问题与整改动作
| 问题 | 整改动作 |
|---|---|
| 未使用密码保护重要数据 | 增加存储加密（SM4）与传输加密，明确保护字段清单 |
| 密钥明文存放或复用 | 接入 KMS/密码机，按用途隔离并制定轮换计划 |
| 产品未认证 | 替换为目录内认证产品，保留证书与检测报告 |
| 随机数不达标 | 改用密码模块随机源，必要时送检 |
| 制度与记录缺失 | 补齐密钥管理制度、操作规程与审批记录 |
密评整改：常见问题与改法
整改按"算法产品、密钥管理、技术措施、制度记录"四条线推进：替换不合规产品、补齐密钥管理、补上缺失的密码保护点、完善制度与执行记录。
易错点
- 先改制度后改系统：复测以系统实际配置为准
- 整改记录不闭环：保留改前改后证据与验证结论
数据来源与参考
- GB/T 39786-2021
- 《商用密码应用安全性评估管理办法（试行）》