法规 + 国密 · 一页纸速查卡

一、国密算法矩阵

算法	类型	对应国际算法	用途
SM2	非对称（ECC，256bit）	RSA	身份认证、数字签名、密钥协商/交换
SM3	杂凑（256bit）	SHA-256	完整性校验、HMAC、签名摘要、口令加盐哈希
SM4	对称分组（128bit）	AES	通道加密、敏感字段加密存储
SM9	标识密码（IBE）	—	无需证书，用邮箱/手机号作公钥；物联网、轻量化认证
ZUC	序列密码	—	4G/5G 移动通信加密
SM1/SM7	不公开，芯片 IP 核	DES	智能卡、门禁卡（不可软件实现，方案中勿写）

三句必答模板

• 传输层：SM2 身份认证与密钥交换 + SM3 保完整性 + SM4 加密通道（国密 TLS/IPsec/SSL VPN）。
• 存储层：SM4 加密敏感字段 + SM3 加盐哈希存口令 + SM2 签名日志防篡改。
• 配套：国密 PKI + SM2 证书 + KMS 密钥全生命周期管理（分权托管、定期轮换、禁止硬编码）。

红线：SM4 禁用 ECB；SM2 签名不得混用 SHA 系列；淘汰 MD5/SHA-1；加密密钥与签名密钥分离。

二、密评 GB/T 39786-2021

四个技术层面

1. 物理和环境安全：门禁身份鉴别真实性；门禁与视频监控记录存储完整性。
2. 网络和通信安全：通信实体身份鉴别；通信数据机密性与完整性；边界访问控制信息完整性。
3. 设备和计算安全：登录用户身份鉴别；远程管理须建加密通道；访问控制信息与日志完整性；可信验证。
4. 应用和数据安全：应用身份鉴别；重要数据传输与存储机密性、完整性；程序加载控制；不可否认性（电子签章/存证）。

管理层面：管理制度、人员管理、建设运行、应急处置、密钥管理、安全审计。

硬指标：等保三级及以上系统、CII 每年至少一次密评；上线前评估通过方可投运；重大变更或安全事件后重新评估；总分 ≥60 分且无高风险项为通过；报告出具后按时限向密码管理部门备案。依据 GB/T 39786-2021（前身 GM/T 0054-2018），上位法《密码法》《商用密码管理条例》（2023.7.1 施行）。

三、等保 2.0 GB/T 22239-2019

一个中心：安全管理中心（系统管理、审计管理、安全管理集中化；日志集中存储 ≥6 个月；态势感知与统一策略下发）。

三重防护

• 安全通信网络：架构冗余（核心双机、链路聚合）、传输加密、流量审计（含 IPv6）、QoS。
• 安全区域边界：防火墙/IPS/WAF/抗 DDoS、域间默认拒绝最小化放通、入侵防范、恶意代码过滤、无线接入管控。
• 安全计算环境：双因子身份鉴别、最小权限、主机加固与补丁、防病毒/EDR、可信验证、剩余信息保护、存储加密。

五个环节：定级 → 备案 → 建设整改 → 等级测评 → 监督检查（三级每年至少一次测评）。

管理五域：安全管理制度、安全管理机构（三员分立：管理员/审计员/安全员）、人员安全、建设管理、运维管理。

四、四部法律速查表

法律	施行	定位	题干关键词	措施关键词
网络安全法	2017.6.1	基础性法律	等级保护、日志留存、CII、应急处置	等保制度、日志留存≥6个月、应急预案与演练、CII 安全审查
数据安全法	2021.9.1	数据分类分级、国家安全	分类分级、重要数据目录、数据出境	分类分级清单与标识、重要数据重点保护、出境安全评估
个人信息保护法	2021.11.1	个人权益	个人信息、告知同意、脱敏、第三方提供	告知同意（敏感信息单独同意）、最小必要、去标识化/脱敏、个人权利响应、对外提供须评估与协议约束
密码法	2020.1.1	三类密码	商用密码、密评、CII 用商密	核心/普通/商用三分；CII 运营者应使用商密并自行或委托开展安全评估

记忆锚点：网安法管“网”、数安法管“数据资产”、个保法管“人”、密码法管“算法与密钥”。

五、数据分类分级与访问控制（制度→技术→流程→留痕）

1. 制度：建立数据分类分级清单与标识（个人信息/重要数据/一般数据），明确级别与责任主体。
2. 技术：按级别差异化防护——传输与存储加密（国密）、脱敏/去标识化、口令不可逆存储、细粒度访问控制与最小必要授权。
3. 流程：对外提供或委托处理须经安全评估 + 协议约束 + 审批，落实告知同意与目的限定，定期风险评估。
4. 留痕：全量操作审计与日志集中留存 ≥6 个月，异常导出行为告警，支持追溯与举证。