一、国密改造背景：政策驱动、行业趋势与项目目标
各位同学大家好。我是老赵，做了十几年信息安全，最近几年一直在搞国密改造。今天咱们聊聊这门课的第一章，也是整个国密改造项目的起点——背景。
很多人问过我：为什么要搞国密？直接用国际算法不香吗？这个问题其实挺有代表性的。我刚开始接触国密时也有同样的疑问。直到真刀真枪干过几个项目，才明白这里面的门道。
1.1 政策驱动：不是想不想用,是必须用
政策驱动是核心动力。说白了就是国家要求你用。这不是开玩笑，是硬杠杠。
核心法规要求：
- 《中华人民共和国密码法》（2020年1月1日实施）明确要求关键信息基础设施必须使用商用密码
- 等保2.0（GB/T 22239-2019）三级及以上系统必须支持国密算法
- GM/T 0054-2018《信息系统密码应用基本要求》对密钥管理有专项规定
- 金融、政务、医疗等行业监管细则陆续出台
我2019年接手过一家银行的密钥管理系统改造。当时真是硬啃《密码法》，逐条对照着改。为什么？因为监管检查不过，业务就得停。你想想看，这压力多大。
这里要特别提一下等保2.0。等保三级要求“应采用国家密码管理部门认可的密码算法”。嗯，这条其实就把路堵死了。你想用RSA、AES？对不起，过不了等保测评。
个人经验：我建议做国密改造前，先把本行业的密码应用标准捋一遍。不同行业要求细粒度不一样。金融有金融标准，政务有政务要求。别等项目做到一半才发现漏了关键条款，那就麻烦了。
1.2 行业趋势：大家都在动,你不动就掉队
行业趋势更明显。我简单梳理了一下2019年到现在的变化：
| 行业领域 | 推进状态 | 典型要求 |
|---|---|---|
| 金融行业 | 最激进，头部银行已基本完成 | 网银、支付、柜面全链路国密 |
| 政务系统 | 强制推进，有明确时间表 | 电子证照、行政审批必须国密 |
| 医疗行业 | 正在加速，等保驱动 | HIS系统、电子病历加密 |
| 运营商 | 逐步替换，核心系统先动 | 用户数据加密、信令加密 |
| 军队/军工 | 最早一批，完全自主可控 | 所有密码产品必须国密 |
为什么是银行先动？我有个客户是某大型银行，他们核心系统从TDE加密到应用层签名，全部换成了国密。他们说得很直白：上市公司，每年年报上要写国家密码应用进展。写不出来，投资者不买账。
还有个趋势值得注意：云原生国密。现在很多KMS跑在Kubernetes上，传统加密机那一套不好使了。我记得2022年有个项目，客户要求SM4加密速度不低于AES-128的80%。当时硬件加速卡还没完全适配，纯软实现差点翻车。这个问题我们后面课程会专门讲优化。
1.3 项目目标：我们到底要解决什么问题
回到项目本身。KMS对接国密算法，目标是什么？我归纳了三点：
- 合规性目标：通过等保测评和密码应用安全性评估
- 安全性目标：密钥全生命周期管理符合GM/T标准
- 业务连续性目标：改造不中断业务，平稳过渡
第三点其实最让运维头疼。我曾经做过一个KMS国密改造项目，客户要求保留原有国际密钥的接口——这就是典型的双轨并行需求。新业务用国密，旧业务继续用国际算法，两个不得不共存。
避坑指南：我曾经犯过一个错误——只考虑了加解密接口对接，没注意密钥存储格式。国密密钥的封装格式（如SM2密钥的PEM格式）和国际算法（如EC密钥的SEC1格式）完全不兼容。结果改到一半才发现密钥导入导出报错，血泪教训。
所以这个章节我们梳理清楚了：政策逼着你做，行业推着你走，项目目标就是把这些外部压力转化成可落地的技术方案。
你看这张图就很清楚了。政策驱动在最上面，往下拆分到行业趋势和项目目标，最终落到KMS改造。我习惯把这称为“三层驱动模型”。为什么这么画？因为实际做方案时，业务部门关心的是行业对标，安全部门关心的是合规，研发部门关心的是具体改造工作。一张图能说清楚各自的位置。
这个模型我用过很多项目，每次汇报都管用。尤其是面对不懂技术的领导，指着图说“上面两层大家不用担心，下面这层我们来做就行”通常都能过关。
实用技巧：做国密改造前的调研阶段，建议画一个类似的驱动力模型图。把政策文件编号、行业标准条款、项目里程碑都标上去。这样无论是过等保评审还是内部汇报，都有据可查。
好了，第一章到这儿。背景搞清楚了，咱们后面才能踏踏实实讲技术。