注册机构运营管理规范

字号:

中金金融认证中心有限公司

注册机构运营管理规范

第一章 总则

  第一条 为规范中金金融认证中心有限公司(即中国金融认证中心,以下简称CFCA)的注册机构 (Registration Authority,以下简称RA)运营管理,防范电子认证服务的合规风险,参照《中华人民共和国电子签名法》、《电子认证服务密码管理办法》,《电子认证服务管理办法》、《电子认证业务规则规范(试行)》等相关法律法规要求,制定本管理规范。

  第二条 本规范对RA的系统安全管理、数字证书生命周期管理、用户信息保护、业务合规审计等方面进行规范。任何具有CFCA数字证书申请功能的信息系统统称为RA系统。运行RA系统的机构与仅承担CFCA数字证书用户身份审核的机构,均作为CFCA注册机构,遵照该规范。

第二章 RA基本要求

  第三条 作为CFCA的RA,应是合法合规运营主体。

  第四条 具有了解电子认证服务相关法律法规的服务人员或者了解数字证书相关技术及规范的技术人员。

  第五条 近三年财务状况稳定,无负面舆情,且具有良好的征信记录。

  第六条 RA应与CFCA签署与数字证书服务相关的协议,遵照CFCA公开发布的电子认证业务规则。

  第七条 RA应具备基本的受理条件,依照CFCA电子认证业务规则编制与本RA业务相关的操作规程。

  第八条 RA系统原则上应使用CFCA提供的产品。采用线上方式实现数字证书用户身份审核功能的,原则上应采用CFCA提供的身份认证服务,未使用CFCA身份认证服务的,应达到实名、真实、有效以及意愿性等要求。

第三章 RA安全管理要求

  第九条 RA应具有计算机系统安全运行的物理环境,且最低应满足以下条件:

  (1)RA系统所在机房应符合国家对机房建设、验收、运行要求的相关标准;

  (2)机房应具备完善的设备管理制度,提供稳定可靠的主供电电源及备用电源以保证系统不间断运行,设置火灾报警装置,配备灭火器等消防设施。

  第十条 RA应制定完备的人员访问控制管理要求,配备的门禁系统应记录所有人员的进出时间并具备超时报警功能,机房环境配备可以实时记录所有人员及设备动态的监控录像系统。

第四章 RA网络及证书密钥管理要求

  第十一条 RA应制定网络访问策略,采取防火墙、病毒防治、漏洞扫描、入侵监测、数据备份、灾难恢复等安全防护措施,定期进行渗透测试、漏洞扫描等工作,保障网络、主机系统、应用系统及数据库运行的安全。RA系统与CA系统之间、RA系统与业务系统之间的通信,应采取通信信道加密、使用安全通信传输协议等安全措施保障通信安全。

  第十二条 RA应采取有效的控制措施及保管措施,保证RA系统使用的证书密钥在产生、存储、使用、备份、恢复、销毁等方面的安全。进行密钥操作时,必须拥有对应的操作权限或者授权策略控制,不得在未经授权时随意进行操作。针对RA系统所涉及的证书管理要求如下:

  1)RA系统所涉及的数字证书包含了通信证书和管理员证书,所有数字证书应由明确的被授权人员管理,被授权人员负责证书密钥的安全保管以及到期管理等。

  2)原则上证书密钥的产生和使用应在硬件载体中进行,所采用的硬件应具有商用密码产品型号证书,且通过CFCA兼容性测试。产品选型可参照CFCA官网公布的《CFCA数字证书设备认证测试列表》。禁止RA未经数字证书用户明确授权代替用户产生、保管、使用用户证书私钥。

  3)数字证书的管理口令长度应为8个字符以上,并由数字、字母、特殊符号中至少两种构成,并定期更新。

  4)数字证书最长有效期为5年。为保障RA的业务连续性,CFCA可根据RA运行稳定性等情况,适当调整RA通信证书有效期。

  第十三条 RA应对管理员的帐号及普通用户帐号进行严格分类管理。

第五章 RA系统管理要求

  第十四条 RA应对应用系统的管理、数据库管理制定有效的管理措施,管理措施中应至少包含安全监控、安全预警、日志管理、备份策略、配置管理等方面的内容。

  第十五条 RA应对使用的操作系统制定安装配置规范并及时安装补丁,应对补丁安装过程进行记录。

  第十六条 对RA的数据库及系统进行操作时,应制定实施计划及相关说明文档,记录所有操作情况,包括但不限于授权、变更操作等。

  第十七条 RA应制订应急处理流程与措施,保证具有健全的应急处理机制,根据事件的紧急程度制订相应的响应措施;在紧急事件应急处置后,RA机构应评估已有风险防范措施的有效性并加以改进。

第六章 RA业务受理要求

  第十八条 RA承担收集证书用户申请信息并对申请信息进行鉴别的职责。

  第十九条 无论RA采取何种方式对数字证书用户申请信息进行审核,应达到申请信息真实性、有效性、意愿性的目标。RA应使数字证书用户知晓其与CFCA的关系,以及证书使用的法律效力等相关责任与义务,对用户进行适当的安全教育或者提示。

