返回案例列表
行政法规

商用密码管理条例 第1条 案例评析

朱俊男律师7分钟2 阅读
**商用密码管理条例 第1条 案例评析** （行政法规类） **案情简介** 2023年6月，某省通信管理局在对省内一家提供政务云服务的第三方信息技术公司（以下简称“云科公司”）开展网络安全专项检查时发现：该公司为多个地市级政务部门搭建的电子公文交换系统，未依法使用经国家密码管理部门批准的商用密码算法和产品，而是自行采用境外开源加密库（含RSA-2048+AES-128组合）对公文元数据及传输通道进行加密。虽技术上具备基本保密功能，但该加密方案未经商用密码检测认证，亦未向省级密码管理部门备案。检查组依据《商用密码管理条例》启动调查程序，拟对其作出责令整改、通报批评并处警告的行政处理决定。云科公司提出申辩，主张“系统未发生信息泄露，加密效果达标，且主观无恶意”，质疑处罚依据不足。 **法律分析** 本案核心争议在于：行政机关能否仅依据行为违法性（即未按法定要求使用合规商用密码），而无需证明实际危害后果，即适用《商用密码管理条例》予以行政处理？此问题须紧扣该条例**第一条**展开分析。 第一条明确：“为了加强商用密码管理，保护信息安全，保护公民和组织的合法权益，维护国家的安全和利益，制定本条例。”该条属立法目的条款，具有统领性、解释性功能。它清晰揭示了本条例的规范逻辑——**以风险预防为重心，以制度管控为手段，而非以损害结果为前提**。换言之，商用密码管理并非“事后追责型”监管，而是“事前准入+事中合规”型行政规制。其立法本意正在于防范因密码应用不规范可能引发的系统性安全风险：一旦政务系统加密机制失守，轻则导致公文篡改、身份冒用，重则危及关键信息基础设施稳定运行，甚至威胁国家秘密安全与公共治理秩序。 因此，云科公司所谓“未造成实际泄露即不违法”的主张，实质混淆了行政违法构成要件。根据第一条所确立的立法目的，只要相关活动属于《条例》调整范围（如政务信息系统密码应用），即应严格遵循法定密码管理要求；是否发生现实危害，不影响其行为违反行政管理秩序的定性。这也与《行政处罚法》第三十三条“初次违法且危害后果轻微并及时改正的，可以不予行政处罚”的但书规定形成呼应——该但书恰恰反向印证：**违法行为本身已具可罚性，是否免罚需另行判断情节，而非否定违法性本身**。 **案件处理结果与启示** 经听证与法制审核，监管部门最终采纳法律分析意见，对云科公司作出责令30日内完成商用密码产品替换与系统密评备案、予以书面警告的处理决定，并将其纳入商用密码合规指导重点对象。该公司如期完成整改，后续通过商用密码应用安全性评估（密评）并取得备案凭证。 本案启示在于：《商用密码管理条例》第一条绝非空洞宣示，而是精准锚定了商用密码监管的**预防性法治逻辑**。它要求相关主体将密码合规视为一项前置性、强制性义务，而非可选项或技术兜底手段。尤其对政务、金融、能源等关键领域运营者而言，“用了密码”不等于“用对密码”，“能防攻击”不等于“符合国标”，唯有严格遵循国家密码管理要求，方能真正实现第一条所强调的“保护信息安全”“维护国家安全和利益”之根本目标。 **律师建议** 对企业特别是关键信息基础设施运营者，务必树立“密码合规即安全底线”的意识： 1. **主动识别适用场景**：凡涉及身份鉴别、电子签名、数据加密、安全传输等环节的信息系统，均应对照《商用密码应用安全性评估管理办法》判断是否属于密评范围； 2. **坚持“三必须”原则**：必须选用列入《商用密码产品认证目录》的产品，必须由具备资质的机构实施密评，必须向属地密码管理部门履行备案义务； 3. **将密码合规嵌入全生命周期管理**：在系统规划、建设、运维各阶段同步部署密码策略，避免“先上线、后补密”的被动整改。 唯有如此，方能在数字时代切实践行《商用密码管理条例》第一条所承载的法治使命——以规范之力，筑安全之基。（全文约1280字）