10月11日，由陜西省委網信辦、西安市委網信辦指導，中國網絡安全產業聯盟、中國電子技術標準化研究院聯合主辦的2021年國家網絡安全宣傳周“網絡安全產業發展論壇”在陜西西安成功召開。衛士通資深專家、天津網安總經理洪新受邀出席論壇并作主題演講，分享了衛士通“第三方密碼服務”在保障數據安全方面的探索。

會議現場

洪新在題為《建立多方信任模型的第三方數據加密服務研究》主題演講中提出安全問題不僅是技術層面的問題，還有信任層面的問題，即人的問題，并引述IBM的報告指出95%的安全問題是由人引起的問題。

洪新

他分析到，之所以說技術只是解決網絡安全的一個層面，是因為即使是技術最先進的企業，技術并不完全解決用戶安全能力的提升，也并不解決平臺應用廠商對用戶數據權力過大，沒有制約這樣的問題，故而近幾年爆發的安全事件不斷，而且越來越多，越來越大。另外，也同時造成了用戶對IT基礎設施和應用廠商的信任感不斷地被消費，不是對他們技術的懷疑，而是對他們提供的信任感的懷疑。

關于信任，國內外對于互聯網網絡安全信任上的探索，最終都指向第三方的信任模式，所謂“第三方的模式”。當天洪新重點介紹的“第三方密碼服務”是指用戶和互聯網平臺運營者之外，引入了一個獨立的密碼服務運營者，幫助用戶管理密碼支撐用戶數據的加密，這個模式下，互聯網運營商和平臺運營商他們所見，所管，所存的用戶數據只有密文，從而有效防止明文信息的泄露。應用和平臺的運營者、密碼服務運營者互相制衡，共同確保用戶數據的安全。由于密碼和加密數據的分離，各個服務運營者都不能存取用戶明文信息，極大增加了用戶對運營者服務的信任。第三方模式已成功地在各個領域得到廣泛的應用，安全領域的CA就是很典型的應用。

如圖所示，第三方加密服務商會提供在線的密鑰服務，加密密鑰安全的存儲分發，第三方加密服務商不接觸也不保存任何的數據，通過密鑰和安全策略控制用戶，保護用戶的實際安全。在此同時，這個服務又對應用服務商提供密碼安全的組件適配服務，讓組件提供應用服務的同時，所有的信息都能通過第三方加密再儲存和傳輸，即使有人非法獲取用戶的數據，也會因為沒有密鑰，沒有辦法真正獲取用戶的明文信息。數據和密碼的分離，有效避免因運營者信任問題造成的數據泄露。而用戶本身則能通過第三方密鑰服務所得到的密鑰和安全策略，完成信息在本地的加解密。

這個原理已被作為最佳實踐應用于衛士通和眾多合作伙伴的合作當中，如華為，曙光云，企業微信，國產數據庫和OA企業等。