密钥生命周期六阶段
密钥从生成到销毁应全程受控：生成、分发、存储、使用、轮换与归档、销毁六个阶段都要有明确要求与记录，这也是密评与审计的高频检查项。实务上还需分层——根密钥保护密钥加密密钥，密钥加密密钥再保护数据密钥，避免一套密钥打天下。任何阶段缺记录，都会让「密码应用是否受控」无法证明。
基本信息
| 六阶段 | 生成、分发、存储、使用、轮换与归档、销毁 |
|---|---|
| 生成要求 | 合规密码模块与随机数发生器，强度达标 |
| 分发要求 | 加密保护传输，双人控制或分置传递 |
| 存储要求 | 密码机或 KMS 保护，禁止明文落盘 |
| 使用要求 | 最小权限，用途隔离（签名密钥不用于加密） |
| 销毁要求 | 按规范不可恢复销毁并留记录 |
典型使用场景
- 密码应用方案设计阶段的密钥规划
- 密评整改中的密钥管理补齐
- 人员离岗或疑似泄露时的应急轮换
- 密码机与 KMS 的建设与运维
- 多系统共用密钥的隔离改造
六阶段动作
六阶段动作
# 生成：合规密码模块 + 随机数发生器，密钥强度达标
# 分发：加密保护传输，双人控制或分置传递
# 存储：密码机或 KMS 保护，禁止明文落盘与代码硬编码
# 使用：最小权限、用途隔离（签名密钥不用于加密）
# 轮换与归档：定期轮换 + 事件驱动（离岗、疑似泄露）
# 销毁：按规范不可恢复销毁并留记录阶段与留痕证据
| 阶段 | 关键要求 | 留痕证据 |
|---|---|---|
| 生成 | 使用合规模块与真随机源 | 生成记录与模块日志 |
| 分发 | 加密传输、双人控制 | 传递与签收记录 |
| 存储 | 密码机或 KMS 保护 | 存储方案与权限配置 |
| 使用 | 最小权限与用途隔离 | 调用记录与权限清单 |
| 轮换归档 | 定期与事件驱动更换 | 轮换计划与执行记录 |
| 销毁 | 不可恢复销毁 | 销毁记录与审批 |
轮换前要验证新旧密钥的兼容与回退路径，否则一次轮换可能让历史数据无法解密。
一套密钥全网复用是高风险做法：应按系统、用途与生命周期隔离，泄露时的影响面能小一个数量级。