4·15全民国家安全教育日普法活动之《商用密码管理条例》解读

2023年4月27日，李强总理签署第760号国务院令，颁布了新修订的《商用密码管理条例》（以下简称为“《条例》”），于2023年7月1日正式实施。这是《条例》自1999年10月7日发布和施行以来，迎来的首次修订。

什么是商用密码

《条例》所称的商用密码，是指采用特定变换的方法对不属于国家秘密的信息等进行加密保护、安全认证的技术、产品和服务。

商用密码的重要作用

商用密码用于保护不属于国家秘密的信息，广泛应用于国民经济发展和社会生产生活的方方面面，涵盖金融和通信、公安、税务、社保、交通、卫生健康、能源、电子政务等重要领域，积极服务“互联网+”行动计划、智慧城市和大数据战略，在维护国家安全、促进经济社会发展、保护公民、法人和其他组织合法权益方面发挥着重要作用。

在金融领域，使用商用密码的金融芯片卡，有效遏制了银行卡伪造、网上交易身份仿冒等违法犯罪活动。

在税收领域，增值税防伪税控系统采用商用密码技术保护涉税信息，有效遏制了通过篡改发票票面信息进行偷税、漏税等违法犯罪活动。在社会管理领域，公安部已累计发放使用商用密码芯片的第二代居民身份证超过18亿张，有效杜绝了伪造、变造身份证等违法犯罪行为。

除此之外，商用密码还可以用于企业商业秘密、公民个人隐私的保护。例如，商用密码在网上银行、网上支付系统中的广泛应用，显著提高了交易数据的安全防护能力，降低了用户身份被仿冒、隐私信息被盗用等风险，有效保障了公民的信息安全和财产安全。

《商用密码管理条例》重点规定了哪些内容

一是完善商用密码管理体制。《条例》规定县级以上密码管理部门负责管理相应行政区域的商用密码工作；网信、商务、海关、市场监督管理等有关部门在各自职责范围内负责商用密码有关管理工作。

二是促进商用密码科技创新与标准化建设。《条例》规定建立健全商用密码科技创新促进机制，保护商用密码领域的知识产权，鼓励支持商用密码科技成果转化和产业化应用。

三是健全商用密码检测认证体系。《条例》明确推进商用密码检测认证体系建设，鼓励在商用密码活动中自愿接受商用密码检测认证。

四是加强电子认证服务使用密码和电子政务电子认证服务活动管理。《条例》明确电子认证服务使用密码要求和使用规范。

五是规范商用密码进出口管理。《条例》根据密码法关于商用密码进出口的规定和国家出口管制、两用物项进出口管理制度，明确商用密码进口许可和出口管制实行清单管理，并规定了审批程序。

六是促进商用密码应用。《条例》鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全，支持网络产品和服务使用商用密码提升安全性。明确关键信息基础设施的商用密码使用要求和国家安全审查要求。

《商用密码管理条例》修订为维护国家网络安全提供了坚强法治保障

一是深刻反映“密码是保障网络安全的核心技术”定位。密码是网络安全技术的核心，从其作用而言，密码不仅对保护信息保密性至关重要，而且对保护信息完整性、真实性、不可否认性发挥着不可替代的作用；从其效果而言，密码是最有效、最可靠、最经济的网络安全技术；从其影响而言，尽管林林总总的网络安全技术、产品门类不断推陈出新，但相当多技术发源于密码，或以密码为基础，没有密码的支撑也就不会有这些技术的产生和发展。

二是积极应对网络空间博弈斗争形势。自现代密码学诞生起，它就是武器、利剑，是大国重器。当密码开始商用后，其更成为政治、贸易、司法、文化等领域国际斗争博弈的焦点。可以说，《条例》始终处在维护国家安全的第一线。

《条例》关系国家IT供应链产业链安全。此次进行修订，是顺应全球政治经济形势变化，积极借鉴国外IT供应链产业链安全保障经验，对商用密码科研、生产、销售、服务、检测、认证、进出口、应用等活动作出了更加科学、全面的规定。

《条例》关系信息对抗。信息对抗是信息时代国与国之间博弈斗争的典型形式，信息的加密与破译、伪装与反制等是信息对抗的主要手段。《条例》在修订时重点增加了“进出口”章节，明确商用密码进口许可和出口管制实行清单管理。、

《条例》关系国家主权与发展利益。密码是把“双刃剑”，在有效维护国家安全、公共利益和保护公民、组织合法权益的同时，也可能被非法利用。《条例》专设“应用促进”章节，鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全，但同时规定，任何组织或者个人不得利用商用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动。

三是深度融入国家网络安全法律法规体系。此次《条例》修订，正值我国网络安全制度体系日趋完善之际，商用密码工作与其他方面的工作协同配合，充分体现了国家网络安全工作的系统性、整体性与协调性。

在网络关键设备和网络安全专用产品强制检测、认证制度方面，《条例》与网络安全法保持衔接，规定涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的商用密码检测、认证机构检测认证合格后，方可销售或者提供。