香港金管局白皮书揭示量子技术的重要性与银行业的能力现状

正文：

《银行科技研究社》（作者木子剑）指出：“遇事不决，量子力学。”这一曾被视为网络幽默的量子技术，现如今正受到越来越多的关注，特别是在银行业的讨论中愈发频繁。香港金融管理局（下称“金管局”）于7月27日发布了《香港银行业量子准备度白皮书》（下称“《白皮书》”，仅有英文版本），首次揭示了量子准备度指数及相关支持措施，为我们提供了对当前银行业对量子技术态度的了解。

《白皮书》前面部分介绍了量子计算和后量子密码学，后续则展示了香港行业现状（通过对在港运营的认可机构进行调研）并提出相关建议。

量子技术的重要性日益凸显，部分银行已开始测试后量子密码学（PQC）应用

《白皮书》强调，量子计算是一项具有战略意义的技术。尽管该技术仍在不断发展中，但其对金融服务业的潜在长期影响不可小觑。一方面，量子计算有望在风险分析、建模与优化等领域带来新的突破；另一方面，它也可能对银行系统、支付网络及金融市场基础设施所依赖的密码学信任基础构成威胁。

因此，银行业必须以战略眼光和严谨的执行力来应对量子技术的进步。尤其是向后量子密码学的转型，需要多年的持续努力，因为密码功能已深深嵌入各类系统、流程和外部接口中。

金管局已将这一相关工作列为香港金融科技整体议程的核心优先事项。

在第一章“量子计算”中，《白皮书》指出，量子计算机利用叠加态与纠缠特性，其信息表示与处理方式与传统计算有着根本区别。许多研究者认为，对于特定计算任务，足够规模的量子计算机最终可能超越经典计算机。

从金融业的角度来看，量子计算机在长期内具备多重潜在价值，包括更精准的市场模拟、优化资产配置以及更强大的欺诈检测能力等。《白皮书》对此进行了详细分析，并提供了相关案例。

在第二章“后量子密码学”中，《白皮书》指出，密码相关的量子计算机可能对依赖传统非对称密码学的金融体系构成重大威胁。尽管目前密码相关的量子计算机尚未问世，但“现在窃取、日后解密”的攻击已经对特定信息的机密性构成实际威胁。此外，密码学面临的挑战也可能导致严重的运营中断。

为应对量子网络风险，行业内已开发后量子密码学，作为RSA、ECC等主流加密方案的替代方案。

后量子密码算法基于不同的数学难题构建，目前尚无已知的量子或经典算法能够在合理时间内解决。值得一提的是，后量子密码学可以在经典硬件上运行，它并不是量子技术的应用，而是应对量子网络风险的解决方案。

为了应对量子网络风险，后量子密码学提供了一条缓解路径，而量子密钥分发（QKD）则是另一种潜在路径。量子密钥分发技术利用量子力学协议进行信息传输，以解决网络安全中的密钥分发问题——这意味着量子密钥分发必须与抗量子算法相结合，以实现身份认证。

据悉，银行及其他金融机构已开始测试后量子密码学的实际应用。汇丰银行的量子试点项目采用PQC技术，在分布式账本上安全转移黄金代币。欧盟方面，法国央行与德意志联邦银行通过量子安全虚拟专用网络来保护支付交易。日本的大和证券集团也在测试利用PQC保障在线金融服务的安全。所有这些试点的核心结论是：PQC具有可行性，但在大规模替换算法之前，机构必须首先建设密码敏捷能力，确保基础设施准备就绪。

行业对量子技术的认知已经相当广泛，但绝大多数机构尚未建立相关的架构、流程和能力

在第三章“香港行业现状”中，内容分为两个部分：3.1节为银行业量子计算准备度调查，3.2节为银行业后量子密码学准备度调查。

关于量子计算准备度，《白皮书》显示：

在对量子计算的认知方面，68%的机构表示具备基础认知或更深入的参与，但内部熟悉度差异较大：37%仅具备基础认知，22%正在积极探索量子计算，9%已组建专职团队。还有32%的机构表示在规划中未考虑或讨论过量子计算。这一分布反映了量子计算在银行业的初步阶段：行业普遍知晓，但多数机构尚未形成深厚的内部能力。

在量子计算应用水平方面，68%的受访者表示尚未开展任何量子相关举措，显示出全行业的应用程度仍较低。少数机构已经开始接触该技术：32%的受访者表示已开始探索或试点量子计算应用，且活动主要集中在早期阶段，尚未实现运营级的落地。在已开展相关活动的机构中，后量子密码学、欺诈检测与网络安全、投资组合优化是探索的主要领域。

量子计算应用面临的最大障碍是技术成熟度与不确定性（73%的受访者将其列为前三），其次是难以找到具备商业可行性的应用场景（53%），第三是内部专业人才与量子相关技能的短缺（47%）。

在后量子密码学准备度部分，《白皮书》基于同一份调研结果评估行业的PQC准备度，评估从四个维度展开：认知、规划、试点、实操准备；每个维度包含多项子指标，评分范围为0-10分。四个维度共同反映出行业向抗量子密码标准转型的整体准备水平。

全行业PQC准备度的总评分为2.3/10。按机构类型划分，零售银行的平均得分为2.6/10，非零售银行的平均得分为2.2/10。

在量子风险与后量子密码学的认知上，考察机构是否建立了支持PQC转型的制度基础，涉及领导层对量子风险的治理与监督、转型经费的分配，以及通过培训教育来提升员工能力三个方面，分别对应治理、经费、培训教育三项子指标。

全行业认知维度的总得分为2.4/10。按机构类型划分，零售银行的平均得分为2.7/10，非零售银行的平均得分为2.4/10。

在后量子密码学转型规划方面，考察机构是否从认知阶段迈入结构化行动阶段，为后量子转型做准备。内容涵盖机构如何评估与管理量子相关风险、密码实践是否符合公认标准、转型策略的设计与实施、密码资产的可见性建设、转型治理所需的政策制定五个方面，分别对应风险与漏洞管理、合规、战略与规划、密码发现与清单、政策与流程五项子指标。

全行业规划维度的总得分为2.5/10。按机构类型划分，零售银行的平均得分为2.8/10，非零售银行的平均得分为2.4/10。

在试点与概念验证测试方面，考察机构是否已从规划阶段进入PQC方案的主动实验阶段，评估通过“密码迁移测试”一项子指标，涵盖机构设计、执行、验证PQC试点与概念验证的方式。

全行业试点维度的总得分为1.8/10。按机构类型划分，零售银行的平均得分为2.0/10，非零售银行的平均得分为1.8/10。