胡佛《中國加密政策和國際影響》報告評述

方 婷 郝靜雯,2

1(西安交通大學法學院 西安 710049) 2 (信息安全研究中心(西安交通大學) 西安 710049) (909118356@qq.com)

毫無疑問，密碼領域是數字時代最難制定政策的領域，不止是中國，世界各國都面臨這一嚴峻的問題.制定出兼顧各方利益并使其最大化的政策已經成為目前各國政策制定者的首要關切點.基于此，美國長期以來對包括中國在內的世界各國的加密政策進行收集和分析，以期獲得一定的參考.胡佛科研團隊于2016年3月發表了題為《中國加密政策和國際影響》的研究報告，其中對中國近年來的加密政策進行了細致的梳理、總結與分析.

1 報告的主要內容

密碼政策涉及國內外政府、國家安全、企業和用戶等多方的利益，并且具有時間長、變化快的特點，因此完成本報告不僅需要長期的觀察和收集，還需要從各個角度進行考量和分析，實屬不易.

1) 中國的加密政策容易受到美國和其他國家加密政策的影響

報告中首先提到美國FBI與蘋果公司之間的爭論是否影響到中國的加密政策[1].其次報告中列舉了奧巴馬政府對中國早期《反恐法》有關加密政策的批判[2]，以及中方發言人傅瑩女士援引國際慣例為中國政策進行辯護的事例[3]，以此來證實中美兩國有關加密的政策是相互影響的.

2) 加密的產業政策

1999年，中國政府頒布了《商用密碼管理條例》(中華人民共和國國務院第273號令)，開始對密碼進行監管.這些規定禁止外國的密碼產品，認為所有的商用密碼標準都是國家機密，并且要求商用密碼產品只能由政府相關部門，即國家密碼管理局和國家商用密碼管理辦公室指定的單位生產和銷售.《條例》還要求加密系統的強度不能超過國家監管機構設定的水平[4].但是這個規定一經公開就因為其管轄內容過于寬泛而受到利益相關方的指責與抨擊，隨后中國政府通過官方渠道澄清，對外國密碼的禁令只針對那些“核心功能”是加密的產品，而不是應用加密的商業信息和通信技術(ICT)產品.同時還宣布，不會對含有加密技術的外國加密產品和設備進行密鑰托管[5].

為了增強中國科技公司的競爭力，2003年12月，中國政府宣布WLAN身份驗證和隱私基礎設施加密技術(即WAPI)將成為在中國銷售的任何無線產品的強制性標準.中國對“國家安全問題”禁止使用802.11 WiFi，但該政策也旨在減少對外國專利持有者的支付，并支持國內生產商[6].這項政策將迫使英特爾和其他外國公司與11家獲準開發WAPI產品的中國供應商合作，盡管它不允許外國合作伙伴了解無線技術規范的細節.在布什政府的一封信函暗示將在世界貿易組織(WTO)提起訴訟后，中國政府同意在征求國內外企業的意見之后修改這一標準.

2007年，國家密碼管理局與公安部、國家保密局、國務院信息化工作辦公室等部門聯合發布了《信息安全等級保護管理辦法》(以下簡稱《管理辦法》)，也就是等級保護計劃(MLPS)[7].其中要求，在中國銷售的信息系統(包括加密技術)如果對國家安全或國內穩定構成較大風險，則應使用某些本土技術.《管理辦法》將信息系統分為5個等級，同時對信息安全等級保護的密碼實行分類分級管理.但是外國企業和政府聲稱，MLPS用來保護大部分中國經濟使其免受國際競爭的沖擊.因此在2012年美中貿易聯合委員會的一次會議上，中國表示將要開始修訂MLPS，但到2015年還沒有作出任何改變.

中國新成立的國家互聯網信息辦公室宣布，要將中國打造為“網絡強國”[8].為了實現這一目標，中國推出了一系列旨在使技術“安全可控”的措施，減少對外國信息技術產品和服務的依賴.但是這些措施引起了美國和全球信息通信技術行業的密切關注，因為它們似乎是1999年商用IT產品加密措施的擴展.外商對此表示抗議，2015年4月，中國宣布暫停實施銀行業監管規定.

3) 加密與國內穩定

作為管理公民社會和互聯網的一部分，中國屏蔽了大多數加密信息應用程序.2014年7月，兩款韓國即時通訊應用Kakapo Talk和Line被域名系統(DNS)篡改，基于中國用戶的HTTP請求過濾被打亂.同月，中國加強了對國內信息應用和社交媒體的限制.在注冊新賬號之前，需要使用消息傳遞服務來驗證用戶的真實姓名.公共賬戶也被禁止發布或分享未經批準的“政治新聞”.

幾名中國維權律師于2015年7月被拘留，有媒體報道稱他們正在使用加密的短信應用電報.2015年11月，政府關閉了新疆居民即中國的穆斯林地區的移動服務，因為他們使用了規避軟件.使用虛擬專用網絡(vpn)或訪問WhatsApp和Telegram的用戶被告知要向當地派出所報告他們的移動電話信息.

