范围
规定了一级到四级的密码应用的基本要求，包括四个技术层面的技术要求和四个方面的管理要求
四个技术层面：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全
四个管理层面：管理制度、人员管理、建设运行、应急处置
注：第五级密码应用只描述通用要求
术语和定义
机密性：保证信息不被泄露给非授权实体的性质
数据完整性：数据没有遭受以非授权方式所作的改变的性质
真实性：一个实体是其所声称实体的这种特性，真实性适用于用户、进程、系统和信息之类的实体。
不可否认性：证明一个已经发生的操作行为无法否认的性质。
概述
本标准从信息系统的四个技术层面提出密码应用技术要求，保证信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性；并从信息系统的管理制度、人员管理、建设运行和应急处置四方面提出密码应用管理要求，为信息系统提供管理方面的密码应用安全保障。
密码应用技术要求维度
技术要求主要由机密性，完整性，真实性，不可否认性四个密码安全功能维度构成，具体保护对象或应用场景描述如下：
a）机密性技术要求保护对象
使用密码技术的加解密功能实现机密性，信息系统中保护的对象为：
1）身份鉴别信息；
2）密钥数据；
3）传输的重要数据；
4）信息系统应用中所有存储的重要数据。
b）完整性技术要求保护对象
使用基于对称密码算法或密码杂凑算法的信息鉴别码机制、基于公钥密码算法的数字签名机制等密码技术实现完整性，信息系统中保护的对象为：
1）身份鉴别信息；
2）密钥数据；
3）日志记录；
4）访问控制信息；
5）重要信息资源安全标记；
6）重要可执行程序；
7）视频监控音像记录；
8）电子门禁系统进出记录；
9）传输的重要数据；
10）信息系统应用中所有存储的重要数据。
c）真实性技术要求应用场景
使用动态口令机制、基于对称密码算法或密码杂凑算法的消息鉴别码机制、基于公钥密码算法的数字签名机制等密码技术实现真实性、信息系统中应用场景为：
1）进入重要物理区域人员的身份鉴别；
2）通信双方的身份鉴别；
3）网络设备接入时的身份鉴别；
4）重要可执行程序的来源真实性保证；
5）登录操作系统和数据库系统的用户身份鉴别；
6）应用系统的用户身份鉴别。
d）不可否认性技术要求保护对象
使用基于公钥密码算法的数字签名机制等密码技术来保证数据原发行为的不可否认性和数据接收行为的不可否认性。
密码应用管理要求维度
管理要求由管理制度、人员管理、建设运行、应急处置等四个密码应用管理维度构成，具体如下：
a）密码应用安全管理相关流程制度的制定、发布、修订的规范性要求；
b）密码相关安全人员的密码安全意识以及关键密码安全岗位员工的密码安全能力的培养，人员工作流程要求等；
c）建设运行过程中密码应用安全要求及方案落地执行的一致性和有效性要求；
d）处理密码应用应安全相关的应急突发事件的能力要求
密码应用基本要求等级描述
第一级，是信息系统密码应用安全要求等级的最低等级，要求信息系统符合通用要求和最低限度的管理要求，并鼓励使用密码保障信息系统安全；
第二级，在第一级的基础上，增加操作规程，人员上岗培训于与考核、应急预案等管理要求，并要求优先选择使用密码保障信息系统安全；
第三级，在第二级基础上，增加对真实性，机密性的技术要求以及全部的管理要求；
第四级，是在第三级要求的基础上，增加对完整性、不可否认性的技术要求；
第五极（略）。
通用要求
一级到五级的通用要求：
a）信息系统中使用的密码算法应符合法律、法规的规定和密码相关标准、行业标准的有关要求；
b）信息系统中使用的密码技术应遵循密码相关国家标准和行业标准；
c）信息系统中使用的密码产品、密码服务应符合法律法规的相关要求。