高端访谈 | 格尔软件朱立通：始于密码 臻于匠心 深耕细作 笃行致远

数字经济作为当前中国经济发展的动力引擎，带动了经济的高速增长。数字社会和数字政府的建设，极大地提升了公共服务和社会治理水平，以及政府治理效能。数字中国的全面发展，对网络安全能力提出更高的标准和要求。在数字化时代，构建以数据为中心的网络安全保障体系显得尤为重要。密码作为保障网络安全最有效、最可靠、最经济的关键核心技术和基础支撑，将加速向数字经济社会的各领域渗透融合，在数字化转型与发展过程中发挥重要作用。

作为中国信息安全数字信任领域的先行者和领导者，格尔软件股份有限公司（股票代码：603232，以下简称“格尔软件”）聚焦“让互联更可信，让数据更安全”的企业愿景，坚持以密码为基石，以身份为中心，不断基于国产密码技术和可信身份管理进行密码应用创新，为我国网络安全信任体系建设和党政机关、军工军队、公检司法、国企央企、金融机构等重要用户的信息系统提供数字资产安全整体解决方案。

近日，记者与格尔软件副总经理朱立通，围绕新时代密码产业的发展机遇、密码应用与创新发展、密码服务等内容进行了详细沟通和探讨。

随着数字中国、网络强国、网信事业的快速推进，党和国家的密码事业进入了新的历史时期，焕发了更强的生命力，密码工作也迎来了新责任、新使命和新起点。新时期，应抓住时代机遇窗口，加速布局密码业务，深化技术创新研究，扎实推进我国商用密码产业建设及发展。

朱立通认为，当前我国密码产业前景广阔、大有作为，正处于欣欣向荣的“蓝海”阶段。首先，随着《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国密码法》等法律法规的渐次出台，在顶层设计上激活了国内密码市场的潜力，打造出环环相扣的“法规链”和层层压实的“责任链”，为密码产业发展增添关键动力，有效推动新密码市场的加速形成。其次，随着密码技术与大数据、人工智能、云计算、物联网等新一代信息深度融合，催生出更加广泛的业务模式和应用场景，这也使得密码应用需求日趋多样化和个性化。而传统的密码产品很难将密码能力融合到新的业务场景中，用户“难用、难管”的尴尬局面也在不断上演，“广谱适用”的密码产品将越来越受欢迎。

对于以格尔软件为代表的中国商用密码行业骨干企业来说，随着《中华人民共和国密码法》等相关法律法规的施行，党政军在金融、能源等重要行业的密码系统建设投入将进一步加大，商密产业将迎来更加广阔的发展空间。我们应紧跟国家战略，抓住时代机遇，加强整体规划，坚持以应用促发展，努力实现密码与国家重大战略的深度融合，提升密码创新对国家创新驱动的推动作用，增强全社会应用密码保护网络安全的意识，着力在网络空间建立以密码技术为核心、多种技术相互融合的新安全体制，建设以密码基础设施为底层支撑、自主可控的新安全环境，最终实现可信互联、安全互通、开放共享的新安全文明。同时，要充分发挥企业自身特点和优势，积极寻求区域合作，实现优势互补，加快推进产业一体化布局，提升产业能级和核心竞争力，为维护国家网络安全及个人信息安全贡献力量。

当前，随着数字化转型的提速升级和新冠肺炎疫情所带来的影响，密码在云计算、大数据、物联网、区块链等领域中的应用落地正加速突破。打造核心技术产品、完善密码技术体系、提高密码技术能力，最终实现与国际同步发展的网络空间密码保障能力和密码技术创新能力成为大势所趋。

朱立通认为，密码技术归根到底就是要让技术变得更好、更实用，让算法变得更快、更高效。事实上，密码技术就是在解决这两个通道的问题。而以密码技术为核心，通过多种安全技术相互融合的方式来解决多种复杂场景的安全问题将成为主流。同时，密码技术和理念也要融入各类信息产品和服务及零信任的思想中，实现网络安全防御体系中多种要素的整合。未来的密码应用场景会从传统的政务办公、电子商务等领域，扩展到物联网、区块链、人工智能、数字货币等领域。从整体上看，这种密码新业态将衍生出平台化模式，同时也将孕育和涵盖模块化，从而形成“平台化 + 模块化”的供给，就像搭积木一样实现可拆可分可解，特别适用于大中型企业的应用场景。另外，还将针对小型企业衍生出一体化模式，快速满足密评合规。

近年来，格尔软件秉持“关键技术自研可控，密码产品安全易用”的研发理念，坚持以密码技术为核心，以业务应用为导向，以可信身份为基础，不断基于国产密码技术和可信身份管理进行密码应用创新，致力将密码基因植入新领域新场景新应用，推动安全由“伴生”走向“内生”和“根生”。同时，构建了具有格尔软件特色的密码信任服务体系、零信任动态访问控制体系以及数据安全体系，实现了多场景下密码应用的无缝集成、无感调用、无处不密、处处用密，基本具备“密码即服务，安全可内生”的综合服务能力。