4) 塑造中國政策

在過去的10年里，安全和技術方面的擔憂限制了外國對國內辯論的影響，但并沒有完全隔絕中國的政策制定者.在一些情況下，直接的外國壓力緩和了中國的政策，包括《反恐法》和WAPI.

2016年8月，46家國際企業代表致信中國國務院總理李克強，敦促中國修改《網絡安全法(草案)》.簽署方認為，信息通信技術產品的安全審查會削弱安全性，并可能構成貿易方面的技術性貿易壁壘.為了緩解國外的擔憂，英特爾、思科、微軟、IBM和其他公司都被要求加入國家互聯網信息辦公室的一個咨詢委員會，以影響法律的變化.當外國公司和政府的利益與中國消費者的利益重疊時，中國的政策也會發生變化.

然而，過去10年來，外國公司和政府讓中國的影響力發生了巨大的變化.2008年經濟大衰退，歐美增長放緩，削弱了西方在中國的經濟和政治影響力.此外，也不能保證在中國的加密問題上不會有外國技術公司的倒戈.盡管美國公司在面對來自美國政府的壓力時保持了統一戰線，但中國市場對當前以及未來收入增長的重要性可能會使一些公司妥協.

5) 中國企業

中國的加密政策受到國內政治、安全問題、技術民族主義戰略、外國企業和政府的影響，同時也受到新興的“走出去”戰略的影響.從理論上講，由于這些公司在全球市場上占有更大的份額，它們將面臨與美國公司一樣的壓力，向客戶保證他們在某種程度上獨立于情報和執法機構.但是，與許多經濟和政治領域一樣，中美技術公司之間的利益交匯也是有限度的.中國技術公司至少在20年的時間里站在國有經濟之外，并且越來越依賴政府對未來增長的支持.他們可能越來越依賴國家而不愿意挑戰它.而且，中國似乎愿意為了政治目的而犧牲經濟利益.

6) 結論

3個不確定性可能會重塑北京的加密政策：①很少有人知道中國用戶對加密的態度，以及他們是否認為這對網絡安全或個人隱私很重要；②就像在美國、法國和德國發生的那樣，在中國境內成功的恐怖襲擊可能會導致對加密需求的增加，加快對科技公司的政治壓力；③中國經濟創新的性質有很大的不確定性.盡管北京最近的技術政策具有很強的重商主義傾向，但國內仍存在一場爭論，即是否更開放、更具包容性的方式更適合實現成為科技強國的目標.然而，這些都不是現在的主流聲音.對“安全可控”技術的推動，以及對國內穩定威脅的高度敏感性，進一步縮小了科技公司和外國管理機構可能遷往北京的可能性.中國在過去改變技術政策時，面對國際壓力大、行業反對統一時也是這樣做的.但這些逆轉通常只是暫時的，一個政策被另一個政策取代，旨在實現類似的一組成果.鑒于中國歷史上的技術民族主義和安全問題，外國對中國加密政策的影響表現為一直是并且將會繼續進行限制.

2 關于該報告的幾點思考

全球化趨勢加速且不可逆轉，中國的改革發展政策也在不斷向縱深發展，這決定了中國的加密政策從起草、出臺到應用，不僅要考慮本國國情和國內民眾的需要，同時也要考慮國際關系和國際壓力.由于密碼本身具有的特殊性，即其不僅會影響個人、企業的安全，同時也會對國家安全和國際關系產生深遠的影響. 不同利益主體之間的沖突與對抗不僅反映了加密政策的復雜性，同時也揭示出，對于加密政策的制定，我們不能搞“一刀切”，必須全方位考慮，多層次解決.綜上，筆者認為加密政策的制定應當重點從以下幾方面加以考慮.

首先，從國內因素來看，需要考慮以下3個方面的因素：

1) 傾聽各方的訴求、綜合各方因素是制定密碼政策的必要環節.

不同利益主體的需要是不同的，個體用戶追求的是信息的隱私性與保密性，企業群體則更為看中企業聲譽和市場占有率.從國家角度看，國家追求的則是國家安全、社會穩定.密碼政策的制定者不能只考慮其中一方利益主體的訴求而忽略其他主體的需要，否則輕則引起政策失靈，重則引起社會混亂與暴動.參考目前美國和英國等其他國家的加密政策，我們目前一定要權衡考慮好加密政策的近期和長遠影響，盡量減少出現各種問題的可能性.

2) 制定加密政策必須有合理的限度.加密政策需要以必要、合理、合法為限度.

既不能制定過于寬松的政策以至于沒有辦法發揮作用，也不能一味地制定太過嚴格的加密政策從而忽略可能出現的問題.加密政策的制定必須限定在法律制度的框架之內，同時也必須遵守法定程序.任何以公共利益為噱頭而收集個人信息的行為都是不可取的.此外，有效、獨立且公正的監督機制和補救機制也必須同時建立.做好事前防御和事中監督有利于降低危險發生的概率，而事后的應急和補救措施也有利于在第一時間內將傷害和影響降到最低，有利于政策的長遠發展.

