我國電子認證服務業發展現狀、趨勢及建議

王琎

隨著網絡空間技術的發展以及云計算、物聯網、移動互聯網、區塊鏈等新技術、新應用的不斷涌現，網絡社會提升到了一個新水平、新階段。面對網絡空間各領域參與主體的迅猛擴張，安全問題愈發凸顯，電子認證服務作為確認網絡主體及行為、保障用戶權益、認定法律責任的重要手段，需求日益升溫。經過多年的發展和市場培育，我國電子認證服務產業初具規模，上下游產業鏈條不斷完善，包括電子認證軟硬件提供商、電子認證服務機構、電子簽名應用產品和服務提供商、電子認證公共服務機構、應用單位和終端用戶等主體。回顧2017年，電子認證服務業在各方面都取得一定業績。

電子認證服務業整體發展現狀

產業規模繼續擴大。近年來，電子認證服務產業總體規模保持快速增長態勢，2017年電子認證服務產業總體規模實現220億元，同比增長14.1%。其中，電子認證軟硬件市場規模157.6億元，電子認證服務機構營業額55.4億元，電子簽名應用產品和服務市場規模7億元。

標準化工作穩步推進。當前，我國電子認證服務相關標準可分為兩個層面：一是國家標準層面，該項工作由全國信息安全標準化技術委員會（以下簡稱信安標委）負責;二是行業標準層面，由各相關領域的主管部門根據職責發布行業標準。截止到2017年底，我國正式發布的電子認證相關國家標準達80項，其中，基礎設施類標準基本成熟，相關標準有29項，2017年新發布3項標準。技術類標準較為完備，相關標準34項，2017年新增6項標準。管理類標準相對較少，有3項，應用支撐類標準發展較快，有14項。與此同時，密碼行業標準進展良好，國密局2017年努力推進行業標準晉升為國家標準和國際標準。2017年11月3日，在第55次ISO/IEC聯合技術委員會信息安全技術分委員會（SC27）德國柏林會議上，含有我國SM2與SM9數字簽名算法的ISO/IEC14888-3附錄1獲得一致通過，成為ISO/IEC國際標準。

數字證書應用逐步普及。截至2017年底，全國有效數字證書總量約達3.41億張，其中，個人證書約2.78億張，機構證書約5900萬張，設備證書約364萬張。數字證書覆蓋區域日漸擴大。數字證書跨境互認應用持續推進。近年來，工業和信息化部已經對申請開展粵港電子簽名認證跨境互認的CA機構進行了核準，并開展數字證書跨境應用。數字證書主要應用于六大領域，即移動互聯網、金融、電子政務、醫療衛生、電子商務和教育。此外，一證多用和未能嚴格區分領域的其他應用證書得到迅猛發展。其中，應用最多的是移動互聯網領域，有22860萬多張有效數字證書;其次是電子商務領域，約3860萬張;再次是金融領域，約1820萬張;第四是電子政務領域，約1300萬張;第五是醫療衛生領域，約58.6萬張;第六是教育領域，約2萬張。此外，其他領域，約4199.4萬張。

我國電子認證服務業的發展趨勢

電子政務數字證書互通互認跨入快速發展階段。2018年7月31日，國務院印發《關于加快推進全國一體化在線政務服務平臺建設的指導意見》（發文字號：國發〔2018〕27號，以下簡稱《指導意見》）。《指導意見》的附件還包含了《全國一體化在線政務服務平臺建設組織推進和任務分工方案》。《指導意見》就電子政務服務平臺“一網通辦”做出了重要部署，并明確了部署任務的責任部門及完成時間點。其中，“統一身份認證”“統一電子印章”“統一電子證照”三項任務，試點地區、部門應于2019年底前完成，全國范圍2020年完成。電子政務數字證書是電子認證服務業的重要領域，國家政務服務平臺將會基于自然人身份信息、法人單位信息構建統一身份認證平臺，該平臺將會打通電子政務中各部門區域的信息壁壘，從而推進數字證書的跨區域互通互認。電子政務數字證書互通互認將會在2018年至2020年快速發展。

