国密合规治理背景：密码法、等保2.0、数据安全法相关要求归纳总结
做国密合规治理，首先得把这三部法律/标准吃透。密码法、等保2.0、数据安全法，像是三根柱子，共同撑起了我国数据安全与密码合规的大厦。很多朋友上来就问“国密怎么上？”，我的回答总是：先看看这三份文件怎么说。今天就帮你把它们的核心要求拆开揉碎了讲。
密码法：商用密码管理的“基本法”
《密码法》2020年1月1日实施，它把密码分成三类：核心密码、普通密码、商用密码。我们做企业数据安全，最关心的是商用密码。它主要管三件事：
- 分类管理：商用密码产品、服务、检测认证机构都需要相应的资质。比如，卖密码机得通过商用密码产品认证，做密评的机构要列入《商用密码应用安全性评估试点机构目录》。
- 合规要求：法律明确了“谁使用谁负责”。关键信息基础设施必须使用商用密码进行保护，而且要做密评。不用的，轻则警告罚款，重则停业整顿。
- 进口出口管理：涉及国家安全和利益的密码产品，进出口要受管制。这点做跨境业务的朋友要特别留心。
我记得有一次帮一家金融客户做合规审计，他们采购了一批国外的加密设备，觉得性能好就用了。结果密评时直接不合格——因为没使用国密算法，也没有商用密码产品认证。后来全换成了国密SM系列，项目延期了三个月。嗯，这个坑挺常见。
等保2.0：密码合规的“执行标尺”
等保2.0（GB/T 22239-2019）是2019年12月实施的，它把密码要求从原来的“建议”变成了“强制”。尤其是第三级及以上系统，密码应用测评项特别多。我给大家整理一下核心点：
| 密码应用层面 | 三级系统要求（摘录） | 典型场景 |
|---|---|---|
| 身份鉴别 | 应采用密码技术对登录用户进行身份鉴别，保证身份的唯一性和抗抵赖性。 | 双因子认证、数字证书登录 |
| 数据机密性 | 应采用密码技术保护传输和存储数据的机密性。 | TLS 1.3+国密、SM4加密数据库 |
| 数据完整性 | 应采用密码技术保证重要数据在传输和存储过程中的完整性。 | HMAC-SM3、数字签名 |
| 不可否认性 | 应提供密码技术支持不可否认性，如数字签名、时间戳。 | 电子合同、日志审计 |
数据安全法：数据保护的“顶层设计”
数据安全法2021年9月实施，它强调的是数据全生命周期的安全。密码技术在其中扮演什么角色？说白了，就是最核心的技术抓手。法律明确要求：
- 分类分级保护：重要数据和核心数据必须采用密码技术进行加密保护。
- 数据安全评估：处理重要数据、出境数据等活动，需要开展数据安全评估，评估中密码应用是必查项。
- 应急处置：发生数据泄露事件，要求用密码技术对数据进行溯源和抗抵赖。
你想想看，如果一家企业处理着几千万用户的个人信息，却连基础的数据加密都没做，一旦出事，按照数据安全法，罚款上限是1000万或者上一年度营业额的5%。这不是开玩笑的。我在帮一家电商平台做合规整改时，发现他们所有用户支付信息都是明文存库，当时冷汗就下来了——赶紧让他们上了SM4加密，并做了密钥分层管理。
三法协同：国密合规的“铁三角”
这三部法律/标准不是各管一摊，而是相互咬合的。密码法是基础，等保是执行细则，数据安全法是数据保护的总纲。国密合规要在三者之间找到交集。我画了一张图帮大家理清关系：
实际项目中的常见痛点与避坑指南
讲了这么多理论，说几个我在一线遇到的真实问题：
- 密码算法混用：有些项目为了兼容旧系统，把国密和国际算法都部署了，结果密评时被指出“密码应用方案不纯”，必须全切国密。我建议一开始就统一用SM系列，别留后门。
- 密钥管理裸奔：很多企业上了国密加密，但密钥直接写死在配置文件或环境变量里。这就相当于锁上了门，却把钥匙挂在门把手上。我经历过一次客户数据泄露事件，根因就是密钥明文存储——后来他们引入了硬件密码机（HSM）和密钥管理系统（KMS）。
- 密评前置规划不足：明明知道要做密评，却等系统上线了才找测评机构。密评是要做渗透测试、代码审查、数据流分析的，系统一旦定型，改起来成本巨大。我建议在需求阶段就邀请密评机构介入，边设计边改进。
总的来说，国密合规治理不是一句口号，而是需要把密码法、等保2.0、数据安全法的每一行要求，落到架构设计、密钥管理、产品选型、运维监控的每一个细节里。我个人习惯把三法的关键条款做一张对照表，贴在工位上，每次评审时逐一核对，效果很好。你可以试试这个办法。