材料准备的核心是一致性
现场评估前需要按清单把材料备齐：系统信息、密码应用方案、产品与证书、密钥管理记录、网络与数据流说明、制度文件。核查的重点不是材料的厚度，而是材料与现场是否一致：方案里写的算法与系统实际配置是否相同、证书是否在有效期内、密钥台账能否对上运行中的系统。材料临时拼凑与版本混乱是常见失分点。
基本信息
| 材料类别 | 系统信息、密码应用方案、产品与证书、密钥记录、网络与数据流、制度 |
|---|---|
| 一致性要求 | 材料描述与系统实际配置必须可相互印证 |
| 预评估 | 评估前按 GB/T 39786 条款做一次内部预评估 |
| 组织方式 | 按条款或主题建索引，便于现场调取 |
| 常见问题 | 材料临时拼凑、版本与现场不一致 |
典型使用场景
- 迎评准备：按清单逐项核对并补齐缺失材料
- 内部预评估：提前发现材料缺失与现场不一致两类问题
- 版本管理：核对方案、拓扑与配置的版本号是否一致
- 人员分工：明确每个类别的归口部门与责任人
- 检查配合：现场按索引快速调取材料
材料清单
材料清单
1 系统定级备案材料与边界说明
2 密码应用方案（含评审记录）
3 密码产品认证证书与部署清单
4 密钥管理制度、操作规程与执行记录
5 网络拓扑、数据流与重要数据清单
6 建设与验收文档、测试报告
7 安全管理制度与人员名单（关键岗位分设）
8 变更记录：系统与密码应用发生变更的时间和内容材料与核查要点
| 材料 | 核查要点 |
|---|---|
| 密码应用方案 | 算法与产品描述是否与现场配置一致 |
| 产品证书 | 是否在有效期内、是否覆盖实际版本 |
| 密钥记录 | 台账能否对上运行中的密钥与轮换计划 |
| 拓扑与数据流 | 边界与数据流向是否与备案信息一致 |
建议提前对照 GB/T 39786 条款做一次内部预评估，把「材料缺失」和「现场不一致」两类问题在外部评估前解决掉。