GB／T 39786-2025 中文版 信息系统密码应用基本要求.docxVIP

GB/T39786-2025中文版信息系统密码应用基本要求

密码应用这件事，最容易出现的偏差是“为用而用”：系统里加了HTTPS、数据库字段做了加密，就认为密码工作完成了。真正的问题在于，密码是否用在刀刃上、密钥是否管得住、算法是否合规、失效时是否有兜底。密码应用基本要求要解决的，正是把“用密码”变成“正确、有效、可验证地用密码”。

这份标准通常按技术与管理两条线组织：技术上覆盖物理和环境、网络和通信、设备和计算、应用和数据四个层面；管理上覆盖制度、人员、建设运行和应急处置。本文按这两条线展开，并补充密评实务中的判定要点与常见误区。

一、密码应用的定位

密码不是万能药，但它是解决身份真实性、数据机密性、完整性和行为不可否认性的基础技术。标准的作用，是规定在哪些环节必须用、用到什么强度、如何管理。

（一）从“有没有”到“有没有效”

早期合规关注“是否部署了密码产品”，现在更关注“密码是否真正生效”。例如部署了加密机但业务数据仍明文落库，或者使用了加密但密钥全员可见，都属于“有措施无效果”。

（二）与等级保护的关系

密码应用是等级保护的重要支撑。等保中的身份鉴别、通信传输、数据保密性、完整性等要求，很多要靠密码实现。密评与等保测评在关注点上有交叉，但密评更聚焦密码的正确性与有效性。

二、技术框架：四个层面

四个层面的划分，对应信息系统的物理、网络、设备、应用四个层次，逐层递进。