，能够对临时设备管理，设备凭证可以创建有效期，实现对网络设备动态认证，包括用户名密码认证（静态）、OTP令牌认证（动态）等，对设备密码进行周期性维护，自定义维护提示周期和密码修改周期。

2.1.5 操作系统密码动态管理

针对Linux操作系统，通过与Linux服务器中的认证模块进行对接，基于Radius协议，在控制台中进行登录时包括用户名密码认证（静态）、OTP令牌认证（动态）等认证方式，对设备密码进行周期性维护，自定义维护提示周期和密码修改周期。

针对Windows操作系统，包括两种方式，一是为若用户自己本身有AD或LDAP，Windows系统将认证域设置为AD域，通过AD认证，实现对AD密码进行管理；二是为通过客户端软件支持Window认证进行多因子认证，其中的密码管理详见“密码策略管理”和“弱密码管理”。

2.2 密码安全管理

2.2.1 多因子安全认证

由于应用资源安全重要程度不同，访问应用资源的认证复杂度也不尽相同。针对访问安全要求比较低的应用资源，采用传统的用户名密码模式即可，但是对于安全要求比较高的应用资源，可提供更高安全的认证方式，包括数字证书、一次性口令、生物识别、动态令牌、第三方认证（支付宝、钉钉、微信等）等认证方式，支持身份认证源扩展。支持多因子认证，可自由组合两种或多种认证方式，形成双因子认证和多因子认证。

2.2.2 风险动态密码管理

当用户认证发生风险时，需要通过风险模型动态规避。当前的风险威胁，依据风险评估动态调整用户的认证方式，例如以用户在长时间不使用账号登录且忘记密码的情况下，可通过设定多因素认证策略，有选择地在静态密码认证的基础上开启二次认证。

2.2.3 密码安全隐私保护

对高速联网收费系统中关键信息进行安全加密防护，包括用户名密码等信息，确保可信用户库的安全，实现用户隐私信息的安全防护同时可支持数据存储采用基于国产算法格式不变隐私保护加密，动态选择加密。

2.2.4 密码数据安全传输

高速联网收费系统通过加密、签名和安全通道等方式，确保敏感信息在交互和存储过程中的安全性，同时还具备安全的防护机制，例如防止XSS和SQL注入漏洞、DDoS攻击和钓鱼重定向等，以确保系统本身和业务系统的安全性。

结束语

为了推进国家政务信息系统密码应用与安全建设工作，深入贯彻实施国家网络安全等级保护制度，强化落实网络安全技术措施“同步规划、同步建设、同步使用”的要求，确保重要系统和设施安全、有序运行。商用密码技术有效地保障了网络安全，是信息保护和网络信任体系建设的基础，是保障网络空间安全的关键技术。建立一套可控、安全、合规型的密码体系，从根本上保障高速联网收费系统的网络安全、密码应用安全合规有效。