根据《保守国家秘密法》,国家秘密的密级分为绝密、机密、秘密三级。《密码法》规定,核心密码、普通密码本身即为国家秘密。核心密码用于保护国家绝密级、机密级、秘密级信息,普通密码用于保护国家机密级、秘密级信息,商用密码用于保护不属于国家秘密的信息。
3. 如何判定企业日常生产运营或产品中使用或涉及的一些加解密技术是否构成商用密码产品?
在商用密码领域,我国法律法规主要是对密码产品以及含有密码技术的设备进行管制。因此,界定一个涉及加解密技术的产品或设备是否构成所谓的“商用密码产品”或“含有密码技术的设备”就变得尤为重要。
如前所述,由于新出台的《密码法》本身并未对“商用密码”或“商用密码产品”的定义和范围进行直接调整,目前对商用密码产品的界定仍应结合《商用密码管理条例》的规定,可从以下四个方面来理解和操作:
第一,从概念上来说,商用密码技术,是指能够实现商用密码算法的加密、解密和认证等功能的技术,包括密码算法编程技术和密码算法芯片、加密卡等的实现技术。而商用密码产品,是指采用商用密码技术实现加密、解密或安全认证操作等功能的专用硬件、软件和服务。《商用密码管理条例》中所定义的“商用密码产品”并不包括服务,《密码法》通过对密码的定义,间接地将“服务”纳入商用密码产品的范围,这也顺应了实践中通过网络提供加密和安全认证服务的趋势。
第二,我国密码法保护的“密码产品及含有密码技术的设备”仅限于以加密解密操作作为核心功能的专用硬件、软件,其他如手机、Windows软件、浏览器软件等软件都不在这个范围内。
第三,“商用密码产品及含有密码技术的设备”是用于“不涉及国家秘密内容的信息”的领域。商用密码涉及的范围很广,不涉及国家秘密内容的信息,又需要用密码加以保护的,均可使用商用密码。应当注意的是,虽然商用密码本身不属于国家秘密,但《商用密码管理条例》中明确规定密码技术属于国家秘密。
第四,除了上述对“商用密码产品及含有密码技术的设备”范围的进一步解释以外,实践中,商用密码产品都会有一般的分类和相应的标准,因此可以依据分类和标准来判断相关产品是否为密码产品。如果遇到涉及比较复杂密码技术或比较不常见的密码产品,也可与密码管理部门进行沟通咨询,甚至将相关材料交由省级密码部门进行初步审查,以确定涉及加解密技术的产品是否构成商用密码产品。
4. 商用密码