密码应用与密评体系
密码合规不等于“系统用了加密”。完整治理应形成 密码应用需求 → 方案设计 → 产品和服务 → 密钥全生命周期 → 建设实施 → 密码应用安全性评估 → 整改复测 → 持续运行 的闭环。
核心依据
| 层次 | 文件/标准 | 作用 |
|---|---|---|
| 法律 | 《密码法》 | 密码管理基本法律制度 |
| 行政法规 | 《商用密码管理条例》 | 商用密码产品、服务、应用和监管 |
| 部门规章 | 《商用密码应用安全性评估管理办法》 | 密评制度、适用对象和监管要求 |
| 国家标准 | GB/T 39786-2021 | 信息系统密码应用核心建设基线 |
| 国家标准 | GB/T 43206-2023 | 密码应用测评要求 |
| 关基专项 | GM/T 0133-2024 | 关基密码应用强化要求 |
| 关基规章 | 《关键信息基础设施商用密码使用管理规定》 | 关基密码使用和密评监管要求 |
企业实施主线
- **识别密码需求：**从身份鉴别、访问控制、通信、存储、日志、重要数据和交易等场景识别真实性、机密性、完整性和不可否认需求。
- **密码应用方案：**密码设计与系统架构同步，明确算法、协议、产品服务、密钥体系和运维责任。
- **建设实施：**避免“有TLS就是合规”；验证实际调用链、密钥存储、证书、随机数和密码设备使用。
- **密评：**以实际系统和密码应用为对象开展测评，识别单项及整体风险。
- **整改复测：**问题整改验证真实技术效果；不能只修改方案或制度。
- **持续运行：**重大变更、算法迁移、证书/密钥、产品EOL和安全事件纳入持续治理。
与等保和关基的关系
等保、关基、密评不是互相替代。 等保提供网络安全基础控制；密码体系专项验证密码应用；关基则在基础制度之上叠加重点保护和关基密码要求。企业更适合建立统一控制矩阵，避免三个体系分别建设三套重复控制。