信息系统密码应用基本要求 国标GBT39786-2021与行标GMT0054-2018对比_gb t 39786-2021

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

（4）商用密码应用安全性评估量化评估规则

（5）商用密码应用安全性评估报告模板（2023版）

（6）商用密码应用安全性评估 FAQ （第二版）

具体内容上对比国标和行标的具体异同。

结构	GMT0054-2018	GBT39786-2021	差异分析
引言	对“密码技术”、“密码”和“可、宜、应”定义解释。	无
范围	标准规定信息系统商用密码应用的基本要求。 适用范围用于指导、规范和评估信息系统中的商用密码应用。	规定信息系统第一级到第四级4个技术层面和4个管理层面要求。（说明第五级） 在本标准基础之上，各领域与行业可结合本领域与行业的密码应用需求来指导，规范信息系统密码应用。	增加信息系统等级（1-5级）
规范性引用文件	GMT0005 随机性检测规范 GMT0028密码模块安全技术要求 GMT0036采用接触卡的门禁系统密码应用技术指南 GMZ4001-2013密码术语	GBT37092密码模块安全要求
术语和定义	14个术语定义	去掉解密、密码算法和数字签名
微缩语	MAC	无
总体要求	密码算法、密码技术、密码产品和密码服务	作为通用要求提出，密码产品和服务应符合法律法规的相关要求。	增加通用要求
密码功能要求	机密性（4）、完整性（11）、真实性（6）和不可否认性（实体行为）应用场景和保护对象	技术框架，提出4个技术要求，4个管理要求。具体要求维度，按照机密性（4）、完整性（10，删除可信计算技术建立从系统到应用的信任链）、真实性（6，修改可信计算技术的平台身份鉴别）和不可否认性（数据原发和接收行为）。具体4个密码应用管理维度（管理制度、人员管理、建设运行和应急处置）。 要求等级描述（第1-5级），不同等级密码应用基本要求简表附录A。	删除可信计算技术相关，增加要求等级描述
技术要求	按照4个安全层面（总则、等级保护第1级-第四级）展开。 指标要求： （a）物理和环境安全-身份鉴别（可宜应应）、电子门禁记录数据完整性（可宜应应）、视频记录数据完整性（–应应） （b）网络和通信安全-身份鉴别（可宜应应）、通信数据完整性（可可宜应）、通信数据机密性（可宜应应）、访问控制信息完整性（可宜应应）、集中管理通道安全（–应应） （c）设备和计算安全-身份鉴别（可宜应应）、访问控制信息完整性（可宜应应）、敏感标记完整性（可宜应应）、日志记录完整性（可宜应应）、远程管理身份鉴别信息机密性（-宜应应）、重要程序或文件完整性（–应应） （d）应用和数据安全-身份鉴别（可宜应应）、访问控制（可宜应应）、数据传输安全（可宜应应）、数据存储安全（可宜应应）、日志记录完整性（可宜应应）、重要应用程序的加载和卸载（–应应）、抗抵赖（—应）	将4个安全层面中的总则合并成通用要求。 按照第1级到4级展开，每个等级包括4个安全层面。 指标体系： （a）物理和环境安全-身份鉴别（可宜宜应）、电子门禁记录数据存储完整性（可可宜应）、视频监控记录数据存储完整性（–宜应） （b）网络和通信安全-身份鉴别（可宜应应）、通信数据完整性（可可宜应）、重要数据机密的机密性（可宜应应）、网络边界访问控制信息的完整性（可可宜应）、安全接入认证（–可宜） （c）设备和计算安全-算法鉴别（可宜应应）、远程管理通道安全（–应应）、系统资源控制信息完整性（可可宜应）、重要信息资源安全标记完整性（–宜应）、日志记录完整性（可可宜应）、重要可执行程序完整性和来源真实性（–宜应） （d）应用和数据安全-身份鉴别（可宜应应）、访问控制信息完整性（可可宜应）、重要信息资源安全标记完整性（–宜应）、重要数据传输机密性（可宜应应）、重要数据存储机密性（可宜应应）、重要数据传输完整性（可宜宜应）、重要数据存储完整性（可宜宜应）、不可否认性（–宜应）	整体结构变化，从1-4等级维度展开。适当降低部分指标的要求（2、3等级），更新部分测评指标。
密钥管理	密钥管理按照信息系统第1-4级分别要求，包括密钥生成、密码存储、密钥分发、密钥导入和导出、密钥使用、密钥备份和恢复、密钥归档、密钥销毁。	附录B 密钥生存周期管理	不再按照系统等级来分别要求密钥管理过程，而是通过密码产品安全等级要求保证密码管理安全。
安全管理	安全管理 （a）制度-制定密码安全管理制度（可宜应应）、定期修改安全管理制度（可宜应应）、明确管理制度发布流程（-宜应应）、制度执行过程记录留存（—应） （b）人员-了解并遵守密码相关法律法规（应应应应）、正确使用密码相关产品（应应应应）、建立岗位责任及人员培训制度（-应应应）、建立关键岗位人员保密制度和调离制度（-应应应）、设置密码管理和技术岗位并定期考核（–应应）、背景调查（—应） （c）规划（可宜应应）、建设（可宜应应）、运行（可宜应应） （d）应急预案（-应应应）、事件处置（可应应应）、向有关主管部门上报处置情况（–应应）	管理要求 （a）管理制度-具备密码应用安全管理制度（应应应应）、密钥管理规则（应应应应）、建立操作规程（-应应应）、定期修改安全管理制度（–应应）、明确管理制度发布流程（–应应）、制度执行过程记录留存（–应应） （b）人员管理-了解并遵守密码相关法律法规和密码管理制度（应应应应）、建立密码应用岗位责任制度（-应应应）、建立上岗人员培训制度（-应应应）、定期进行安全岗位人员考核（–应应）、建立关键岗位人员保密制度和调离制度（应应应应） （c）制定密码应用方案（应应应应）、制定密钥安全管理策略（应应应应）、制定实施方案（应应应应）、投入运行前进行密码应用安全性评估（可宜应应）、定期开展密码应用安全性评估及攻防对抗演习（–应应） （d）应急策略（可应应应）、事件处置（–应应）、向有关主管部门上报处置情况（–应应）	增加一些指标，提高部分指标要求。在管理要求中强调了密钥管理的内容。
附录A	安全要求对照表	不同级别密码应用基本要求汇总列表	技术要求中通用要求统一（包括密码服务和密码产品），密钥管理不再单独作为指标，在GMT0115-2021中将密钥管理作为通用要求，不单独判定符合性。
附录B	密码行业标准列表	密钥生存周期管理	只是给出密钥生存周期管理各环节的管理建议。

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**