商用密码管理规范(2025年).docxVIP

商用密码管理规范(2025年)

第一章总则

1.1目的与定位

商用密码是数字经济运行的“信任底座”。本规范以“合规、可控、可审、可溯”为治理目标，为企业在研发、采购、部署、运营、退役全生命周期内提供一套可落地的密码技术与管理体系，降低因算法误用、密钥泄露、流程缺陷导致的监管处罚、业务中断及品牌损失风险。

1.2适用范围

适用于在中华人民共和国境内开展数据处理、资金交易、身份认证、物联网接入、云服务等业务，且使用对称、非对称、杂凑、密码协议等商用密码技术的大中型企业、金融科技公司、SaaS服务商及其供应链上下游组织。

1.3合规引用

《中华人民共和国密码法》

GB/T39786-2021《信息安全技术信息系统密码应用基本要求》

GM/T0054-2018《信息系统密码应用测评要求》

GB/T35273《个人信息安全技术规范》

ISO/IEC27001:2022信息安全管理体系

1.4术语与缩略

缩写

全称

本规范定义

KMS

KeyManagementSystem

企业自建或租用的密钥管理系统

HSM

HardwareSecurityModule

经国密型号认证的硬件密码模块

CA

CertificateAuthority

依法设立的电子认证服务机构

DEK

DataEncryptionKey

加密业务数据的密钥

KEK

KeyEncrypti