标准管什么
GB/T 39786-2021 是商用密码应用安全性评估（密评）的核心依据：从物理和环境、网络和通信、设备和计算、应用和数据四个技术层面，以及管理制度、人员管理、建设管理、运行管理四个管理层面提出密码应用要求，核心是核查机密性、完整性、真实性、不可否认性等密码功能是否被正确且有效地用在该用的位置。它既用于系统设计阶段对齐要求，也用于密评前的差距自查。
基本信息
| 标准名称 | GB/T 39786-2021 信息系统密码应用基本要求 |
|---|---|
| 技术四层 | 物理和环境、网络和通信、设备和计算、应用和数据 |
| 管理四层 | 管理制度、人员管理、建设管理、运行管理 |
| 密码功能 | 机密性、完整性、真实性、不可否认性 |
| 等级差异 | 按系统等级要求逐级提高 |
| 常用算法 | SM2、SM3、SM4 等商用密码算法 |
典型使用场景
- 新建系统密码方案设计阶段的合规对齐
- 密评前的差距自查与整改排期
- 密评报告问题项的整改与验证
- 密码产品、密码模块选型的合规性判断
- 与等保测评同步开展时的材料复用
记忆口诀
记忆口诀
# 技术四面：物理环境 / 网络通信 / 设备计算 / 应用数据
# 管理四面：制度 / 人员 / 建设 / 运行
# 四个功能：机密性 / 完整性 / 真实性 / 不可否认性
# 核查顺序：先看有没有密码应用，再看应用是否合规有效四个技术层面
| 层面 | 典型要求方向 | 常见证据 |
|---|---|---|
| 物理和环境 | 门禁与视频记录的身份鉴别、完整性 | 密码设备配置与记录校验方式 |
| 网络和通信 | 通信实体鉴别、传输机密性与完整性 | 加密通道配置与证书 |
| 设备和计算 | 设备身份鉴别、日志与访问控制信息完整性 | 系统配置与校验机制 |
| 应用和数据 | 用户鉴别、重要数据机密性与完整性 | 应用配置与数据加密说明 |
密评不只看「有没有用密码」，还看算法与密码模块是否合规、密钥管理是否受控；使用自研算法或不合规密码模块是常见扣分点。
只对传输加密、忽略存储数据与访问控制信息的完整性，是应用和数据层面的高频不符合项，整改需改动应用而非只加链路加密。