GB/T 28447-2012信息安全技術(shù)電子認(rèn)證服務(wù)機(jī)構(gòu)運(yùn)營(yíng)管理規(guī)范

ICS35020

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T28447—2012

信息安全技術(shù)

電子認(rèn)證服務(wù)機(jī)構(gòu)運(yùn)營(yíng)管理規(guī)范

Informationsecuritytechnology—Specificationontheoperationmanagementofa

certificateauthority

2012-06-29發(fā)布2012-10-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T28447—2012

目次

前言…………………………

Ⅲ

引言…………………………

Ⅳ

范圍………………………

11

規(guī)范性引用文件…………………………

21

術(shù)語和定義………………

31

縮略語……………………

42

電子認(rèn)證服務(wù)機(jī)構(gòu)運(yùn)營(yíng)的業(yè)務(wù)…………

52

用戶證書服務(wù)………………………

5.12

用戶證書密鑰服務(wù)…………………

5.24

認(rèn)證系統(tǒng)功能要求…………………

5.35

認(rèn)證業(yè)務(wù)流程要求…………………

5.45

業(yè)務(wù)運(yùn)營(yíng)中的風(fēng)險(xiǎn)………………………

66

認(rèn)證系統(tǒng)運(yùn)行要求………………………

76

網(wǎng)絡(luò)系統(tǒng)安全………………………

7.16

主機(jī)系統(tǒng)安全………………………

7.26

系統(tǒng)冗余與備份……………………

7.37

系統(tǒng)運(yùn)營(yíng)維護(hù)安全管理……………

7.48

密碼設(shè)備安全管理…………………

7.59

密鑰和證書管理………………

7.6CA10

物理環(huán)境與設(shè)施…………………………

811

運(yùn)營(yíng)場(chǎng)地……………

8.111

運(yùn)營(yíng)區(qū)域劃分及要求………………

8.211

安全監(jiān)控系統(tǒng)………………………

8.312

環(huán)境保護(hù)與控制設(shè)施………………

8.413

支撐設(shè)施……………

8.514

場(chǎng)地訪問安全管理…………………

8.614

場(chǎng)地監(jiān)控安全管理…………………

8.714

注冊(cè)機(jī)構(gòu)場(chǎng)地安全…………………

8.814

組織與人員管理…………………………

914

職能與角色設(shè)置……………………

9.114

安全組織……………

9.215

人員安全管理………………………

9.316

文檔記錄與介質(zhì)管理…………………

10、16

文檔管理…………………………

10.116

記錄管理…………………………

10.218

Ⅰ

GB/T28447—2012

介質(zhì)管理…………………………

10.318

業(yè)務(wù)連續(xù)性要求………………………

1119

業(yè)務(wù)連續(xù)性計(jì)劃…………………

11.119

應(yīng)急處理預(yù)案……………………

11.219

災(zāi)難恢復(fù)計(jì)劃……………………

11.319

災(zāi)備中心…………………………

11.420

審計(jì)與改進(jìn)……………

1220

審計(jì)………………

12.120

改進(jìn)………………

12.221

附錄資料性附錄業(yè)務(wù)運(yùn)營(yíng)風(fēng)險(xiǎn)舉例………………

A()22

Ⅱ

GB/T28447—2012

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)主要起草單位北京天威誠(chéng)信電子商務(wù)服務(wù)有限公司頤信科技有限公司

:、。

本標(biāo)準(zhǔn)主要起草人唐志紅李延昭魏一才徐虎龍毅宏劉旭許蕾趙宏科張海松郭宏杰

:、、、、、、、、、。

Ⅲ

GB/T28447—2012

引言

本標(biāo)準(zhǔn)是為貫徹執(zhí)行中華人民共和國(guó)電子簽名法以下簡(jiǎn)稱電子簽名法規(guī)范電子認(rèn)證服務(wù)

《》(《》),

機(jī)構(gòu)的運(yùn)營(yíng)管理而制定

。

本標(biāo)準(zhǔn)覆蓋了電子認(rèn)證服務(wù)機(jī)構(gòu)運(yùn)營(yíng)管理的主要方面提供公共認(rèn)證服務(wù)的電子認(rèn)證服務(wù)機(jī)構(gòu)應(yīng)

,

按本標(biāo)準(zhǔn)的規(guī)定開展相關(guān)的工作本標(biāo)準(zhǔn)涉及面多但對(duì)每方面只做重點(diǎn)的關(guān)鍵的必要的要點(diǎn)性規(guī)

。,、、

定確保電子認(rèn)證服務(wù)機(jī)構(gòu)執(zhí)行本標(biāo)準(zhǔn)時(shí)在具體技術(shù)上策略上和方案上有很大的靈活性比如對(duì)于

,、。,

認(rèn)證系統(tǒng)安全方面本標(biāo)準(zhǔn)只規(guī)定需要采用的安全防護(hù)技術(shù)和手段及需要考慮的關(guān)鍵點(diǎn)對(duì)具體實(shí)現(xiàn)技

,,

術(shù)并未做規(guī)定

。

Ⅳ

GB/T28447—2012

信息安全技術(shù)

電子認(rèn)證服務(wù)機(jī)構(gòu)運(yùn)營(yíng)管理規(guī)范

1范圍

本標(biāo)準(zhǔn)規(guī)定了電子認(rèn)證服務(wù)機(jī)構(gòu)在業(yè)務(wù)運(yùn)營(yíng)認(rèn)證系統(tǒng)運(yùn)行物理環(huán)境與設(shè)施安全組織與人員管

、、、

理文檔記錄與介質(zhì)管理業(yè)務(wù)連續(xù)性審計(jì)與改進(jìn)等多方面應(yīng)遵循的要求

、、、、、。

本標(biāo)準(zhǔn)適用于在開放互聯(lián)環(huán)境中提供數(shù)字證書服務(wù)的電子認(rèn)證服務(wù)機(jī)構(gòu)的建設(shè)管理及評(píng)估

、。

對(duì)于在封閉環(huán)境中如在特定團(tuán)體或某個(gè)行業(yè)內(nèi)運(yùn)行的電子認(rèn)證服務(wù)機(jī)構(gòu)可根據(jù)自身安全風(fēng)險(xiǎn)評(píng)

()

估以及國(guó)家有關(guān)的法律法規(guī)有選擇性地參考本標(biāo)準(zhǔn)國(guó)家有關(guān)的測(cè)評(píng)機(jī)構(gòu)監(jiān)管部門也可以將本標(biāo)準(zhǔn)

。、

作為測(cè)評(píng)和監(jiān)管的依據(jù)

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

計(jì)算機(jī)場(chǎng)地通用規(guī)范

GB/T2887

計(jì)算機(jī)場(chǎng)地安全要求

GB/T9361

信息安全技術(shù)證書認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范

GB/T25056—2010

信息安全技術(shù)公鑰基礎(chǔ)設(shè)施證書策略與認(rèn)證業(yè)務(wù)聲明框架

GB/T26855—2011

高層民用建筑設(shè)計(jì)防火規(guī)范

GB50045

建筑物防雷設(shè)計(jì)規(guī)范