首份证券业商用密码行业标准要来了！

　　近日，中证协近日向券商下发《证券业商用密码应用上线指南（征求意见稿）》。记者从券商处了解到，近日银河证券牵头制定了《证券业商用密码应用上线指南》团体标准，现在形成征求意见稿，向各大券商征求意见，并要求在本月底之前反馈意见。

　　记者询问各家券商关于各家上线商用密码的情况时，多数券商表示，各家有自己的商用密码系统，但是这部分内容涉密，不方便对外透露。

　　据业内人士透露，自2021年起，证监会就已经陆续要求证券期货行业内的机构以中国银河证券实施方案作为参考案例，并要求在2022年12月底前完成系统改造、安全性评估测试及收尾工作。但是在此之前商用密码改造并没有统一的行业标准，各家券商完成的情况不一而终。此次行业标准的出台有利于各家机构自查和监管部门核查。

　　据记者观察，截至目前，已经有国泰君安、国盛证券、德邦证券、国信证券等多家券商公开表示完成了商用密码的改造工作。

　　银河证券成为行业内首家

　　据了解，2015年，证券行业开始着力密码算法的技术研究和设计等工作。2016年11月11日，银河证券作为证券行业第一家也是唯一一家试点券商申请了网上交易商用密码改造试点工作。2019年12月24日，中国证监会组织多家机构领导专家等组成的专家组对中国银河证券承担的商用密码应用试点项目进行现场评审验收，一致通过。

　　中国银河证券网上交易系统商用密码改造项目，成为了行业内首家系统改造，首家上线运行。

　　今年2月，在中国证监会科技监管局指导下，中国银河证券联合广发证券股份有限公司、兴业证券股份有限公司对商用密码系统改造上线工作进行规范化、标准化，保障行业机构顺利开展密码应用上线工作。

　　据了解，该标准对于降低市场参与者成本，指导相关单位信息系统商密改造按标准上线、按规范管理具有重要意义。

　　什么是商用密码？

　　据银河证券副总裁罗黎明此前介绍，商用密码技术已广泛应用于金融、科技、文化和社会生活的各个领域。当前，证券期货业的商用密码应用如数字加密、签名、验签等，普遍采用的是国外商用密码技术，摆脱不了受限、受制、受控于人的被动局面，这对于整个行业的自主可控、安全稳定发展构成巨大挑战。随着全球范围内密码技术的发展和计算能力的提升，国际通用密码算法不断被破解，面临敏感信息泄露和信息系统遭受攻击的风险，已不能满足当前和今后应用的安全需求。

　　据此前公开报道，2017年9月，美国征信巨头Equifax被曝出遭遇黑客攻击，约有1.42亿美国用户的个人重要信息面临泄露；2018年11月，美国汇丰银行通知客户遭到网络攻击，约1%的美国客户的重要信息被泄露；2019年7月，美国第七大商业银行“第一资本”宣布约1.06亿信用卡客户信息被不法分子窃取，引发了民众恐慌。

　　国信证券介绍，商用密码在金融行业的应用推进得比较早，银行和证券业已经开展广泛应用。根据中国人民银行国密应用要求，银行需在网银系统对安全工具、安全基础设施进行国产密码算法的应用改造，包括国密证书、USBKey、动态令牌等。对于证券行业，其早期一直沿用国际通用密码算法体系及相关标准，交易系统国密改造的内容主要集中在身份认证、安全传输、数据签名，交易接入网关作为应用系统的入口，是国密改造的重点和切入点。

　　2023年1月，中证协向券商下发了《网络和信息安全三年提升计划2023-2025)》，鼓励有条件的券商未来三年信息科技平均投入金额不少于平均净利润的8%或平均营业收入的6%，其中网络和信息安全投入不低于信息科技投入的7%。同时对信息科技员工人数、网络安全员工人数均做出要求。

　　根据此前2022年年报显示，去年，只有华泰证券、中金公司等10家左右券商的信息科技投入超过了营业收入的6%。

（文章来源：中国基金报）