電子認證服務市場結構將進一步調整。伴隨國家“放管服”工作的推進，2017年起，工商、稅務等部門開始推進電子營業執照及報稅憑證的收費機制整改。特別是2018年4月，國稅總局發布了《關于落實第三方CA證書收費整改工作的通知》。這些政策的出臺和調整對電子認證服務行業的市場結構產生了重要的影響。截至2017年底，機構證書及個人證書在數字證書的總占比高達98.8%，總數達3.37億張。在各CA中，原工商、稅務的證書所產生的業務量在部分電子認證服務機構中的占比約為20%至40%。賽迪智庫認為，在2018至2020年，電子認證服務的市場結構將會出現調整。其中，電子政務（包括工商、稅務等）相關部分的市場將進一步優化調整，部分自然人、法人領取的多種不同事項數字證書將會伴隨“一網通辦”工作的推進逐漸統一。部分以工商、稅務電子證書為主營業務CA的證書量及營收會出現縮減的情況。

服務器證書業務有望成為下一個新興增長點。隨著個人隱私越來越受到人們的重視，在網絡上使用明文傳輸網頁數據逐漸被人們認為是不安全的行為。最近幾年來，越來越多的網站開始使用服務器證書及TLS協議保證瀏覽網頁的安全。谷歌作為互聯網行業的領軍企業，從微軟的手中搶占了全球互聯網瀏覽器超過一半的市場份額。以Chrome瀏覽器為抓手，谷歌推行了與微軟IE的差異化競爭策略，以數據安全為切入點，谷歌努力將自己實現的TLS1.3草案推行成為互聯網行業標準。而TLS的使用離不開電子認證服務機構頒發的服務器證書。目前我國絕大多數服務器證書市場均由外國廠商占領，國內CA機構參與的競爭并不充分，市場份額潛力大。商業CA頒發的服務器證書售價較高，有充分的利潤空間，在電子認證服務機構轉型的過程中，服務器證書領域有望成為下一個新型增長點。

國產密碼算法的配套標準及工具逐步成型。通過近幾年的努力，我國國密算法的標準化工作一直在高速推進。2017年11月3日，在第55次ISO/IEC聯合技術委員會信息安全技術分委員會（SC27）德國柏林會議上，含有我國SM2與SM9數字簽名算法的ISO/IEC14888-3附錄1獲得一致通過，成為ISO/IEC國際標準，標志著我國向國際標準化組織（ISO）和國際電工委員會（IEC）貢獻中國智慧和中國標準取得重要突破，將進一步促進我國在密碼技術和網絡空間安全領域的國際合作和交流。2018年4月，我國提出的SM9-KA秘鑰協商協議納入ISO/IEC11770-3、ZUC序列密碼算法納入ISO/IEC18033-4、SM9-IBE納入ISO/IEC18003-5三項密碼算法標準化提案獲得國際立項，我國密碼專家被任命為項目報告人。伴隨近年來分布式計算、超算的發展，國外密碼界將以RSA為代表傳統算法升級為以ECC為代表的新一代算法的呼聲越來越高。我國目前已經在標準和配套工具上做好了積累和準備，國密SM2/SM3/SM4/SM9算法有望在近幾年算法升級的浪潮中，打破國外加密算法壟斷各行業應用的格局，使我國電子認證服務業提前布局的國密算法系列證書得到更為廣泛的應用。

我國電子認證服務業發展的主要問題

電子認證新應用新模式拓展不足。當前，大數據、云計算、移動互聯網等新形態、新業務的迅速發展給網絡空間帶來了豐富的應用，形成了大量有價值的數據資產。隨著人們生產生活與網絡空間的緊密結合，各類安全風險也隨之而來，網絡安全保障需求也與日俱增。這促使新的認證需求不斷開啟，推動了認證方式的多元化。實際上，除了基于PKI的數字證書認證方式外，現在已經出現了短信密碼、動態口令牌、手機令牌、智能卡、生物識別等一系列認證方式，雖然這些認證方式在技術角度并不比電子簽名安全性高，但大都是針對特定的應用場景，加之都符合其自身安全要求，具備操作便捷、用戶友好等特點，從而得到了廣泛應用。然而，作為互聯網環境下保障人們合法權益的重要手段，電子認證服務的應用模式較為單一，主要提供企業、自然人數字證書服務，應用范圍也僅限于網絡身份認證，相對狹窄。由于自身應用過程繁瑣，在很多互聯網應用中很難得到認可，電子簽名相關應用尚未大規模開展，不利于行業的進一步發展。此外，我國電子認證服務機構多以政府部門自建或國有資產控股為主，在運營上有比較穩定的客戶，經營收入方面不存在后顧之憂，容易導致滿足于現狀，缺乏對新應用、新模式的開拓動力，技術創新、業務創新明顯不足。