  第二十条 RA应依照CFCA电子认证服务业务规则制定鉴别流程及规范,有义务对证书用户申请信息、鉴别过程的数据、鉴别结果等进行防篡改保护并存储。

  第二十一条 针对采用CFCA预植证书的RA,必须对预植证书作为空白凭证进行管理,只有在对用户身份进行严格鉴别后,RA将用户官方证件上的真实身份信息递交给CFCA后,预植证书方可交与用户激活使用。处于未绑定激活状态的预植证书,将不具有法律保障,CFCA有权拒绝对未合格绑定的预植证书提供相应的法律服务与支持。RA应告知用户修改智能密码钥匙的初始密码。个人信息只能用于绑定个人预植证书,企业信息只能用于绑定企业预植证书。

  第二十二条 RA应向证书用户提供可靠的证书接受方式。当RA机构提供智能卡或智能密码钥匙给证书用户用于下载证书时,智能卡及智能密码钥匙应当获得国家密码管理局的审批,并通过CFCA兼容性测试。RA应建立有效的证书介质管理制度,介质内不应含有未经权威部门检测的可执行程序或者代码。

  第二十三条 证书更新通常指密钥和证书同时更新,RA应采用密钥和证书同时更新。RA应对证书更新申请进行审核,采用在线证书更新时,应对原证书、申请的签名信息、身份信息进行验证和鉴别,已过期的证书不能进行在线更新,已吊销的证书不能进行任何操作。

  第二十四条 当用户申请证书吊销时,RA应当在接到证书持有者的吊销请求后,对其身份进行鉴别并确认其为证书持有者本人或得到了证书持有者的授权。

  第二十五条 原则上在申请者提交资料齐全且符合要求的情况下,RA应在1天内完成证书申请(包括新申请、更新、吊销等)处理。对于证书吊销申请,RA应在24小时内,向CA提出吊销申请,并在证书吊销后,通过有效方式及时告知证书持有者吊销结果。

  第二十六条 RA机构应保证证书申请者和持有者信息不被篡改、隐私信息不被泄漏;只有被授权者才能接触RA相关敏感数据及设备。

第七章 数据安全保管要求

  第二十七条 机房人员访问记录、授权记录、门禁访问记录、机房环境监控记录、系统日志、应至少保留1年,以便进行安全审计。

  第二十八条 用户证书申请材料、鉴别过程日志、鉴别结果等数据保存期限不低于证书失效后5年。与证书相关的审计日志(RA数据库)至少应保存到证书失效后10年。

  第二十九条 RA应对存储及备份介质建立管理制度,确保以上所有数据安全并建立有效的授权访问机制,非授权人员不得访问。

第八章 审计及罚则

  第三十条 RA应建立有效的内部审计制度,对证书业务管理、系统运行、安全控制、信息安全管理体系运行情况等进行有效性检查和日常管理。CFCA有权对RA的运行进行不定期审计。

  第三十一条 CFCA根据RA上线时间及证书发放情况安排审计计划。当CFCA发起对某一RA进行审计时,将以电子邮件或其他书面方式通知RA,RA需指派相应负责人员配合CFCA的审计工作。

  第三十二条 CFCA审计工作内容包括证书申请数量统计、证书发放范围、RA业务流程、证书周期管理、身份鉴别效果、证书应用情况等。审计工作方式包括但不限于远程查看、现场访谈及检查等。

  第三十三条 当RA被认为存在重大安全及合规问题时,CFCA有权暂停部分或全部RA功能,RA应在CFCA要求的限期内完成整改,并通知CFCA复查。CFCA复查通过后方可恢复暂停的功能。对于无法在限期内完成整改的,或者拒不整改的,CFCA有权解除与RA的合作关系,关闭所有功能接口,停止包括签名验签服务在内的所有支持,并将其违规情况公示在CFCA官网。

第九章 RA下线流程

  第三十四条 当RA无法继续履行注册机构职责时,需向CFCA以书面形式正式提出RA下线请求。如CFCA审计发现RA不具备履行相关职责的能力后,CFCA可向RA机构发出书面下线通知。

  第三十五条 RA下线应至少执行下面工作:

  (1) 对RA的证书发放情况发起下线审计,具体审计内容参照第八章;

  (2) 统计RA接入CA的功能及使用情况,RA需配合CFCA进行数据及证书相关信息移交工作;

  (3) 由CFCA商务人员与RA进行费用清算工作。

  第三十六条 以上工作完成后,CFCA将吊销该RA的通信证书及管理员证书,并关闭该RA的所有功能。

  第三十七条 RA下线后,证书管理职能由CFCA直接负责或指定适当的注册机构承担,对于该RA存续期间发生的问题证书,CFCA保留追责权利。

第十章 其他

  第三十八条 本规范如有未尽事宜,由CFCA补充或修改。根据国家法律法规作出的调整,恕不另行通知。

  第三十九条 本规范自公布之日起实行。