4. 密码资产识别范围界定
量子风险盘点的第一步不是评估算法强度，而是把“要盘的东西”圈清楚。范围界定一旦含糊，后续的算法清点、密钥生命周期分析、迁移优先级排序都会建立在流沙之上。本节要解决三个问题：盘点哪些类别的密码资产、以什么组织边界和系统清单为来源、以及如何为每项资产找到归属与责任人。
一、六类密码资产的界定口径
密码资产不等于“用了密码的地方”，而是可被单独识别、单独评估、单独迁移的最小对象。实践中建议按六个类别建立统一台账，每类给出明确的纳入与排除规则，避免不同团队各说各话。
- 算法：指系统中实际使用的密码算法及其参数，如 RSA-2048、ECDSA P-256、SHA-1、AES-128-CBC、SM2、SM4。纳入规则是“出现在代码、配置或协议协商结果中的算法标识”；排除仅作为库内部实现细节、业务方无法选择的算法。
- 密钥：包括对称密钥、非对称私钥/公钥对、密钥加密密钥（KEK）、根密钥、会话密钥。按“是否长期存在、是否可导出、存放位置”三个维度登记，短期会话密钥可按系统汇总登记而非逐条登记。
- 证书：服务器证书、客户端证书、代码签名证书、设备证书、内部 CA 签发的证书。需记录签发者、有效期、密钥算法与签名算法——量子风险主要看签名算法与公钥算法，而非证书用途。
- 协议：TLS/SSL 版本与密码套件、SSH 版本与算法列表、IPsec/IKE 参数、S/MIME、Kerberos 加密类型。协议是“算法组合的载体”，必须记录协商出的实际套件，而不是配置文件里写的期望值。
- 库与框架：OpenSSL、BouncyCastle、Java JCE、GmSSL、各类语言标准库的密码模块，需记录版本号，因为版本决定了可用算法集合与默认策略。
- 硬件模块：HSM、密码卡、TPM、安全芯片、UKey。这类资产的关键信息是“支持的算法清单、固件版本、是否支持 PQC 升级”，往往是最难迁移的一环。
二、组织边界与系统清单来源
资产范围由两条边界共同决定：组织边界回答“哪些单位、哪些业务归本次盘点”，系统边界回答“哪些系统、哪些组件进入清单”。建议采用“先定边界、再拉清单、后做去重”的顺序。
组织边界通常以法人单位、事业部或安全责任域划分，需明确是否包含子公司、外包运维系统、云上租户、OT/工控网络。云环境的特殊性在于：IaaS 层的密码能力由云厂商提供，但密钥与证书的归属仍在租户侧，边界必须写清“哪些由云厂商举证、哪些由本方举证”。
系统清单的来源应多源交叉，单一来源必然遗漏。常见来源包括：CMDB 配置管理库（提供主机与应用清单）、API 网关与负载均衡配置（提供对外 TLS 端点）、证书透明度日志与内部 CA 签发记录（提供证书全集）、代码仓库依赖扫描结果（提供密码库清单）、采购与合同台账（提供 HSM 等硬件）、以及流量侧被动探测（发现“账外”系统）。多源合并后按“系统—组件—密码资产”三级去重，是保证覆盖率的关键动作。
三、资产归属与责任人识别方法
资产台账如果没有责任人，就只是一份静态清单，无法驱动迁移。归属识别要区分四类角色：业务责任人、技术责任人、运维/平台责任人、供应商或云服务方。业务责任人确认资产用途与业务影响，决定迁移窗口；技术责任人掌握算法、密钥与配置细节，执行改造；运维/平台责任人负责 HSM、CA、网关等共享设施；供应商与云服务方则需通过合同与举证材料明确其密码能力与迁移配合义务。
识别方法上，优先从既有数据推导而非重新访谈。CMDB 的“属主”字段、工单系统的处理人记录、代码仓库的 CODEOWNERS、证书申请单的申请人，都是现成的归属线索。对推导不出的资产，再组织定向访谈，并以责任矩阵的形式由各方签署确认。一个实用判据是：如果某项资产在迁移时需要停机或改配置，谁有权批准、谁会收到告警，谁就是责任人。若两个问题指向不同的人，说明归属尚未理清，需要拆分或明确主责。
四、可直接使用的登记表样例
下表给出一个最小可用的资产登记字段集，字段设计围绕“能否支撑量子风险评估与迁移决策”展开，而非追求大而全。示例数据为教学假设，不代表真实系统。
| 资产编号 | 类别 | 对象与参数 | 所在系统/组件 | 组织边界 | 业务责任人 | 技术责任人 | 暴露面 | 备注 |
|---|---|---|---|---|---|---|---|---|
| CRY-0012 | 协议 | TLS1.2 / ECDHE-RSA-AES128-GCM | 订单网关 LB-03 | 电商事业部 | 张（订单域） | 李（网关组） | 互联网 | 协商套件以抓包为准 |
| CRY-0013 | 证书 | RSA-2048 / SHA256，2025-11 到期 | api.example.com | 电商事业部 | 张（订单域） | 李（网关组） | 互联网 | 由外部 CA 签发 |
| CRY-0027 | 密钥 | RSA-2048 签名私钥，不可导出 | 支付 HSM-A | 支付子公司 | 王（支付域） | 赵（密码平台） | 内网 | 固件版本待确认 |
| CRY-0031 | 库 | OpenSSL 1.1.1 | 清算服务 clr-svc | 支付子公司 | 王（支付域） | 陈（清算研发） | 内网 | 版本已停止维护 |
| CRY-0044 | 算法 | SHA-1 用于日志完整性 | 审计归档 job | 集团总部 | 刘（审计） | 陈（平台研发） | 内网 | 非对外，优先级可后置 |
填写时有三个易错点值得强调。其一，“对象与参数”必须写到可判断的粒度，写“使用 RSA”无法评估，写“RSA-2048 签名、PKCS#1 v1.5”才能判断迁移难度。其二，“暴露面”字段直接决定风险权重：互联网暴露的 RSA 密钥交换面临“先存后解”的 harvest-now-decrypt-later 威胁，优先级应高于纯内网的签名用途。其三，协议类资产要以实际协商结果登记，配置文件中写了 TLS1.3 但客户端仍可降级到 TLS1.0 的系统，必须按实际可达的最低套件登记。
完成上述工作后，应形成三份可交付物：一份带明确纳入/排除规则的资产类别定义、一份多源合并去重后的系统与资产清单、一份经责任人确认的归属矩阵。三者共同构成后续量子风险评估的输入基线，任何新增系统都应通过同一套规则补录，避免台账随时间腐化。