这个层面查什么
GB/T 39786 的技术要求分四个层面：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全。应用和数据层面最贴近业务，也是密评现场核查的重点：用户身份鉴别信息是否受密码保护、访问控制信息是否完整、重要数据在传输和存储中是否具备机密性与完整性。核查方式是看配置与行为，而不是只看方案文档。
基本信息
| 依据 | GB/T 39786-2021《信息系统密码应用基本要求》 |
|---|---|
| 层面定位 | 技术要求四层面中贴近业务的一层 |
| 核查对象 | 应用用户鉴别、访问控制信息、重要数据 |
| 常用算法 | SM2 签名与密钥交换、SM3 摘要、SM4 加密 |
| 证据形式 | 字段清单 + 保护措施 + 配置与日志证据 |
典型使用场景
- 密评迎评：按检查点逐项准备配置与证据材料
- 改造立项：明确哪些字段需要存储加密与传输加密
- 数据库治理：确定字段级加密与备份侧保护范围
- 接口安全：重要数据传输的加密与完整性校验
- 证据整理：把措施、字段与日志对应成一页清单
检查点清单
检查点清单
1 应用用户身份鉴别：鉴别信息传输与存储需受密码保护
2 访问控制信息完整性：授权与策略数据受密码保护
3 重要数据存储保密性：字段级、表空间或文件级加密
4 重要数据传输保密性：链路加密与端到端加密
5 重要数据完整性：校验码或签名保护
6 敏感个人信息处理：按个人信息保护要求加密与去标识化
7 密钥管理：上述措施的密钥来源、轮换与权限是否有记录检查点与做法
| 检查点 | 合规做法 | 常见问题 |
|---|---|---|
| 用户鉴别 | 口令与令牌传输存储加密 | 前端明文传输口令 |
| 访问控制信息 | 权限数据受完整性保护 | 授权表可被直接修改 |
| 存储保密性 | 字段级加密并管好密钥 | 只做数据库透明加密 |
| 传输保密性 | 链路加密覆盖全路径 | 内网段未加密 |
核查以「字段清单 + 保护措施 + 证据」三件套呈现最清晰：先列出重要字段，再说明用什么算法保护，最后给配置截图、密钥台账与日志样本。