GB/T 39786-2021 信息系统密码应用基本要求
密码应用方案需要说明保护什么、在哪生效、密钥由谁控制，以及失败后怎么办。官方标准信息列明：2021年3月9日发布，2021年10月1日实施。
本页帮助企业形成实施和验收材料，不替代正式全文中的级别差异、具体条款或测评判定。系统是否依法需要密评，还应先依据密码应用与密评体系判断。
四个技术层面与管理配套
标准技术层面包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全，并配套管理制度、人员管理、建设运行和应急处置等要求。不同保护等级应逐项对照，不能将同一套设备清单套给所有系统。
| 技术层面 | 企业需求分析示例 | 验收证据示例 |
|---|---|---|
| 物理和环境 | 关键环境中的身份与记录保护需求 | 设备身份、访问记录及验证方式 |
| 网络和通信 | 通信实体鉴别，传输数据机密性和完整性 | 真实协议协商、证书校验、链路终止位置 |
| 设备和计算 | 设备登录、管理通道及重要系统对象保护 | 管理身份、配置、访问与完整性检查 |
| 应用和数据 | 用户鉴别、关键数据和交易凭据保护 | 应用实际调用、数据范围及失败处理 |
表中是实施分析入口，不表示每项机制对任何系统都无条件强制。适用条款、保护级别和不适用理由应写入项目控制矩阵。
形成密码调用图与密钥生命周期
密码资产不只包括密码机，还应识别SDK、证书、应用调用、密钥、服务账号和备用链路。建议记录：业务对象 → 保护目标 → 调用点 → 算法/协议/产品 → 密钥标识 → 使用权限 → 审计。
| 生命周期环节 | 重点问题 |
|---|---|
| 生成和导入 | 来源是否可靠，谁有权限，如何防止非授权替换 |
| 保存和分发 | 明文密钥是否与业务数据混放，传递是否受控 |
| 使用 | 是否限定用途、调用方和环境，是否存在共享万能密钥 |
| 更新和吊销 | 到期、人员变化和疑似泄露如何触发更新 |
| 备份和恢复 | 恢复是否需要适当授权，备份是否同样受保护 |
| 销毁 | 生产、备份、缓存和外部副本如何处理并留证 |
这些是工程验收问题；具体机制和参数应以适用标准与监管要求为依据，不单凭“用了某种算法”判定合规。
示例：传输已加密，数据仍可绕过保护
假设。 应用到网关使用TLS，网关之后转为明文；数据库采用存储加密，但管理员同时拥有数据导出和密钥解密权限。
检查。 逐跳识别通信终止和重新加密位置；抽取一条业务数据，追踪写入、读取、导出和备份。验证不同角色能否同时取得密文和解密能力，不能仅依据页面“已开启加密”判断。
验收。 保护范围与方案一致，密钥权限与业务角色匹配；未经授权的明文读取和导出被拒绝或进入受控流程；真实访问及密钥使用可关联到主体。采用其他等效方案时，应给出适用依据及实际证据。
异常与变更必须进入验收
测试证书失效、密钥轮换、密码服务超时和恢复过程，确认应用不会在失败时跳过必要保护。测试和生产使用不同密钥，测试材料不放真实密钥或生产凭证。
重大架构、产品、协议和数据流变化后，核对原方案与评估范围是否仍成立。相关法定评估和上线要求见商用密码应用安全性评估管理办法，关基另见GM/T 0133。
官方依据与测评关系
官方标准及全文入口 · GB/T 43206测评要求。正式验收保留精确条款、实现、证据和判定，本文示例不能替代测评报告。