電子認證服務資金投入力度較弱。當前，社會各界對電子認證服務重要性的認識程度仍顯不足，認為電子認證服務僅僅是一項市場化活動，忽略了電子認證服務在網絡信任體系建設中重要基礎設施的作用，因而，對電子認證技術研發和創新、基礎設施建設等方面的資金支持力度，與其他信息技術產業相比仍然較弱。政府通過資金補貼、項目支持等政策激勵企業開發擁有自主知識產權的國產化技術和產品、搭建全國性的基礎平臺（如政府外網、內網訪問控制平臺、統一網絡身份管理與服務平臺等）的力度不強，在投融資渠道方面，風險投資、民營資本投入到電子認證服務業的力度也非常有限。

自建電子認證系統給行業發展造成巨大沖擊。目前，部分行業主管部門大力建設電子認證服務系統，在管轄領域的電子政務對公服務中向用戶提供電子認證服務，對行業電子政務數字證書應用帶來極大挑戰。如國家市場監管總局已建設完成的電子營業執照系統中含有電子認證系統，將數字證書與電子營業執照綁定，同時發放給企業;國家稅務總局也開始自建電子認證系統簽發數字證書，用戶可通過該證書實現網上報稅。此外，交通、財政、能源等行業已建或在建電子認證系統。這些行業的自建CA行為對電子認證服務行業產生了巨大沖擊，直接影響了多家機構已有業務的開展，造成有效證書發放量大幅減少，營業收入大幅降低;更嚴重的是，自建電子認證系統阻斷了行業重要的盈利點，削弱了整個電子政務領域的市場容量，擠壓了電子認證機構的生存空間。電子政務領域自建電子認證系統，給CA機構的生存和發展造成較大威脅。

電子認證服務專業人員嚴重匱乏。由于電子認證服務業是新興服務業，社會上對電子認證服務的理解和重視程度還遠遠不夠，加上我國相關學歷教育尚不完善，未形成產學研結合的人才培養體系，崗位從業認證機制不健全，人才隊伍建設尚不完善。同時，我國電子認證服務人才選拔和引進機制仍不完善，同時缺乏對現有人才隊伍開展的專業化培訓和繼續教育，導致從事電子認證服務的專業人員嚴重匱乏。據統計，目前電子認證服務機構從業人員總量僅5000余人，其中，專業技術人員所占的比例不足30%。專業人才以及既懂技術又懂管理的綜合性人才短缺已成為制約行業發展的重要因素。

CA機構服務能力面臨較大壓力。“互聯網+”時代，傳統行業與互聯網深度融合，各種互聯網應用層出不窮，信息化程度日趨深入。尤其是云計算、物聯網、大數據、移動電子商務等新興互聯網應用，對數據保密、訪問控制、責任追溯等有了更高要求，而電子認證數據加密、完整性認證、電子簽名等功能正好契合了新應用的需求。如何適應新時代互聯網的發展，如何在新興領域中充分發揮電子認證作用，是電子認證服務行業持續發展所面臨的首要問題。行業傳統的、以簽發數字證書為主要業務的模式，難以滿足新時期的市場要求，CA機構不僅需要簽發證書，還需要充分了解應用系統的業務流程和安全需求，并且有能力將證書應用在業務系統中，發揮證書在業務流程各個環節中的保障作用。這對認證機構技術研發能力、服務創新能力，以及從業人員的知識結構和綜合素質提出更高要求，需要認證機構掌握必要的核心技術，積累豐富的研發經驗，培養一批專業的人才隊伍。新時期，電子認證服務機構能力建設將面臨更大壓力。

