电子社会保障卡服务渠道接入安全评估

字号：大中小

1 电子社保卡渠道接入安全评估政策要求

依据人力资源社会保障部网络安全和信息化领导小组办公室发布的《电子社会保障卡服务渠道管理办法（试行）》和《电子社会保障卡服务渠道接入安全技术规范（v1.0版）》（人社网信函（2020）22号）的要求，电子社保卡渠道申请接入全国社保卡身份认证与支付结算服务平台前，需要完成安全检测。

根据文件要求，以下接入渠道需要完成电子社保卡渠道接入安全评估工作：

（一）人社渠道。各级人力资源社会保障部门（以下简称人社部门）开办的渠道。

（二）政府渠道。除人社部门外，其他各级政府部门开办的渠道。

（三）全国签约渠道。与人力资源社会保障部签署《社会保障卡创新应用服务合作协议》的单位开办的渠道。

（四）银行渠道。除与人力资源社会保障部签署《社会保障卡创新应用服务合作协议》的银行外，其他银行开办的渠道。

（五）医药渠道。医院、药店开办的渠道。

（六）社会渠道。不属于前五类的其他渠道。

2 评估内容

根据《电子社会保障卡服务渠道管理办法（试行）》和《电子社会保障卡服务渠道接入安全技术规范（v1.0版）》（人社网信函（2020）22号）的要求，结合被测渠道的具体情况，对渠道的基本功能安全、服务渠道安全、身份认证安全、数据安全、通信安全、密码算法安全、接口安全、密钥安全、业务处理环境管理、服务渠道管理等方面进行的安全测试和管控能力的考察与评价。

安全检测范围	安全检测子项
基本安全要求	(一) 注册和身份鉴别功能 (二) 登录功能 (三) 信息展示 (四) 身份验证 (五) 用户退出
服务渠道安全	(一) 系统安全 (二) 第三方组件安全（客户端） (三) SDK版本安全（客户端） (四) H5页面安全（客户端） (五) 会话有效期（客户端） (六) 抗攻击能力（客户端） (七) 抗攻击能力（服务端） (八) 环境校验（客户端） (九) 下载更新安全（客户端） (十) 用户个人信息保护 (十一) 审计安全
身份认证安全	(一) 基本要求 (二) 生物特征识别 (三) 图形验证码 (四) 短信验证码 (五) 手势密码 (六) 双因素认证 (七) 密码安全 (八) 失败处理
数据安全	(一) 信息输入安全（客户端） (二) 信息传输安全 (三) 信息使用安全 (四) 信息存储安全（客户端） (五) 敏感数据保护（服务端） (六) 数据删除安全（客户端）
通信安全	(一) 安全通道和协议 (二) 双向认证
密码算法安全	(一) 密码算法 (二) 加密算法安全 (三) 密钥加密或解密 (四) 安全散列（消息摘要） (五) 数字签名
接口安全	(一) 接口文件保护 (二) 运行环境物理信息和地理位置信息授权 (三) 二维码验码接口（服务端） (四) 二维码认证增强接口（服务端） (五) 签名方法（服务端） (六) 接口授权调用和校验（客户端） (七) H5签名串传入等接口（客户端）
密钥管理	(一) 加密设施（服务端） (二) 存储密钥（客户端） (三) 密钥管理 (四) 密钥全生命周期安全（服务端）
业务处理环境管理	(一) 业务处理环境管理
服务渠道管理	(一) 软件的开发 (二) 软件的测试 (三) 软件的发布 (四) 软件的升级维护