加密算法也有保质期，谁把它排进计划

结论先行：加密算法原本被当成一项装好就不用再管的技术选型。10 月下旬定稿的一份过渡路线图改变了这件事的性质——它给出了两条时间线：2030 年之后旧算法进入弃用阶段，2035 年之后不再允许用于合规用途。这意味着加密算法开始有了保质期，也意味着它从「技术细节」变成了「排期问题」。真正要先动的不是去买什么新产品，而是三件事：查清旧算法用在哪些地方、按数据需要保密多久排出优先级、把改造挂进本来就有的技改窗口里。

本文只谈企业侧怎么把这次算法更替排进计划，不谈具体算法的技术实现与产品选型，也不谈合规测评该怎么过。

这份路线图说了什么

据公开材料，10 月 27 日定稿的这份过渡路线图，是 2024 年 8 月三项后量子标准发布之后的落地配套文件。它要回答的是「需要改什么、什么时候改」，而不是「哪个算法更好」。

三条时间线值得记住：

这次迁移针对的是易受量子攻击的公钥密码，主要是密钥建立与数字签名两类用途；对称加密算法不在这一轮的替换范围内。这个边界很重要，它决定了盘点工作的范围——不是把企业里所有跟「加密」相关的系统都翻一遍，而是找准那两类用途。

为什么不能等「量子计算机出来再说」

这是多数人听到这个话题时的常见反应：机器还没造出来，急什么。

公开材料里给出的反驳很直接，叫「先收集、后解密」——攻击者可以先截获并保存加密数据，等量子技术成熟之后再解密。对于科研资料、医疗记录、商业秘密这类需要长期保密的内容，这个时间差就是风险本身。

换个说法更容易理解：一份要求保密二十年的资料，如果用了一种可能在十年后被解开的算法来保护，那么它从今天起就已经处于风险中，而不是从十年后开始。判断要不要现在动，依据不是「机器什么时候造出来」，而是「这份数据要保密到哪一年」。

时间尺度：过去要十年到二十年

路线图里还有一个数字值得留意：从算法标准发布，到它真正融入各类信息系统，历史上可能要花十年到二十年。

这个数字的用处是校准预期。如果按这个尺度推算，2030 年进入弃用的时间点，倒推回来的准备时间并不宽裕——因为改造不是一次集中完成的动作，而是分散在设备更新、证书更换、软件升级这些既有节奏里一点一点做完的。等到 2029 年再启动，能用的窗口就只剩集中式的大改造，成本和风险都会高出一个数量级。

其一：先查清旧算法在哪儿

盘点的难处不在于有没有清单，而在于这份清单平时没人维护。加密算法的使用位置极其分散：写在应用配置里、藏在证书里、固化在硬件模块里、由第三方接口提供、甚至跟着某个多年前采购的设备一起进来。

可行的起点是把问题缩到可回答的程度，先回答三个：

• 哪些系统对外提供加密通信。这类系统数量相对有限，且直接面对外部，风险与优先级都高。
• 哪些证书和密钥在有效期管理范围内。如果企业已经有证书台账，这一步可以直接复用；如果没有，正好借这次机会建起来。
• 哪些数据需要长期保密。这一条要问业务部门，不是问 IT。人事档案、医疗记录、研发图纸、合同文本，各自的保密期限不一样。

这三问的答案能画出一张粗粒度地图。精度不必很高，重点是能看出「谁在用、用在哪一类用途上」，后续再逐步细化。

其二：按保密期限排序，不按系统重要性排序

排优先级时容易犯的错，是直接套用既有的系统分级——核心系统排前面，外围系统排后面。

这次更合适的排序依据是「数据需要保密到哪一年」。一套边缘系统里存着要保密二十年的资料，它在这件事上的优先级高于一套核心但只存三个月流水数据的系统。路线图本身也提示了同样的方向：优先安排存有高度敏感数据、或预计到 2030 年仍需保护相关数据的系统。

实践中的分层大致是这样：数据保密期跨过 2035 年的，排在前段；保密期在 2030 年前后到期的，可以随着系统自然更新换代一并处理；确定会在这几年退役的系统，不必专门改造，但要记进清单并在退役时核销。第三类最容易被忽略——做了报废计划却没人回头关掉清单，几年后盘点时又冒出来。

其三：挂到既有的技改节奏上

算法改造本身很难单独立项。它不产生新功能，也不解决眼下的故障，在预算会上讲不出紧迫感。可行的做法是把它作为「顺带完成项」挂到三类既有动作上：

• 设备与平台更换。采购时把「支持后量子算法或混合方案」写成技术要求，一次到位，不额外增加改造动作。路线图也提出供应商应尽快把相关能力集成进硬件产品，采购侧的要求正好形成配合。
• 证书更新。证书本身有有效期，续期是必然发生的动作。把算法更替绑在续期上，工作量被摊平到日常。
• 版本升级与信创改造。国产化替代、操作系统升级这类本来就要动的项目，是调整密码模块与算法支持的好时机，避免改造两遍。

过渡期内，混合方案（传统算法与后量子算法同时使用）是常见做法，公开材料把它描述为过渡期的临时措施而非长期方案。这一点在立项时要说清楚，避免把混合方案当成终点，几年后又要重做一轮。

客户问起来时，答得出什么

深圳市奇摩计算机有限公司在给政企客户做基础设施运维与技改规划时，遇到过不少次这类问题：客户读到一条政策或路线图，问「这个跟我们有没有关系」。能答出「哪个算法更好」的帮助有限，因为那是厂商和标准组织的事；真正有用的回答是「我们这儿哪些系统受影响、分别在什么位置、可以挂在哪个窗口里改」。

这也是服务商在这类长期议题上比较实在的位置：不是替客户决定什么时候做，而是让客户在决定的时候手里有一张自己的图。

边界与前提

这份路线图面向的是一国的联邦机构，对企业而言它不是强制义务，但由于相关标准被广泛引用，行业侧普遍把它当作规划参考。本文所述时间线均来自公开材料，具体适用范围以各自行业的监管要求为准。

另外要提醒一点：算法迁移与合规测评是两条线，改造完成不等于测评通过，反之亦然。把两件事混在一个项目里推进，容易两头都拖。

如果所在企业的加密资产从没盘过，可以从一张表开始：系统名称、加密用途（密钥建立还是数字签名）、所用算法、证书或密钥的到期时间、数据保密期限。五个字段，一个月内能填完一轮，比等到有紧迫感时再动手从容得多。

预约咨询