GM/T 标准在密评里怎么用：和国标是什么关系
不少单位准备密评时，第一步是收集标准，收集完就卡住了：GB/T 39786、GB/T 43206、GM/T 0115、GM/T 0116、GM/T 0133 摆在一起，看不出谁管什么。有人说 GM/T 是"行业内的简化版"，也有人说国标出来之后行标就没用了。这两种说法都不准确。
两类标准不是替代关系，是分工关系：国标回答"要什么"，行标回答"怎么测、怎么改"。把这条线捋顺，方案怎么写、现场怎么配合、报告怎么看，都会顺很多。
国标那一侧：定要求、定结论
国标这条线的核心是 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》。它按四个技术层面（物理和环境、网络和通信、设备和计算、应用和数据）和四个管理维度（管理制度、人员管理、建设运行、应急处置）给指标，并按第一级到第四级分别标注"应/宜/可"。密评查哪些项、查到什么程度，根子都在这份文件里。
配套的两份国标各管一段：GB/T 43207-2023 是设计指南，管方案怎么编；GB/T 43206-2023 是测评要求，2024 年 4 月 1 日实施，把测评单元怎么划、整体测评怎么做、风险怎么分析、结论怎么给写进了国标，第五级不在其中描述。
国标这条线的完整链条是：要求（39786）→ 设计（43207）→ 测评与结论（43206）。
行标那一侧：定过程、定操作
GM/T 系列是密码行业标准，归口密码行业标准化技术委员会，主管部门是国家密码管理局。和密评直接相关、实际用得最多的有下面几份。
GM/T 0115-2021《信息系统密码应用测评要求》，2021 年 10 月 19 日发布、2022 年 5 月 1 日实施。它把通用测评要求、技术层面与管理层面的测评要求分等级写细，并给出整体测评、风险分析和评价、测评结论的要求。现场每个测评单元的判定口径，基本都能在这里找到出处。
GM/T 0116-2021《信息系统密码应用测评过程指南》，与 0115 同日发布、同日实施。它管流程：测评准备、方案编制、现场测评、分析与报告编制四项活动。它明确了你需要提供什么、什么时候提供，交付节奏就是按这四项活动排的。
GM/T 0133-2024《关键信息基础设施密码应用要求》，2024 年 12 月 27 日发布、2025 年 7 月 1 日实施。它面向关键信息基础设施运营者，除常规技术与管理要求外，还单列增强技术要求、增强管理要求和运行安全保障要求（密码资源弹性供给、运行状态监测预警、运行安全事件应急处置）。被认定为关基的系统，这份要单独看。
GM/T 0028-2024《密码模块安全要求》 与 GM/T 0039-2024《密码模块安全检测要求》 同样在 2025 年 7 月 1 日实施，同日旧版 GM/T 0028-2014、GM/T 0039-2015 废止。密码产品能不能达到 GB/T 39786 所要求的等级，判断依据在这一组。
一个项目里，两类标准怎么排班
把标准按阶段摊开，分工就清楚了：
- 定级备案与范围划定：以 GB/T 39786 为准，先定系统等级，再对到该等级的"应/宜/可"清单。
- 方案编制：GB/T 43207 给设计思路；关基系统叠加 GM/T 0133 的增强要求。
- 方案评估：看方案是否覆盖该等级全部"应"项，不适用项是否有充分论证。
- 现场测评：过程按 GM/T 0116 的四项活动推进，单元判定按 GM/T 0115 的口径执行。
- 报告与结论：按 GB/T 43206 组织，含整体测评、风险分析和结论三部分。
- 产品选型：GB/T 37092 给密码模块的安全等级划分，GM/T 0028-2024 给具体要求，两者配合看。
四个最容易搞错的点
第一，GM/T 0054-2018 的定位。 它是 2018 年发布的行业版基本要求，2021 年经修改完善上升为国家标准 GB/T 39786-2021。它在标准平台上仍列为现行，但密评的实际依据已经切换到国标。写材料时按"历史版本"处理更稳妥，不要当现行依据引用。
第二，GM/T 0115 与 GB/T 43206 不是二选一。 两份都在用：国标管测评要求与结论的组织方式，行标管具体操作口径和过程。
第三，标准号后面的年份要看。 GM/T 0028 已从 2014 版换到 2024 版，2025 年 7 月 1 日起旧版废止，方案里的表述一律以新版为准。
第四，有 GM/T 编号不等于能当密评依据。 SM2、SM3、SM4 这些算法标准是技术底座，规定算法本身怎么实现，不规定测评项。密评查的是"有没有用、用得对不对"，依据仍在 39786 与 43206 这条线上。
给建设单位的一份务实清单
与其把标准号抄一页，不如按用途抓四份：
- GB/T 39786-2021——对指标、写方案、做自评都用它。
- GM/T 0116-2021——排配合计划时看它，四项活动对应四批材料。
- GB/T 43206-2023——看报告、理解结论时看它。
- GM/T 0133-2024——仅在系统被认定为关基时需要。
补一条经验：标准文本解决的是"该做什么"，落地还要看属地密码管理部门的实施要求和备案口径，各地在材料格式、受理方式上有差异，具体以属地要求为准。
内部若没有专职密码技术人员，较稳妥的路径是先把差距分析做出来，再定改造范围：把 39786 里该等级的"应"项逐条对到现有系统，标出已满足、部分满足、未满足三类，改造顺序自然就出来了。方案编制、改造陪跑与协助对接持牌检测机构可以并行推进，不必等前一步完全收口。测评报告须由具备资质的检测机构出具，这一点在选机构时就该核清楚。
延伸阅读：等级测评与密评的衔接、密评机构的资质怎么看、密码应用标准体系。