管理要求为什么关键
GB/T 39786 除了技术层面的四个要求，还从管理四方面提出要求：密码应用管理制度、人员管理、建设管理与运行管理。密评会同时审查制度与执行记录，只补文档不改流程很难通过。实务中的落地顺序是制度与岗位先行、技术措施跟进、运行记录闭环；反过来先配置后补材料，会被看出明显的追认痕迹。
基本信息
| 依据 | GB/T 39786-2021《信息系统密码应用基本要求》 |
|---|---|
| 管理四方面 | 管理制度、人员管理、建设管理、运行管理 |
| 审查方式 | 密评同时查制度文本与执行记录 |
| 推荐顺序 | 制度与岗位 → 技术措施 → 运行记录闭环 |
| 常见证据 | 密钥台账、审批单、轮换记录、演练报告 |
典型使用场景
- 密码应用方案编制：把管理措施与技术措施一起写进方案
- 迎评准备：按四方面整理制度与执行证据
- 岗位设置：密钥管理员与安全员分设并明确职责
- 建设验收：产品选型、实施与验收测试都要覆盖密码功能
- 日常运行：变更、轮换与销毁纳入审批流程
管理四方面
| 方面 | 落地要点 |
|---|---|
| 管理制度 | 密码应用管理制度、密钥管理制度、操作规程与责任分工 |
| 人员管理 | 关键岗位分设、培训、离岗与交接记录 |
| 建设管理 | 方案评审、产品选型、实施与验收测试含密码功能 |
| 运行管理 | 变更管理、密钥轮换与销毁审批、应急预案与演练 |
运行管理检查点
运行管理检查点
1 密钥台账：用途、算法、长度、责任人、轮换周期是否齐全
2 审批记录：密钥生成、导出、轮换与销毁是否有审批单
3 双人操作：敏感操作是否有双人授权记录
4 变更管理：密码相关变更是否走变更流程并留档
5 应急演练：密钥丢失或设备故障的预案是否演练过制度与执行记录的日期链条要合理：评估前一周集中补出的制度和当天生成的记录容易被识别，建议把动作分散到日常流程中。