香港金融管理局发布白皮书：量子技术的重要性日益增强，多数银行能力尚待提升

正文：

《银行科技研究社》（作者：木子剑）：“遇事不决，量子力学。”曾被视为网络流行语的量子技术，如今正获得越来越多的关注，尤其是在银行业的讨论中日益频繁。2023年7月27日，香港金融管理局（下称“金管局”）发布了《香港银行业量子准备度白皮书》（下称“《白皮书》”，仅提供英文版本），首次披露了量子准备度指数及相关支持措施，反映出目前银行业对量子技术的态度。

《白皮书》在开篇部分介绍了量子计算与后量子密码学的基本概念，后续章节则展示了香港行业的现状（通过调研所有在港运营的认可机构），并提出了相关的建议和措施。

量子技术的重要性愈发明显，部分银行已开始测试后量子密码学（PQC）的应用

《白皮书》指出，量子计算作为一项战略性技术，虽仍处于发展阶段，但其对金融服务业的长期影响不可小觑。一方面，量子计算在风险分析、建模和优化等领域有望带来新的机遇；另一方面，它可能威胁到银行体系、支付网络及金融市场基础设施所依赖的密码学安全基础。

因此，银行业必须以战略眼光和严谨态度应对量子技术的进步。尤其是向后量子密码学的过渡，将需要数年的持续努力，因为密码功能已深入嵌入各种系统、流程和外部接口之中。

金管局已将与量子技术相关的工作列为香港金融科技整体议程的核心优先事项。

在第一章“量子计算”中，《白皮书》指出，量子计算机的信息表示与处理方式因其叠加态和纠缠特性与经典计算有根本区别。许多研究者认为，足够规模的量子计算机在特定计算任务上有望超越传统计算机。

从金融行业的角度来看，长远来看，量子计算机具有多项潜在价值，包括更精准的市场模拟、更优的资产配置以及更强的欺诈检测能力。《白皮书》对此展开了详细分析，并提供了相关案例。

在第二章“后量子密码学”中，《白皮书》揭示，量子计算机对依赖传统非对称密码学的金融体系构成显著威胁。尽管现阶段尚未出现密码相关的量子计算机，但“现时窃取、未来解密”的攻击已对特定信息的保密性形成现实威胁。除了数据泄露外，密码学面临的风险还可能导致严重的运营中断。

为应对量子网络的风险，业界正在开发后量子密码学，以替代受量子攻击威胁的RSA、ECC等主流加密方案。

后量子密码算法基于不同的数学难题构建，目前尚无已知的量子或经典算法能在合理时间内解决这些难题。值得注意的是，后量子密码学可在传统硬件上运行，这并非量子技术的应用，而是应对量子网络风险的解决方案。

应对量子网络风险的手段之一是量子密钥分发（QKD），该技术利用量子力学协议进行信息传输，解决网络安全中的密钥分发问题。这意味着量子密钥分发必须与抗量子算法相结合，以实现身份认证。

据悉，银行及其他金融机构已开始测试PQC的应用。汇丰银行的量子试点项目采用PQC技术，在分布式账本上安全转移黄金代币。欧洲方面，法国央行与德意志联邦银行利用量子安全虚拟专用网络保护支付交易。日本大和证券集团则在测试使用PQC保障线上金融服务的安全。这些试点的主要结论是：PQC是可行的，但在大规模替换算法之前，机构必须先建设密码敏捷能力并确保基础设施的准备就绪。

行业对量子技术的认知已有所提升，但多数机构仍未建立相应的架构、流程和能力

在第三章“香港行业现状”中，分为两个部分：3.1节为银行业量子计算准备度调查，3.2节为银行业后量子密码学准备度调查。

在量子计算准备度调查中，《白皮书》显示：

在对量子计算认知方面，68%的机构表示有基础认知或更深入的参与，但机构内部的熟悉度差异较大：37%仅具备基础认知，22%正在积极探索量子计算，9%已组建专职团队。另有32%的机构表示在规划中未考虑或讨论过量子计算。这一分布反映了量子计算在银行业的初步发展：行业普遍知晓，但多数机构尚未形成扎实的内部能力。

在量子计算的应用水平方面，68%的受访者表示尚未开展任何量子相关举措，显示全行业的应用程度仍然较低。少数机构已开始接触该技术：32%的受访者表示已开始探索或试点量子计算应用，且大多集中在早期阶段，尚未实现运营级的落地。在已开展相关活动的机构中，主要探索的领域包括后量子密码学、欺诈检测与网络安全、投资组合优化。

而在量子计算应用上，最大的障碍是技术的成熟度与不确定性（73%的受访者将其列为首要问题），其次是难以找到具有商业可行性的应用场景（53%），第三是内部专业人才及量子相关技能的短缺（47%）。

在后量子密码学准备度调查中，《白皮书》基于同一份调研结果，考察行业的PQC准备程度。评估从四个维度展开：认知、规划、试点和实操准备；每个维度包含多个子指标，评分范围为0-10分，四个维度共同反映行业向抗量子密码标准转型的整体准备水平。

全行业PQC准备度的总得分为2.3/10。按机构类型划分，零售银行的平均得分为2.6/10，非零售银行的平均得分为2.2/10。

在量子风险与后量子密码学的认知方面，考察机构是否建立了支撑PQC转型的制度基础，包括领导层对量子风险的治理与监督、转型资金分配及通过培训提升员工能力等三个方面，对应治理、经费及培训教育三项子指标。

全行业认知维度的总得分为2.4/10。按机构类型划分，零售银行的平均得分为2.7/10，非零售银行的平均得分为2.4/10。

在后量子密码学转型规划方面，考察机构是否已从认知阶段转向结构化行动阶段，筹备后量子转型。内容涵盖机构如何评估与管理量子相关风险、密码实践是否符合公认标准、转型策略的设计与实施、密码资产的可见性建设，以及转型治理所需的政策制定等五个方面，对应风险与漏洞管理、合规、战略与规划、密码发现与清单、政策与流程五项子指标。

全行业规划维度的总得分为2.5/10。按机构类型划分，零售银行的平均得分为2.8/10，非零售银行的平均得分为2.4/10。

在试点与概念验证测试方面，考察机构是否已从规划阶段进入PQC方案的主动实验阶段，通过“密码迁移测试”子指标进行评估，涵盖机构设计、执行和验证PQC试点与概念验证的方式。

全行业试点维度的总得分为1.8/10。按机构类型划分，零售银行的平均得分为2.0/10，非零售银行的平均得分为1.8/10。

在实操准备度方面，考察机构是否具备

来源：移动支付网