国密标准体系解读：GM/T、GB/T 与 ISO/IEC 的映射关系

概述

中国的商用密码标准体系经过二十余年的发展，已形成以GM/T 密码行业标准为核心、GB/T 国家标准为补充、ISO/IEC 国际标准为延伸的三层架构。截至 2025 年 7 月，我国已颁布密码标准 272 项，其中密码国家标准 95 项，密码行业标准 177 项（相较于 2024 年 7 月统计，替换 3 个国标，增加 33 个行标，废止 7 个行标）。

这一标准体系覆盖了密码算法、密码协议、密码产品、密码应用四大领域，构成了国家密码管理局（OSCCA）监管商用密码产业的规范基础。

标准体系架构

三层结构

┌─────────────────────────────────────────────┐
│           ISO/IEC 国际标准                    │
│  （ISO/IEC JTC 1/SC 27 负责）               │
│  中国以 P 成员身份参与，推动国密算法国际化    │
├─────────────────────────────────────────────┤
│           GB/T 国家标准                      │
│  （全国信息安全标准化技术委员会 TC260）       │
│  等同采用或修改采用 ISO 标准，或自主制定      │
├─────────────────────────────────────────────┤
│           GM/T 密码行业标准                  │
│  （国家密码管理局 OSCCA 发布）               │
│  我国密码标准体系的核心和主体                 │
└─────────────────────────────────────────────┘

标准代号的含义

注意：GM/T 为推荐性行业标准（"T" 表示推荐），GB/T 为推荐性国家标准。两者均为推荐性标准，但在商用密码领域，通过密评（GM/T 0054）的要求，这些标准实际上具有强制性。

GM/T 密码行业标准体系

GM/T 标准按领域分为以下子类：

基础类标准（0001-0009）

SM 系列算法标准映射

应用类标准（0010-0099）

管理类标准（0100+）

GB/T 国家标准体系

GB/T 国家标准分为两类：

等同采用（IDT）ISO 标准

自主制定的 GB/T 标准

ISO/IEC 国际标准中的国密算法

SM2 的国际化

SM4 的国际化

SM3 的国际化

IETF 标准

GM/T 0028 安全等级体系

GM/T 0028-2014《密码模块安全技术要求》定义了 4 个安全等级：

• 安全功能：密码算法、密钥管理、随机数生成
• 安全保证：开发文档、测试、脆弱性评估
• 安全管理：生命周期管理、交付与运行

GM/T 0054 密评体系

GM/T 0054-2018《信息系统密码应用基本要求》是密评（商用密码应用安全性评估）的核心标准，与 GB/T 39786-2021 配套使用。

密评的四个技术层面

密评的等级

2025 年标准动态

根据 2025 年发布的《272 项密码标准全景图（2025版）》：

• 新增标准：33 项，主要集中在关基保护、后量子密码、数据安全领域
• 修订标准：18 项，包括 SM2、SM4、VPN 等核心标准的更新
• 废止标准：7 项，主要是过时的接口规范和检测要求
• ISO 采纳：SM2、SM3、SM4 均已通过 ISO/IEC 国际标准发布

产业数据：截至 2025 年，我国密码产业规模超过 500 亿元，商用密码产品种类超过 3000 款，密评机构超过 200 家。密码标准体系的不断完善为产业发展提供了坚实的规范基础。

标准选择指南

在实际项目中，如何选择适用的标准：

参考来源

• 国家密码管理局 (OSCCA)
• 全国信息安全标准化技术委员会 TC260
• 272项密码标准全景图（2025版）
• 国家标准全文公开系统
• ISO/IEC JTC 1/SC 27
• GM/T 0054-2018 信息系统密码应用基本要求
• GM/T 0028-2014 密码模块安全技术要求
• RFC 8998 — ShangMi (SM) Cipher Suites for TLS 1.3

相关实践

• 如需了解 GM/T 0054 在密评中的具体应用，请参阅《《网络数据安全风险评估办法》深度解读：密码学视角下的合规落地指南》
• 如需了解 GM/T 0028 安全等级划分，请参阅《GM/T 0028-2014 密码模块安全技术要求：安全等级划分、技术域解读与合规实践》
• 如需了解 GM/T 0034 在 CA 系统中的应用，请参阅《GM/T 0034-2014 基于SM2的证书认证系统密码及安全规范》