3) 加密政策的制定應當立足中國國情.

制定加密政策之前對國際形勢進行考察是必要的，參考外國的政策也是必不可少的.但是我們不能舍本逐末，一味地考慮國外形勢，而忽略本國國情.同時在對國外進行借鑒時要避免過度化的傾向，不能對極個別國家進行過度關注，一定要綜合考量.歸根結底，政策制定最終還要回到本國的適用問題上，不從本國的實際情況出發制定的政策只能是“橘生淮北”，最終面臨被淘汰的命運.

其次，從國際環境來看同樣也要考慮3方面的因素：

1) 應當在國家環境下樹立總體國家安全觀

過去狹隘的國家安全觀已經不能適應全球化浪潮下國家安全的需求.2014年，習總書記提出總體國家安全觀，明確指出國家安全不僅包括傳統安全，還包括科技安全、信息安全、資源安全等.若僅以執法便利為由而對密碼進行限制，在信息技術高度發達的背景下將會對國家安全產生重大沖擊.

2) 應當兼顧國內外產業發展的需求

經濟全球化下各國的經濟交流是不可避免并且是十分必要的.考慮到本國產業的持續發展以及外國產業和供應商的呼吁和訴求，我們不能搞一邊倒，絲毫不考慮國際產業的利益，這可能會引起不必要的沖突和麻煩.

3) 主動承擔國際責任

全球經濟一體化大背景下，生產的全球化促使全球網絡安全在總體上呈現出類似“木桶效應”的特征，全球網絡安全的堅固性和保障能力取決于網絡安全最為薄弱的國家.采取過于嚴格的密碼管控無疑會降低該國的網絡安全保障能力，而且會不斷向外界擴散.不僅一個國家的經濟會產生很強的全球效應，密碼政策也會有如此的效果.為了提升全球網絡安全，提升本國網絡安全，各國都應當承擔各自的國家責任.

3 結 論

有關加密政策的爭論由來已久，針對這一爭論不僅近期沒有辦法徹底解決，從長遠來看其也始終是一個復雜的難題.但隨著技術的變革，情況已經改變，觀念的革新與進步，相信我們也會有新的思路和方法來解決這一問題.

中國加密政策的演變與發展，一方面與國家和社會的穩定發展、我國人民群眾的需求密切關聯，另一方面，也受到國際社會各方面的影響.

隨著網絡社會的普及和發展，網絡空間的發展與治理已經日益成為國家安全治理的重要組成部分.而在治理的過程中，加密問題作為涉及個人隱私、社會穩定和國家治理的重要組成部分，必須得到社會各方的高度重視.然而，經濟全球化下市場的準入性以及網絡空間的無邊界性會使得本就復雜的加密問題變得更為復雜多變，且牽一發而動全身.因此制定合理的加密政策不僅是維護國內穩定的需要，更是維持中國國際地位和增強國際影響力的需要.

筆者看來，制定合理的加密政策一方面要切實了解國內的根本需要和廣大人民的切身利益，合理劃分國家利益與公民權利的分界，制定自由和民主的政策，避免引起群眾的不安全感和不信任感，避免造成與人民群眾的隔閡與誤解.同時也要適當考慮國際社會和組織的關切，避免引起不必要的紛爭.但是，出于對國家機密和社會的長期穩定發展的需要，也不能對一切都聽之任之，照搬照抄國外的加密政策，一定要平衡處理好國家利益與公民利益、國內穩定與國家發展之間的關系.

[1]David P. Why Apple’s Fight with the FBI could have reverberations in China[J]. Los Angeles Times, 2016, 2(19): 10-12

[2]Reuters. Exclusive: Full Text of Reuters Interview with Obama[OL]. (2015-03-02) [2018-02-15]. http:www.reuters.comarticleus-usa-obama-transcript-idUSKBN0LY 2J820150302

[3]Reuters. China Says Tech Firms Have Nothing to Fear from Anti-Terror Law[OL]. (2015-03-04) [2018-02-15]. http:www.reuters.comarticleus-china-parliament-cyber security-idUSKBN0M00IU20150304

[4]國務院.關于商用密碼管理的第273號指令[S]. 北京: 國家商用密碼管理辦公室, 1999

[5]Bert-Jalap K. People’s republic of China[J]. Crypto Law Survey, 2013, 2: 1-2

[6]Ezell D, Atkinson M. The Middle Kingdom Galapagos Island Syndrome[J]. Information Technology & Innovation Foundation, 2014, 12: 9-10

[7]四部委.信息安全等級保護管理辦法[S]. 北京: 四部委, 2007

[8]新華社. 習近平主席成立中央網絡安全和信息化領導小組[OL]. (2014-02-27) [2018-02-15]. http:politics.people.com.cnn20140227c70731-24486583.html

方婷

博士研究生，主要研究方向為信息安全法.

909118356@qq.com

郝靜雯

碩士研究生，主要方向為信息安全法.

17792480296@163.com