發展我國電子認證服務業的對策建議

完善配套政策法規、引導電子認證行業發展。電子認證服務業的發展需要多方面的保障和支撐，尤其是需要法律法規和相關政策方面的支撐，只有構建系統而完善的法律法規體系，才能充分保障電子認證服務業的健康、快速發展，促進行業應用，進而推動電子政務、電子商務等網絡應用的發展。針對目前電子政務業務互通性差的情況，應當盡快圍繞國發〔2018〕27號《指導意見》的部署，進一步完善我國《電子簽名法》《電子認證服務管理辦法》《電子認證服務密碼管理辦法》等法律法規。為按部署推進“一網通辦”工作做好法律法規方面的準備，同時將黨的十九大明確的中國特色社會主義新時代發展思路及部署完善到法律法規當中去，為簡政放權、放管結合、優化服務完善法律法規方面的依據。

進一步加強監管、提升電子認證服務行業標準。近年來，國際政治局勢、網絡安全形勢迅速變化。為了緊跟時代的發展，捍衛國家網絡空間主權，我國于2017年6月1日正式實施了《中華人民共和國網絡安全法》。電子認證服務業作為網絡信任的重要支撐和信任根，其在網絡安全中發揮的作用將愈發明顯和重要。在工業和信息化部2018年組織的“雙隨機，一公開”檢查情況的公示中，部分電子認證服務機構在運營管理及技術系統存在隱患，部分管理制度執行不到位，部分技術沒有跟上網絡安全形勢。伴隨公安部《網絡安全等級保護條例》進入司法程序，“等保2.0”時代即將來臨的大背景，應對電子認證服務機構應當進一步加強監管，從而在國際網絡安全問題突出的形勢下確保我國網絡身份信任根的管理安全和平穩運行。

規劃新興業務市場、倡導企業聯合培育。電子簽名法頒布14年來，各省市、地區電子認證服務機構經歷了充分的行業內競爭，已經成為紅海市場。伴隨電子政務數字證書市場“一網通辦”“放管服”的深入推進，對于電子認證服務機構，應當在積極配合政府部門開展證書互通互認、減免收費的同時，對行業現狀進行突破，開發以服務器證書為代表的新領域，創造出屬于電子認證服務機構自己的市場藍海，從而實現整體行業的持續發展。在開拓市場時，應當極力避免在新市場內盲目擴張、打價格戰等短視行為。應倡導企業聯合，從用戶教育和市場培育做起，讓用戶充分了解電子認證服務機構及電子簽名的法律效應、應用效果，培養起用戶的使用習慣，從而開拓出新興業務市場。

重視可信運營隊伍建設、構建網絡空間信任基礎。雖然近年來電子認證服務業發展良好，但目前整個行業中存在著重視市場開拓能力，輕視可信運營團隊的狀況。電子認證服務機構是我國網絡空間的信任根，是構建可信網絡空間體系的基礎，優秀的管理和高質量的運營是企業立足的根本。一旦電子認證服務機構的運營出現問題，將會在目前的全媒體時代快速傳播曝光，直接導致公眾對于該機構的信任流失乃至信用破產。而對于電子認證服務機構，這樣的打擊是致命的，信用的問題將直接影響所有業務的開展，已經開展的業務也將面臨用戶的投訴與指責，乃至被國際的網絡安全行業列入黑名單。在我國《網絡安全法》實施的大背景下，電子認證服務機構的可信運營隊伍重要性再度提高，應當大力加強CA運營隊伍人才的建設，確保核心安全運維人員擁有扎實的知識、豐富的經驗與可靠的品德。為國家網絡空間安全戰略打好信任基礎。

試驗互聯網新技術、規劃技術未來方向。從2017年起，以區塊鏈為代表的互聯網新技術得到了資本市場的青睞產生了爆發式增長。區塊鏈技術作為一種分布式賬本的技術方案，它具有開放、去中心、交易透明以及數據不可篡改等特征，可能會對整個生產關系、社會結構產生巨大的影響。電子認證服務業也應投入適當的精力預研、試點相關應用，探索可能的落地及應用模式。深入研究提出依托電子認證服務的區塊鏈解決方案，推動CA機構積極參與到金融、電子商務等領域區塊鏈應用中去。