密码作为支撑网络安全的核心技术，已经广泛服务于生产生活的各个方面，从涉及国家安全的保密通信、军事指挥，到涉及国民经济的金融交易、防伪税控，再到涉及公民权益的电子支付、社会保障，呈现“算法公开、应用创新、保障全面、服务易用”的特征，并大步迈向全民密码时代。

朱立通认为，在数字化转型的新机遇下，密码产业早已蓄势待发。但是，国内很多密码设备厂商的设备参差不齐，安全子系统自成体系，信息系统只能对单个厂商的密码设备进行集成，导致信息系统对密码设备厂商产生依赖。此外，由于采用系统独占的调用方式，使信息系统之间密码设备资源无法共享，不仅造成资源浪费，还使得系统无法升级，不能适应目前的安全服务形势。而密码服务平台则可以让不同厂商的密码设备之间“求同存异”，在不影响设备功能的情况下，实现多型号密码设备的统一调度与实时管理，还可以让多个不同厂商的设备进行集中管理和维护，提高密码设备资源的使用率。

以格尔软件承建的“上海政务信创云一体化密码服务平台”为例，上海市的“一网通办”和“一网统管”是建立在公共网络、公共数据基础之上的，要实现“身份可信、信息可控、数据可用”的安全目标离不开上海政务云密码服务的支撑。格尔云密码服务平台采用平台原生架构，通过与云管平台融合集成，以紧密耦合的方式面向用户提供“一站式”“一体化”云密码保障服务，同时面向云平台提供敏捷化的密码运营支撑服务，具有按需服务、即插即用、快速集成、使用合规、运维安全等特点，可为各类应用系统的信息安全提供密码资源调配、密钥全生命周期托管、基础密码运算、场景化密码服务等密码应用整体解决方案。依托平台云密码服务模式，无须再单独采购密码硬件设备进行密码改造，并可对各类业务应用系统批量处理，后期统一集中运维管理，可节省密码应用、运维成本，避免重复建设、资源浪费、信息泄露等问题，省钱、省力、省时、省心，并具有明显的经济效益。

近年来，零信任已逐步从一种安全理念发展成为网络安全的关键技术，其三大核心分别为软件定义边界（Software Defined Frontier，SDP）、身份识别与访问控制（Identity and Access Control，IAM）、微隔离（Micro-Segregation，MSG）。其本质是在访问主体和客体之间建立起以身份为中心的动态可信访问控制体系，并围绕其组件关系、流程规划以及访问策略形成新的架构模型，最终赋予可信识别、持续信任评估、业务访问鉴权以及网络访问权限控制等关键能力。

朱立通认为，要构建安全防护体系先要建立起一套属于自身的防护理念，而且这种理念是以密评合规为起点，以密码为基石，以身份为中心，以软件定义边界，最重要的是要构建敏捷交付的密码防护体系。从身份的角度讲，要实现基于可信的人，通过可信的方式，访问可信的应用，并可实现可信的审计，最终实现身份与访问安全。在实现身份与访问安全的过程中，还要结合零信任概念。零信任的核心思想是怀疑一切，否定一切，不再以网络边界为限，不再将内部网络定义为可信任的，企业不应自动信任内部或外部的任何人和设备。在零信任思想中，身份认证和授权管理是其中的重要部分，也是零信任的前提和关键。如果一个可信的人做了不可信的行动，就要实施动态管控。在这个过程中，要以身份为中心，采取联动防控的管理策略，也就是进行持续认证。

格尔软件从 2019 年开始探索研究零信任，逐渐形成了具有密码为基石、身份为中心、策略驱动的 SDP三大特色的零信任安全解决方案，以“持续信任评估”“动态访问控制”和“软件定义边界”的理念应对不同行业的网络安全新挑战。一方面，通过统一认证、统一身份管理、集中权限管理、集中业务管控和全面审计能力等，帮助企业实现安全性和便利性的统一。同时，对用户访问的行为数据、个性特征和权限数据进行风险动态感知和智能分析，从而实现自适应的访问控制。另一方面，针对企业上云的趋势和远程办公、移动办公等场景，通过在控制面部署策略服务平台、在数据面部署零信任网关，让零信任大脑高效连接四肢，从而达到最小化攻击面、分离访问控制和数据信道、提供基于连接的集成安全体系结构等目的，有效降低安全风险，阻止潜在的网络攻击。该方案在不可信的网络环境中，基于认证和授权的访问控制管理重构可信、安全的网络框架，从身份、设备、业务、行为等多维层面进行系统建设，持续围绕“身份”展开信任评估，持续、动态控制所有对业务系统和数据资源的访问，提升用户风险决策能力，解决因网络环境开放、用户角色复杂引发的各种身份安全、设备安全和行为安全的风险，将传统静态便捷的被动防御转化为动态便捷的主动防御，构建一种动态自适应的安全闭环体系，有效提升网络和信息系统的整体安全性。

记者 王超