从被动合规到主动免疫——1+4+6+N密码框架下的电信数据安全实践

本文提出“纵深融合、智能协同”的电信行业数据安全技术框架。该框架以密码技术为核心，以“密码即服务”为理念，构建覆盖“云—网—边—端”的全场景防护体系，实现数据全生命周期的主动免疫。

如图1所示，数据的全生命周期一般分为数据采集（产生）、数据传输、数据存储、数据处理、数据共享与交换和数据销毁6个阶段，依据电信运营商数据应用的实际情况，从数据准备、数据使用和数据评估3个阶段提出安全技术要求。

近年来，密码技术已经在电信行业的“端云”协同、传输层安全、数据层安全和应用层安全等方面进行了数据安全防护的创新实践。

3.1 “终端—云端”协同：5G超级SIM的实践

“端云”协同已成为电信业务的主流架构。在终端采集数据并上传云端处理，云端将计算结果下发至终端执行，数据在端云之间频繁流转。该架构面临终端仿冒、传输窃听、云端数据泄露三重风险。

中国移动提出的基于5G超级SIM的“端云”安全体系，从硬件层面重塑了端云信任根基。超级SIM将安全芯片集成至SIM卡载体，具备独立的运算和存储能力，可承载密钥存储、身份认证、数据加密等安全基础功能。其核心创新点如下：

一是提出了多段认证机制。针对5G终端业务低时延、高并发等特征，形成“终端—边缘云”“终端—核心云”“终端—接入网”等多段认证方案，并基于SIM卡标识、位置信息、网络地址等多维度因子构建可信身份体系。

二是实现了密钥全生命周期管理。适配云、端、卡协同业务需求，实现密钥生成、分发、存储、更新、销毁的全程闭环管控。在密钥生成阶段，按照安全等级进行差异化产出；在密钥分发阶段，通过严格认证确保完整性；在密钥存储阶段，强化备份容灾机制，规避密钥丢失风险。

三是实现了硬件级密码加速。超级SIM采用并行电路架构与流水线技术，适配国密算法运算逻辑，在缩减电路规模的同时提升运算效率。实测结果表明，基于超级SIM的SM2签名速率较纯软件方案提升了8倍，功耗降低了40%。

截至2025年底，5G超级SIM已在政务、金融、能源等行业实现规模化应用，为“端云”协同场景下的数据安全提供了硬件级解决方案。

3.2 传输层安全：量子加密专网实践

传输层是数据流通的主动脉，亦是攻击者重点关注的环节。电信网络承载着海量数据跨域流转，传输安全直接决定数据安全防护的底线。传统传输层安全依赖互联网协议安全（internet protocol security, IPSec）、传输层安全性（transport layer security, TLS）等协议，采用公钥密码进行身份认证与密钥协商，面临量子计算破解的远期风险及私钥泄露引发的即时风险。

量子加密传输为解决这一问题提供了全新范式。中国电信重庆公司推出的“量盾专线加密服务产品”，将量子加密技术深度融入PON光网络架构-2。其技术亮点如下：一是采用“PQC+QKD”融合方案，PQC负责身份认证与会话密钥协商，QKD负责核心密钥的实时分发；二是实现分级加密组网，形成从基层监控点至上级指挥中心的全链路可信加密；三是设备环境适应性高，工业级量子加密终端支持宽温宽压工作，能够满足极端气候下的长期稳定运行需求。

实测数据表明，该方案在视频传输场景中引入的额外时延小于1ms，对业务性能基本无影响，而数据防窃取、防篡改能力得到质的提升。该实践验证了量子加密技术在现网环境中的工程可行性，为高安全等级数据的传输防护提供了可借鉴的范例。

3.3 数据层安全：存储加密与脱敏

数据在存储环节面临内部越权访问、外部拖库攻击、存储介质失窃等风险。电信运营商的数据中心存储着海量敏感数据，存储加密成为数据安全的最后一道防线。

存储加密需解决3个核心问题：密钥如何管控、加密如何选型、性能如何保障。在密钥管理方面，应采用分层密钥体系，将密钥与密文分离存储，主密钥由硬件密码模块防护，数据密钥定期轮换。在加密选型方面，需根据数据类型差异化施策：核心用户数据应采用AES-256或SM4算法加密，冷数据可采用加密存储后销毁明文，热数据需权衡加密强度与访问性能。在性能保障方面，可通过硬件加速、并行加密、密文索引等技术优化。

数据脱敏是数据安全与数据流通的平衡器。电信运营商在数据分析、业务测试、对外共享等场景中，需要对敏感数据进行脱敏处理。动态数据脱敏技术可在查询时实时脱敏，根据用户权限返回不同精度的数据，实现“不碰明文而知其意”。中国联通设计的“数据安全管控平台”，将数据脱敏与加密、审计等功能集成于一体，具备覆盖数据全生命周期的保护能力。

3.4 应用层安全：量子密信的创新

办公应用是数据安全的高风险场景，其涵盖的即时通信、协同文档、视频会议等业务承载着大量敏感信息，一旦泄露将造成严重后果。中国电信推出的“量子密信”，是全球首款运营商级量子加密办公应用。

