2023年7月1日，修订后的《商用密码管理条例》开始实行，这个事在产业中的声音并不大，因为这与之前大家都期望差距甚大，这是为什么呢？
一、爆发之梦的落空
原因在于商用密码的应用范围没有预期中的爆发性增长。国家密码管理局2020年8月20日公布的《商用密码管理条例（修订草案征求意见稿》中，规定“非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统，其运营者应当使用商用密码进行保护”，而今年实行的正式版本中规定“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护”，这一条差距有多大呢？
一个省网络安全等级保护第三级以上的系统都是一万以上，但关键信息基础上设施是屈指可数，而“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施”更是凤毛菱角，“法律、行政法规和国家有关规定要求使用”实际上就是最起码要国务院一级的机构发布的文件要求才可以，关键信息基础设施也好，等级保护也好，根本上还算建设者自己去评，但“法律、行政法规和国家有关规定要求使用”则必须是国家层面要求的，也就是说，只有极少数极少数的单位适用于这条规定，是必须使用商用密码和定期进行密评的，其他单位最多是按照“第三十五条 国家鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全，鼓励使用经检测认证合格的商用密码。”规定，鼓励使用而非强制。
可以说这一条把商用密码产业期待产业大爆发的希望给扑灭了，也印证了密评机构一直不扩容的原因，毕竟必须进行密评的系统太少了，根本没必要进行扩容。修订案征求意见稿发布的时候，一看到等保三级系统要使用商用密码，商用密码产业是乐开了花，期待着整个产业赚的盆满钵满，可现在只能说是黄粱一梦。
二、美梦落空的原因
一般来说征求意见稿和最终版差距不会太大，但为什么商用密码管理条例上会有如此达修改呢？
根本原因就是反对质疑的声音太大了，如果按照征求意见稿定规定，全国的信息化都会被商用密码拖累，被商用密码产业割韭菜，这里就不得不说商用密码产业发展存在的两个巨大问题。
第一是成本增加。
其实，征求意见稿出来后，有很多客户已经开始了解商用密码的应用和改造，我也参与过，但现有的技术条件和改造方案是大部分客户不可接受的。拿最简单的MD5算法替换，现有的MD5实现都是开源的软件库，开发人员直接调用就好，可对应的SM3算法虽然有开源的实现，但却不能用，因为密评看商用密码产品认证证书，而通过认证的全部是收费的，虽然理论上存在软件实现，但大部分都是用硬件密码机去实现，这和之前网络安全产品卖盒子是一个套路，但就是MD5替换为SM3就要无形中增加资金开支，更不用说其他部分了，很多客户也因此放弃了。最搞笑的还算VPN网关，要做认证就需要SM2模块，可SM2模块只能特定硬件实现，而能做的到厂家只有那几家，也就是说即便用不着SM2,为了做认证VPN厂家也必须去买这个模块，简直就是变形圈钱。
网络安全产业已经进入了服务为主，硬件为辅的时代，但商用密码产业还停留在卖盒子的阶段，真是落后于时代。
第二是生态不完整。
商用密码产业的生态不完整是堪比信创行业的，这也是导致大量密改使用密码机的原因，举例额来说，信息系统应用商业密码，如果不用密码机，只能使用具有国密证书的操作系统、数据库，这导致开源不用想了，因为开源没法进行国密认证，只能买商用软件，现有的软件很多是国外的，厂家根本不会去做，那只能用国产的，但又有几个公司有实力、决心和资金，用UOS替换Linux，用达梦替换Oracle，可能某些国企可以，民企我是真没见到几个。
商用密码产业不要企图去复制信创产业，信创产业是特定政治环境下的特殊产物，是一种政治行为，不是经济行为，商业密码本质上就是只能在非涉密、非核心环境下使用的，可以复制信创产业的是核心密码，和商业密码没有关系。
三、破局
一是要有耐心和毅力，放弃圈钱的想法。商用密码产业生态的发展不是一朝一夕的事，不是一个企业能做的到事，也不应该是个寡头市场，利用设置某种门槛去圈钱只会破坏产业生态
二是开放心态，拥抱开源。商用密码应用实际上是在挑战欧美已经建立的密码体系，但靠商业软件和产品是根本行不通的，借助开源力量才能让客户放心用、愿意用，要学习网络安全行业，用服务去盈利，不要只想靠许可证盈利。
（以上观点仅为个人看法，不代表任何机构和组织，仅供参考讨论）
