企业密码应用建设实施指南（完整版）.docxVIP

企业密码应用建设实施指南（完整版）

本指南依据《中华人民共和国密码法》《关键信息基础设施安全保护条例》《密码应用安全性评估管理办法》及GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T39786-2021《信息安全技术密码应用标识规范》等法规标准编制，覆盖企业密码应用从前期筹备到长期运营的全流程操作环节，所有技术参数、管理要求均为可直接落地执行的明确指标，适用于员工规模30人以上、拥有2套以上核心业务系统的全行业企业参照实施。

第一章企业密码应用建设前期筹备工作

一、建设需求调研与范围划定

1.全域资产密码应用现状摸排

企业需组织专项工作组对全量在网运行资产进行逐一盘点，覆盖Web服务器、数据库服务器、办公终端、工业控制PLC、物联网感知节点、网络交换设备、云主机、备份存储介质等12类核心资产，统计当前已部署密码产品的数量、已实现的密码功能、未覆盖的业务场景、现存的密码相关风险点，形成完整的现状摸排台账。摸排过程中不得遗漏任何三级等保及以上级别的业务系统，确保后续建设范围无盲区。

企业密码应用现状摸排统计表如下：

资产类别

部署位置

当前加密措施

存在风险点

责任部门

核心业务数据库服务器

核心机房加密专区

无内置透明加密

敏感数据明文存储易被拖库

信息化部

对外服务Web服务器

外网接入区

国际算法SSL加密

存在算法后门风险

信息化部

办