明天的密码学，始于您现有的密码资产。

可以。这 6 项服务都可以作为界限清晰的工作包单独规划。我们会共同明确现状、前提条件，以及您最先需要的成果。各子页面展示了相应的范围和技术决策。

在实施之前，我们会约定目标、涉及的系统、参与方式、成果和验收标准。尚未明确的技术问题，可以先通过盘点或试点加以澄清。新增任务会结合其对工作量和进度的影响进行评估。

文档记录、培训和职责分工都会纳入委托范围。如果由 OTOKO® 承接后续的日常任务，我们会为此约定运维范围，包括服务时间和升级路径。您的团队也可以自行或借助现有合作伙伴继续推进相关成果。

后量子密码学（PQC）指的是在高性能量子计算机的攻击下也应保持安全的密码算法。对企业而言，首要问题在于：哪些环节使用了易受攻击的算法，以及数据和签名需要被保护多长时间。OTOKO® 将资产盘点、风险评估和技术实施结合在一起。仅更换算法还不够：还需要让相关库、协议、设备和对接系统协同配合。

您的哪些应用使用了哪种加密方式，又有谁能够对其进行修改？我们负责梳理密码学相关的依赖关系，并将其对应到具体系统和责任人。这份清单为后续规划提供了可核验的基础。

确定调查范围和允许采用的采集方式 梳理协议、证书、库和密钥使用情况 汇总来自扫描、代码分析和系统导出的结果 标记依赖关系和未覆盖的范围 为清单的持续更新和机器可读导出做好准备

附带来源和覆盖范围说明的密码资产清单 按应用划分的依赖关系概览 CBOM 更新流程

网络扫描只能看到可访问的服务，无法反映一个组织的完整密码学状况。我们会综合运用经过授权的采集方式：端点、证书清单、软件库、配置信息，以及与系统负责人的访谈。离线签名、移动设备和嵌入式组件同样可能需要纳入考量。调查结果会区分实际观察到的使用情况与仅仅已安装的能力。每一项发现都会记录来源和时间，避免后续决策建立在不明确的假设之上。

密码物料清单（CBOM）以机器可读的形式，描述密码学组件及其相互关系。关键在于将其对应到具体用途：一张证书既可能用于保护某条连接，也可能用于确保一份需要长期可验证的签名。我们会记录所有者、可变更性，以及对厂商的依赖关系。无法访问或尚未调查的系统，会作为缺口明确标示出来。如果没有这样的分类梳理，即便是庞大的数据导出，也无法成为可靠的决策依据。

库、证书和配置方面的变更，都应当被纳入持续更新流程。为此，我们会确定负责人和触发更新的具体情形。在验收环节，我们会针对真实系统抽样核查，并记录已达到的调查覆盖范围。生产环境扫描仅在获得批准的范围内进行，并会顾及敏感组件的特殊性。

并非所有系统都需要同步完成迁移。我们会评估所需的保护时长、攻击面、技术依赖关系和迁移工作量。由此形成明确的先后顺序，并附有理由充分的措施、责任归属和决策节点。

统筹评估数据和签名的保护需求 梳理密码学依赖关系和迁移工作量 掌握厂商依赖关系和采购周期 规划试点项目和迁移波次 记录残余风险和尚未决定的事项

有充分依据的优先级排序 包含依赖关系的迁移计划 面向业务部门和 IT 的决策材料

某些信息必须保密很多年。因此，如今被截获记录的加密流量，也可能对长期风险评估产生影响。与此同时，采购、软件调整和对接系统的更换都需要时间。我们会将这些因素与您的保护需求结合起来考量，而不会把对高性能量子计算机出现时间的推测当作可靠的规划依据。签名会被单独考虑，因为要保证其长期可验证性，所需采取的措施可能与保障一条连接的机密性并不相同。

一个核心库或证书平台的变更，可能会影响许多应用。反过来，一台旧设备也可能限制整条链路的迁移进度。我们会梳理这些依赖关系，核实厂商提供的信息，并将可以短期落地的措施与前期准备工作区分开来。每个试点都会被赋予明确的问题，例如某个网关链路的兼容性，或对某种密钥类型的支持情况。路线图中包含若干决策节点，测量结果和新信息可能会在这些节点上改变后续规划。