整改按四条线推进
密评整改通常按四条线组织：算法与产品、密钥管理、技术措施、制度与记录。前者解决「用没用合规产品」，后三者解决「用得对不对、有没有留痕」。整改的成果要以系统实际配置为准，先改制度后改系统的顺序会在复测时暴露：评估人员核查的是运行中的系统，而不是文档里的描述。
基本信息
| 依据 | GB/T 39786-2021 与《商用密码应用安全性评估管理办法》 |
|---|---|
| 四条主线 | 算法产品、密钥管理、技术措施、制度记录 |
| 优先级 | 高风险项优先，通常涉及关键数据未受密码保护 |
| 复测要求 | 保留改前改后证据与验证结论 |
| 常见耗时项 | 产品替换与密钥体系迁移需要停机窗口 |
典型使用场景
- 拿到不符合项清单后的任务拆解与排期
- 产品替换：把未认证或不合规产品换成目录内产品
- 密钥治理：接入 KMS 或密码机并按用途隔离
- 补保护点：为重要数据补存储与传输加密
- 制度补齐：完善密钥管理制度与审批记录
问题与整改动作
| 问题 | 整改动作 |
|---|---|
| 未使用密码保护重要数据 | 增加存储加密与传输加密，明确保护字段清单 |
| 密钥明文存放或复用 | 接入 KMS 或密码机，按用途隔离并制定轮换计划 |
| 产品未认证 | 替换为目录内认证产品，保留证书与检测报告 |
| 随机数不达标 | 改用密码模块随机源，必要时送检 |
| 制度与记录缺失 | 补齐密钥管理制度、操作规程与审批记录 |
整改台账字段
整改台账字段
问题编号 | 问题描述 | 风险等级 | 整改措施 | 责任人
计划完成时间 | 实际完成时间 | 验证方式 | 证据位置 | 复测结论
建议：每条问题单独一行，证据按编号命名归档复测通常只看实际配置与可复核的证据：改前配置、改后配置、验证命令输出三者齐备时沟通成本最低。