本标准规定了电子认证服务机构在业务运营、认证系统运行、物理环境与设施安全、组织与人员管理、文档、记录、与介质管理、业务连续性、审计与改进等多方面应遵循的要求。
本标准适用于在开放互联环境中提供数字证书服务的电子认证服务机构的建设、管理及评估。
对于在封闭环境中(如在特定团体或某个行业内)运行的电子认证服务机构可根据自身安全风险评估以及国家有关的法律法规有选择性地参考本标准。国家有关的测评机构、监管部门也可以将本标准作为测评和监管的依据。
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 2
5 电子认证服务机构运营的业务 2
5.1 用户证书服务 2
5.2 用户证书密钥服务 4
5.3 认证系统功能要求 5
5.4 认证业务流程要求 5
6 业务运营中的风险 6
7 认证系统运行要求 6
7.1 网络系统安全 6
7.2 主机系统安全 6
7.3 系统冗余与备份 7
7.4 系统运营维护安全管理 8
7.5 密码设备安全管理 9
7.6 CA 密钥和证书管理 10
8 物理环境与设施 11
8.1 运营场地 11
8.2 运营区域划分及要求 11
8.3 安全监控系统 12
8.4 环境保护与控制设施 13
8.5 支撑设施 14
8.6 场地访问安全管理 14
8.7 场地监控安全管理 14
8.8 注册机构场地安全 14
9 组织与人员管理 14
9.1 职能与角色设置 14
9.2 安全组织 15
9.3 人员安全管理 16
10 文档、记录与介质管理 16
10.1 文档管理 16
10.2 记录管理 18
10.3 介质管理 18
11 业务连续性要求 19
11.1 业务连续性计划 19
11.2 应急处理预案 19
11.3 灾难恢复计划 19
11.4 灾备中心 20
12 审计与改进 20
12.1 审计 20
12.2 改进 21
附录A (资料性附录) 业务运营风险举例 22
