2021年3月，国家市场监督管理总局、国家标准化管理委员会正式发布《信息安全技术  信息系统密码应用基本要求》（GB/T 39786—2021），自2021年10月1日起实施。

密码技术应用的背景及现状

数字时代，各领域都在积极推动数字经济的发展，与此同时，最大的掣肘就是数据安全，数据安全的重要性无与伦比，密码技术作为数据安全的基础支撑技术，已经渗透到各行各业，并面临新的挑战，大量信息系统和敏感数据由于缺乏有效的密码保护，造成数据泄露、篡改和身份仿冒事件频发，密码技术被黑客滥用、密码应用不合规、密码算法安全性能低等问题亟需解决。

标准的意义与作用

为了更好的规范、指导各领域与行业信息系统密码应用的规划、建设、运行及测评工作，本标准明确了信息系统密码应用技术框架，规定了信息系统第一级到第四级的密码应用的基本要求；提出了物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等密码应用技术要求，有效保障信息系统的实体身份真实性 ，重要数据的机密性和完整性、操作行为的不可否认性；制定了管理制度、人员管理、建设运行、应急处置等密码应用管理要求，为信息系统管理提供安全保障。是《中华人民共和国密码法》出台实施之后，开展商用密码应用安全性评估工作的重要抓手。

关于“密评”和密评对象

✓商用密码应用安全性评估：简称“密评”，是指对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。开展密评，是国家相关法律法规提出的明确要求，是网络安全运营者的法定责任和义务。

✓密评对象：基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及关键信息基础设施、等保三级及以上的信息系统。

标准要点解读

1.密码应用技术要求

（1）机密性：通过加解密功能，对信息系统中的身份鉴别信息、密钥数据以及其他重要的传输、存储数据进行保护。

（2）完整性：通过消息鉴别码机制和数字签名机制，对信息系统中的身份鉴别和访问控制信息、密钥数据、重要传输、存储数据、日志记录、重要信息资源安全标记、重要可执行程序、视频监控音像记录和电子门禁系统进出记录进行保护。

（3）真实性：通过动态口令机制，对信息系统中进入重要物理区域人员、应用系统用户、登录操作系统和数据库系统的用户、通信双方、网络设备接入时进行身份鉴别，保证重要可执行程序的来源真实性。

（4）不可否认性：通过数字签名机制，保证数据原发行为的不可否认性和数据接收行为的不可否认性。

2.基本要求

信息系统密码应用基本要求划分为四个等级，密码保障能力逐级增强，相应级别的密码保障技术能力及管理能力如下：（其中“可”表示可以，“宜”表示推荐、建议，“应”表示要求、应该。）

物理和环境安全：

网络和通信安全：

设备和计算安全：

应用和数据安全：

管理制度：

人员管理：

建设运行:

应急处置：

闪捷数据加密解决方案 基于密码技术的实践应用

《信息安全技术  信息系统密码应用基本要求》在应用和数据安全中强调：宜采用密码技术保证信息系统应用的重要数据在存储过程中的机密性和完整性。

数字化浪潮下，政企单位需要采集和存储海量、多元的数据存放在数据库中，数据量的增长也给数据存储带来新的挑战，值得注意的是，数据存储的机密性和完整性遭受攻击往往很难察觉，一旦被破坏，数据的“含金量”大幅度降低，错误的数据还可能反噬数据拥有者，后果极其严重。

多年来，闪捷信息一直在探索密码技术的研究与应用，自主研发以TDE加密、网关加密、量子加密为核心技术的数据加密产品，保护数据全生命周期的安全，并实践运用于多种场景。

针对存储安全，闪捷数据库加密系统基于对数据存储机密性、完整性的保障，密钥生命周期管理，实现数据在存储侧的“无条件安全”。

数据存储机密性保障

数据的机密性(Confidentiality)，是指数据的内容不被非授权访问，阻止攻击者对数据的非法获取和理解，敏感信息以密文方式存储，有效应对黑客拖库攻击、数据库高权限账号泄露，密文形态下，即使硬件丢失导致数据泄露，也无法被读取。

数据存储完整性保障

数据的完整性(Integrity)，是指防止数据被篡改，完整性保护可以阻断非授权攻击者恶意修改行为，保证数据完整不被破坏。

闪捷数据库加密系统采用基于HMAC不可逆的加密摘要进行完整性保护，在代理网关向数据库发送明文数据前，计算出一份HMAC1；当数据经过加解密计算，从存储数据库传出时，代理网关用同一份密钥将解密出的明文执行相同的运算，计算出HMAC2，将两份进行比较，相等则确认数据未被篡改。

密钥生命周期管理

生成：数据加密密钥受主密钥保护，由与系统集成的加密卡的随机数芯片随机生成，并可对接量子随机数生成器获取高熵随机数，通过合规的密码算法做后处理，使得随机数为密码学意义上真正安全的随机数，确保生成的密钥强度足够，无法被预测。

更新：对用于数据存储加解密的数据密钥进行强制定期更换，更换周期由用户在系统中自定义。

存储：所有密钥均采用SM4算法加密存储在密码卡非易失存储区；采用HMAC算法验证有效性；所有密钥对接量子密钥生成器，由主密钥结合随机盐来生成，进一步保障密钥的存储安全。

备份和恢复：采用加密备份密钥和HMAC校验确保备份密钥的机密性、完整性，审计管理员可查看密钥备份和恢复的记录信息。

销毁：采用软件方式，在重新初始化设备时销毁密钥，销毁过程不可逆，防止攻击者恢复。

闪捷数据库加密系统优势大盘点

闪捷数据库加密系统正式获得商用密码产品认证证书，产品技术团队的自主研发能力获权威认可。

支持多种数据库类型：

优秀算法兼容性：支持加密卡、第三方加密平台、量子密钥QRNG对接，支持SM1(需要硬件)、SM2、SM3、SM4 等一系列国密算法。

支持横向拓展：加解密不依赖数据库硬件，支持横向扩展，组成分布式加解密集群。

监控数据库运行状态，闲时加密：系统独有的队列式分批次加密机制，加密过程中自动监控数据库运行状态，根据数据库主机的CPU/IO/内存/网络等各项资源占用情况自动启停加解密任务，不影响业务流畅开展。

当前，密评已成为数据安全工作中的客观需要和紧迫需求，受益于本标准的指导，密评工作将被快速推进，闪捷信息作为率先将前沿密码技术成功应用于数据安全领域的专业厂商，将持续推进密码技术创新研究，专注密码产品研发，护航安全数字未来。

关于闪捷信息：

闪捷信息（Secsmart）是一家专注数据安全的高新技术企业，创新性提出“云·管·端”立体化动态数据安全理念，在业界率先将人工智能、前沿密码技术成功应用于数据安全领域，实现对结构化和非结构化数据资产的全面防护。产品范围涉及大数据安全、云数据安全、应用数据安全、数据防泄漏、工业互联网安全、数据安全治理以及数据安全治理服务等，已广泛应用于政府、电力、金融、运营商、医疗、教育等行业。