等保里的密码检查线
等保测评在多个层面检查密码技术的使用：网络和通信层面看通信加密与身份鉴别，设备和计算层面看设备鉴别与日志完整性保护，应用和数据层面看用户鉴别、数据存储保密性与完整性校验。它与密评的关注对象不同，但材料和整改动作高度重叠，因此两套检查线统筹准备通常比分别准备更省成本。
基本信息
| 依据 | GB/T 22239-2019 与 GB/T 39786-2021 |
|---|---|
| 关注层面 | 网络和通信、设备和计算、应用和数据 |
| 检查方式 | 配置核查、访谈与工具测试，不只看文档 |
| 与密评差异 | 等保看整体安全能力，密评看密码应用合规正确有效 |
| 复用价值 | 同一套密码应用方案与产品台账可服务两条线 |
典型使用场景
- 测评前自查：按层面核对密码措施的落地情况
- 整改分派：密码类问题一次整改同时满足两条线
- 材料复用：密码方案与产品台账两边都能用
- 预算沟通：把密码改造作为独立立项更易通过
- 对外说明：向管理层讲清等保与密评的分工
层面与检查点
| 层面 | 典型检查点 | 常见证据 |
|---|---|---|
| 网络和通信 | 通信加密与身份鉴别、重要数据传输保密完整性 | 设备配置、抓包结果 |
| 设备和计算 | 设备鉴别、访问控制信息与日志完整性保护 | 配置截图、日志样本 |
| 应用和数据 | 用户鉴别、重要数据存储保密性、完整性校验 | 字段清单、加密配置 |
统筹准备动作
统筹准备动作
1 统一系统边界与定级信息，两套材料口径一致
2 共用密码应用方案、产品台账与密钥管理记录
3 把密码类问题合并整改，一次改动覆盖两条检查线
4 配置与日志证据统一归档，按层面建立索引
5 现场测试合并安排，减少业务停机窗口测评会做配置核查与工具测试，文档写得好但系统实际未配置时，仍会被判为不符合项，建议自查阶段就用命令或工具验证一遍。