“量子密信”的密码体系融合了QKD与PQC技术，采用“一次一密”的安全机制。在即时消息场景中，每条消息均使用独立密钥加密，密钥通过量子分发或PQC协商生成；在音视频通话场景中，采用端到端加密方式，通话密钥仅在通信双方终端本地生成；在身份认证场景中，开展基于量子安全的多因子认证，防止身份冒用。

2025年7月，“量子密信”通过中国信息通信研究院“铸基计划”软件平台网络安全防护能力完备性评测，成为该评测启动以来首款获得认证的办公即时通信产品。测试覆盖客户端程序安全、通信安全、敏感信息安全等109项能力指标，验证了量子安全技术在办公应用中的成熟可用。目前，该应用已服务用户超550万，覆盖政务、政法、金融等高安全需求行业，并实现Android、iOS、HarmonyOS、Windows、麒麟、统信UOS、macOS七大系统的全终端覆盖。

在电信行业数据安全框架中，密码能力是核心基础，应遵循密码基础设施集约化建设与密钥分层管理的原则，推动电信行业密码应用从“被动合规”向“主动免疫”演进。

4.1 密码基础设施的集约化建设

电信运营商应坚持集约化建设原则，构建“一中心、多节点”的密码基础设施体系。“一中心”是指集团级密码服务中心，承载根密钥管理、密码策略管控、密码态势感知等核心功能；“多节点”是指区域性或业务级密码服务节点，能够就近提供密码算力支撑，满足低时延业务需求。

密码服务中心的建设需把握3个重点：一是采用硬件密码设备搭建根信任锚，确保密钥生成的物理不可克隆性；二是建设统一的密钥管理系统，实现密钥的全生命周期可视可控；三是部署密码服务网关，统一对外开放密码API，屏蔽底层密码技术的复杂性。

4.2 密码算法与密钥管理策略

密码算法的选型需兼顾安全性、性能与合规性。面向近期，应全面采用国密SM系列算法，满足行业合规要求；面向中期，应启动PQC算法试点，在核心系统与关键数据场景采用“SM+PQC”双栈方案；面向远期，应建立PQC迁移路线图，按照“识别—评估—试点—推广”的路径有序推进。

密钥管理是密码体系的“命门”，应遵循分层管理原则：根密钥由硬件密码模块防护，仅在安全启动与密钥生成时使用；主密钥加密存储，使用时加载至内存，使用完毕后应立即清除；数据密钥动态生成，采用一次一密或定期轮换。同时，应建立密钥备份与恢复机制，防止密钥丢失导致数据不可用。

4.3 从“被动合规”到“主动免疫”

电信行业的密码应用经历了从“被动合规”到“主动免疫”的演进历程。早期密码应用以满足合规要求为主要目标，表现为“为加密而加密”，与业务系统相互割裂。随着数据安全形势的演变，密码技术正与业务深度融合，成为业务系统数据安全的内生能力。

“主动免疫”的核心是密码能力的服务化与智能化。一方面，密码能力以API形式嵌入业务流程，业务系统无须关注密码实现细节，即可获得安全防护能力；另一方面，通过引入人工智能技术，实现密码策略的动态优化，即系统可根据数据敏感度、用户行为、环境风险等因素，自动调整加密强度与认证方式，实现“风险感知、弹性防护”。

中国电信“先审后用”体系的实践表明，大模型驱动的智能研判引擎可显著提升密码策略的适配性。系统可根据数据访问请求的上下文，动态判定所需的安全等级，匹配对应的密码保护策略，实现安全与使用体验的平衡。

电信行业数据安全是国家安全的重要组成部分。在5G、6G、云计算、物联网、人工智能与量子技术快速演进的背景下，数据安全风险呈现系统化、复杂化、高阶化特征。构建以商用密码为基石，覆盖数据全生命周期、云网边端全域、合规可审计且可平滑演进的数据安全技术框架，是电信行业防范风险、满足监管要求、保障业务运行、释放数据价值的必由之路。

本文提出以密码技术为核心的“纵深融合、智能协同”数据安全技术框架，以PQC、QKD、国密为三大技术支柱，覆盖数据全生命周期，构建面向量子时代的主动免疫体系。该框架采用“1+4+6+N”架构，以统一密码服务平台为中枢，将国密算法、PQC、QKD、密钥管理、身份认证、加密传输存储、安全审计、量子安全深度融入电信场景，结合电信行业实践验证，形成可落地、可扩展、可复制的标准化技术体系。实施中应坚持统一规划、分步落地、密码先行、运营闭环的原则，同步健全组织、制度、人员、供应链全方位保障体系，推动电信数据安全从被动防护向主动防御、内生安全、智能安全转型，为网络强国、数字中国建设筑牢安全底座。

面向未来，电信行业数据安全仍面临诸多挑战：抗量子密码算法的标准化与工程化落地仍需时日，QKD设备的成本有待降低，密码服务与业务系统的深度融合仍需持续探索。但可以明确的是，以密码为核心构建数据安全的体系化技术框架，是电信行业应对当前挑战、顺应未来变革的战略选择。唯有筑牢密钥根基，方能在数字时代的浪潮中行稳致远。