GB/T 43207 密码应用方案设计指南-等保测评网

密码应用方案写了几十页还是被退回，原因往往不是技术选错，而是方案更像一份产品清单，不像能被评估、施工、验收的设计文件。GB/T 43207-2023《信息安全技术信息系统密码应用设计指南》解决的正是这件事。

三本标准的分工，先分清再动笔

密评相关的国家标准是一个组合，不是一本：

GB/T 39786 自 2021 年 10 月 1 日实施；后两本同日发布，2024 年 4 月 1 日实施。

常见误解是把 GB/T 43207 当成"又一套指标"。它不列指标，它教的是怎么把 GB/T 39786 的指标落到具体系统对象上。想先看清指标全貌，可对照等级保护与密评的标准体系一起读。

标准第 5 章的原文顺序是：总体性、科学性、完备性、可行性、合规性。

合规性放在最后，不是最次要，而是它属于门槛项——前四条决定方案好不好用，第五条决定方案能不能过。评审时逐条对照这五条自查，比通读一遍更容易发现问题。

标准第 6 章写得很明确：设计过程包括三项基本流程——密码应用需求分析、密码应用设计分析、安全与合规性分析。有些解读写成"四个步骤"，是把项目动作和标准流程混在了一起。

分析系统现状，明确需要保护的信息资源和涉及范围，确定安全需求；依据 GB/T 22240 的定级结果，按 GB/T 39786 对相应等级提出的基本要求，明确技术要求与管理要求。

最容易漏的是最后半句：对使用其他替代性风险控制措施而不采用密码技术的，要做出说明，并在方案设计时进行风险评估和论证。这就是后面"不适用指标"论证的出处。定级结论尚未落定的，先看定级与备案的流程，否则需求分析没有基准。

按被保护对象所处层面和对应等级的要求，分三块设计：

同时从管理制度、人员管理、建设运行、应急处置四个方面提出管理要求——是把管理动作写进设计，不是附一份制度汇编。

逐条对照 GB/T 39786 对应等级下的各项技术要求，检查方案对每条指标的适用性。产出应是一张可直接用于评审的对照表：指标条目、是否适用、对应措施、依据。

第 4 章的框架是三层：计算平台、密码支撑平台、业务应用——应用层提需求，支撑平台供能力，计算平台承接落地。第 7 章的设计指南正按这四块展开，其中密钥管理单列成章：密钥策略设计、密钥功能划分、计算平台与应用层的密钥管理设计。这块在方案里最常被压成一句话。

回到项目上，三步设计之后还有一步：方案评估。《商用密码应用安全性评估管理办法》第七条规定，运营者应自行或者委托商用密码检测机构对密码应用方案开展密评；方案未通过，不得作为密码保障系统的建设依据。

评估看四项：需求的全面性、合理性、针对性，指标选取的准确性，不适用指标论证的充分性；流程和机制的可实施性；技术、产品和服务选用的合规性与密钥管理的安全性；形成密评报告。

所以项目上说的"四步"，实际是三步设计加一步评估。评估由谁做有资质要求，选机构前可先了解密评机构的资质口径。

编制一份能过评估的方案，顺序大致是：定范围与定级结论 → 梳理重要数据与流转路径 → 逐条对齐指标 → 设计三块技术方案 → 写密钥管理 → 补管理要求 → 自查 → 送评估。

周期上，单系统方案编制通常在两到六周，跨多个业务系统或涉及云上部署会更长，以属地要求为准。方案之后是建设、运行前评估、年度评估与备案，每段材料要求不同，可顺着密评栏目的系列文章往下看。

就密评而言，辅导类服务通常包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构。评估报告须由具备商用密码检测机构资质的机构出具，方案阶段要做的就是把设计做扎实。