密评里的密钥管理系统 KMS：密钥全生命周期怎么管
开展密码应用安全性评估时，很多单位盯着买了哪几台设备、算法换成国密没有，对密钥从哪来、存在哪、用完怎么处理关注不多。而算法、技术、产品三项通用要求之外，还有一个能穿透四个技术层面的判定项——密钥管理。
《信息系统密码应用高风险判定指引》在第 5 章通用要求里把密码产品与密码服务的安全问题列为红线之一，明确包含"存在可能会对密钥管理造成严重安全隐患的安全问题（见附录 A）"。这条适用所有级别的信息系统，且没有可降级的缓解措施。
一、密钥为什么在密评里是单独一条线
《密码法》第二十七条是密评的法律源头。技术层面主要执行 GB/T 39786-2021《信息系统密码应用基本要求》，覆盖物理和环境、网络和通信、设备和计算、应用和数据四个层面，以及管理制度、人员管理、建设运行、应急处置四个方面。
四个层面各有指标，每条指标测评时都要回答同样三个问题：用什么技术实现、算法是否合规、密钥有没有管住。第三问贯穿所有层面，这是密钥管理被单拎出来的原因。
需要注意：GB/T 39786 对密钥生命周期的技术描述放在资料性附录 A，正文侧重管理要求——制度要含密钥管理内容，人员要设密钥管理员。指望买一台设备解决问题，从标准结构上就走不通。
二、一把密钥要走完的十个环节
按 GB/T 39786 的表述，密钥管理包括产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁十个环节：
- 产生：在符合 GB/T 37092 的密码产品内产生，并记录种类、长度、拥有者、起止时间；
- 分发：从一个密码产品传到另一个，需抗截取、篡改与假冒；
- 存储：密钥不以明文出现在密码产品外部，公钥例外但需防篡改；
- 使用：一钥一用，使用前需授权，用公钥证书前先验有效性；
- 更新：超期、已泄露或有泄露风险时，按更新策略更换；
- 归档：归档密钥只用于解密历史数据或验证历史签名，并留存审计信息；
- 撤销：针对公钥证书对应密钥，到期自然失效或按需主动撤销；
- 备份：与存储要求一致，保证机密性与完整性；
- 恢复：调用需鉴别，不能被随意导入其他系统；
- 销毁：过程不可逆，无法恢复原密钥材料。
三、附录 A 列出的七类高风险做法
《信息系统密码应用高风险判定指引》附录 A 把上述环节压缩成七个部分，逐环节给出会判高风险的情形，对照自查比通读条文效率更高：
- 产生：未使用通过认证的随机数发生器；在不可控环境生成；协商前未验证对方身份；
- 分发：用无访问控制介质传递明文密钥；分发未做机密性与完整性保护；
- 存储备份归档：除公钥外的密钥明文存储；公钥可被非授权修改替换；加密密钥的口令明文存储或复杂度小于 10 的 12 次方；
- 使用：多实体共用密钥却无使用控制；对称密钥使用不当泄露；公钥与实体无关联；使用前未验证有效性；未按用途正确使用；
- 更新：未建立泄露或疑似泄露时的更新机制；
- 销毁撤销：不具备应急或按需的销毁、撤销机制，或有机制未执行；
- 恢复：恢复使用时缺少鉴别机制，可被导入其他系统。
其中"10 的 12 次方"常被误解：它约束的是保护密钥那把口令的强度，而非应用登录口令复杂度。
四、KMS 能覆盖什么，覆盖不了什么
密钥管理系统是对称密钥管理的技术载体，产品侧也有标准依据：GM/T 0051-2016《密码设备管理 对称密钥管理技术规范》对密钥存储备份、分发装载、使用控制、更新策略等给出具体要求，例如明文密钥须存于密码装置的安全模块内，分量管理时各分量分介质、分人持有。
资质侧也有通道。《商用密码产品认证目录（第三批）》于 2025-03-19 发布并即日实施，已包含基于 SM9 标识密码算法的密钥管理系统，依据标准为 GM/T 0086。这类系统可以取得 《商用密码产品认证证书》，而非已停发的"型号证书"旧口径。
另外，第三级系统使用的密码产品应达到 GB/T 37092 二级及以上，等级由产品认证确定并标注在证书上。密评现场不对产品重复检测，而是在确认实际使用的产品与证书一致后直接采信认证结果。部署时务必保证型号、版本与证书吻合，否则等于把高风险项带进现场。
但 KMS 解决不了三件事：一是制度，密钥管理的职责划分、操作规程与违规处置要写成文件；二是人，密钥管理员、密码操作员、密码安全审计员的分工要明确，关基单位另有《关键信息基础设施商用密码使用管理规定》提出的人员配备要求；三是方案，应用和数据层面用什么密钥体系，要在密码应用方案里单独成章写清。缺一样，设备再全也只算做了一半。
五、推进顺序与所需周期
实操上建议这样走：先拉一份密钥清单，标明用途、所在位置与所属层面；再对照十个环节逐项核对，重点筛出明文存储和说不清来源的密钥；接着补齐制度与岗位分工；然后把分散的密钥迁入统一的密钥管理系统托管；最后补上更新与销毁台账，保证任何一把密钥的时间线都能现场回溯。
周期没有统一答案。存量系统少、改造起点清晰的，一般几个月可收口；系统多、涉及跨平台与历史数据的则需要更长窗口，具体以属地要求和项目实际情况为准。若涉及云上部署，责任边界另有判定口径，可参考密评适用范围梳理。
就密评而言，辅导类服务包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构，评估报告须由具备商用密码检测资质的机构出具。需要核对自家系统涉及哪类密码产品的，可在密评机构名录查询对应资质信息。