《银行科技研究社》（作者木子剑）：“遇事不决，量子力学。”曾为“吐槽向网络梗”的量子技术，正受到广泛关注，银行业对此的讨论也越发增多。7月27日，香港金融管理局（以下简称“金管局”）发布《香港银行业量子准备度白皮书》（以下简称“《白皮书》”，仅有英文版本），首次公布了量子准备度指数及相关支持业界措施，从中或能一窥目前银行业对量子技术的态度。

《白皮书》在前面的章节介绍了量子计算和后量子密码学，后面的章节则展示了香港行业现状（通过邀请所有在港运营的认可机构参与调研），以及提出相关举措和建议。

量子技术重要性凸显，已有银行开始测试PQC落地

《白皮书》指出，量子计算是一项具有战略意义的技术。尽管该技术仍处于演进阶段，但其对金融服务业的长期影响深远。一方面，量子计算有望在风险分析、建模与优化领域带来全新可能；另一方面，它也可能动摇银行系统、支付网络与金融市场基础设施赖以建立信任与安全的密码学基础。

因此，银行业必须以战略远见与严谨执行应对量子技术发展。尤其向后量子密码学（PQC）的迁移将需要持续多年的努力——密码功能已深度嵌入各类系统、流程与外部接口之中。

金管局已将相关工作列为香港金融科技整体议程的核心优先事项。

在第一章“量子计算”中，《白皮书》显示，叠加态与纠缠特性让量子计算机的信息表示与处理方式与经典计算有着本质区别。许多研究者认为，对于特定计算任务，足够大规模的量子计算机最终有望超越经典计算机。

对金融业而言，量子计算机长期来看具备多重潜在价值，包括更精准的市场模拟、更优的资产配置优化、更强的欺诈检测等分析能力。此处，《白皮书》对金融业量子计算应用场景进行了展开分析，并介绍了对应案例。

在第二章“后量子密码学”中，《白皮书》指出，密码相关量子计算机可对依赖传统非对称密码学的金融体系构成重大威胁。尽管密码相关量子计算机目前尚未问世，但“现在窃取、日后解密”攻击已对特定信息的机密性构成现实威胁。除数据泄露外，密码学面临的威胁还可能引发严重运营中断。

为应对量子网络风险，业界开发了后量子密码学，作为易受量子攻击的RSA、ECC等主流加密方案的替代技术。

后量子密码算法基于不同的数学难题构建，目前尚无已知的量子或经典算法可在合理时间内求解。值得注意的是，后量子密码学可在经典硬件上运行，并非量子技术的应用，而是应对量子网络风险的解决方案。

应对量子网络风险，后量子密码学是一条缓释路径，另一条潜在路径是量子密钥分发（QKD）。量子密钥分发技术利用量子力学协议传输信息，解决网络安全中的密钥分发问题——这意味着量子密钥分发必须搭配抗量子算法，才能实现身份认证。

据悉，银行与其他金融机构已开始测试PQC落地。汇丰银行的量子试点采用PQC技术，在分布式账本上安全转移黄金代币。欧洲方面，法国央行与德意志联邦银行用量子安全虚拟专用网络保护支付交易。日本大和证券集团测试了用PQC保障线上金融服务安全。这些试点的核心结论是：PQC具备可行性，但机构在大规模替换算法前，必须先建设密码敏捷能力、确保基础设施就绪。

行业对量子技术已有广泛认知，多数机构尚未建立相关架构、流程与能力

在第三章“香港行业现状”中，又分为2个部分：3.1节为银行业量子计算准备度调查，3.2节为银行业后量子密码学准备度调查。

在量子计算准备度部分，《白皮书》显示：

对量子计算的认知上，68%的机构表示有基础认知或更深入的参与，但群体内部熟悉度差异较大：37%仅具备基础认知，22%正在积极探索量子计算，9%已建立专职团队。另有32%的机构表示规划中未考虑或讨论过量子计算。这一分布反映了量子计算在银行业的萌芽状态：行业普遍知晓，但多数机构尚未形成深厚的内部能力。

对量子计算的应用水平上，68%的受访者表示未开展任何量子相关举措，说明全行业应用程度仍然较低。少数机构已开始接触该技术：32%的受访者表示已开始探索或试点量子计算应用，且活动主要集中在早期阶段，尚未实现运营级落地。在已开展相关活动的机构中，最常探索的领域为后量子密码学、欺诈检测与网络安全、投资组合优化。

而量子计算应用上的最大障碍是技术成熟度与不确定性（73%的受访者将其列入前三），其次是难以找到具备商业可行性的应用场景（53%），第三是内部专业人才与量子相关技能短缺（47%）。

在后量子密码学准备度部分，《白皮书》显示：该部分基于同一份调研结果，考察行业的PQC准备度。评估从四个维度展开：认知、规划、试点、实操准备；每个维度包含多项子指标，评分区间为0-10分。四个维度共同反映行业向抗量子密码标准转型的整体准备水平。

全行业PQC准备度总得分为2.3/10。按机构类型划分，零售银行平均得分为2.6/10，非零售银行平均得分为2.2/10。

其中，量子风险与后量子密码学认知上，考察机构是否建立了支撑PQC转型的制度基础，涵盖领导层对量子风险的治理与监督、转型经费分配、通过培训教育建设员工能力三方面，对应治理、经费、培训教育三项子指标。

全行业认知维度总得分为2.4/10。按机构类型划分，零售银行平均得分为2.7/10，非零售银行平均得分为2.4/10。

后量子密码学转型规划上，考察机构是否从认知阶段迈入结构化行动阶段，筹备后量子转型。内容涵盖机构如何评估与管理量子相关风险、密码实践是否对标公认标准、转型策略的设计与落地、密码资产的可见性建设、转型治理所需的政策制定五方面，对应风险与漏洞管理、合规、战略与规划、密码发现与清单、政策与流程五项子指标。

全行业规划维度总得分为2.5/10。按机构类型划分，零售银行平均得分为2.8/10，非零售银行平均得分为2.4/10。

试点与概念验证测试上，考察机构是否已从规划阶段进入PQC方案的主动实验阶段，通过“密码迁移测试”一项子指标评估，涵盖机构设计、执行、验证PQC试点与概念验证的方式。

全行业试点维度总得分为1.8/10。按机构类型划分，零售银行平均得分为2.0/10，非零售银行平均得分为1.8/10。

实操准备度上，考察机构是否具备执行并持续推进PQC转型所需的技术基础设施、控制措施与运营能力，涵盖转型进度跟踪、密码控制验证、系统与架构的后量子要求适配度三方面，对应监控、PQC控制与保障、迁移准备度三项子指标。

全行业实操准备度维度总得分为2.3/10。按机构类型划分，零售银行平均得分为3.0/10，非零售银行平均得分为2.1/10。

此外，关于后量子密码学应用障碍，调研询问了机构在四大领域面临或预期的具体障碍：风险评估、密码资产清单、路线图制定、供应商与行业对接。

风险评估领域，主要挑战为缺乏成熟模型、工具与行业标准框架；外部利益相关方依赖；量子格局快速演变。

密码资产清单领域，主要挑战为技术复杂度；规模与体量；外部依赖。

路线图制定领域，主要挑战为遗留系统与技术债务；战略不确定性；企业架构对齐。

供应商与行业对接领域，主要挑战为对核心第三方的依赖；供应商准备度与路线图；对接生态不清晰。

最后，调研还询问了机构认为最有价值的外部支持形式，以及对金管局牵头举措的参与意愿。最常被列入三大核心优先级的支持是明确的监管要求与PQC转型时间线（87%的受访者提及）。其次是PQC转型实操指引与白皮书（约77%），第三是行业论坛与最佳实践分享（约48%。

PQC准备应被视为优先事项，金管局已推出相关举措

提及未来，《白皮书》提出了明确的结论：PQC准备应被视为当下的战略与运营优先事项。尽管量子威胁的出现时间与形式仍不确定，但迁移所需的前置周期、长期数据风险的持续性、国际标准与监管预期的日益明确，都要求银行尽早、审慎地筹备。

《白皮书》也为银行制定了量子时代筹备转型路径，转型路径分为四个阶段：认知、规划、试点、实操准备，并分别对每个阶段进行了更具体的介绍。

接着，《白皮书》还提出了一些战略建议，以帮助机构以可持续、基于风险、对齐现有治理与控制框架的方式推进转型。

当然，金管局为支持银行业PQC转型，也推出了相关举措，包括：将联合学术与产业伙伴共同开发PQC工具包，帮助机构明确转型规划优先级，提供参考架构以提升密码敏捷性；为机构组织量子计算与PQC准备相关培训与工作坊；通过主办、推动行业对接活动与论坛，汇聚认可机构、技术供应商、金融市场基础设施、学术伙伴及其他相关利益方，为参与者提供交流与探讨等机会。

点此下载《白皮书》PDF版