第三方電子合同服務(wù)平臺(tái)信息安全技術(shù)要求

4本文件規(guī)定了第三方電子合同服務(wù)平臺(tái)的基本要求以及訂立過(guò)程安全、存儲(chǔ)與應(yīng)用安全和安全運(yùn)GB/T20518-2018信息安全技術(shù)公鑰基礎(chǔ)設(shè)施GB/T32905信息安全技術(shù)GB/T32918.1—2016信息安全技術(shù)SM2橢圓曲線(xiàn)公鑰密碼算GB/T35273信息安全技術(shù)GB/T37988信息安全技術(shù)數(shù)據(jù)managementsystems-Requirements信息技術(shù)安全技術(shù)信息安全管理體系要求3.1術(shù)語(yǔ)和定義5數(shù)據(jù)電文中以電子形式所含、所附用于識(shí)別簽名人身份并表明簽名人電子認(rèn)證服務(wù)機(jī)構(gòu)electroniccertific第三方電子合同服務(wù)平臺(tái)third-partyserviceplatfomforelectro由國(guó)家認(rèn)可的,具有權(quán)威性,可信性和公正性的第三方證書(shū)認(rèn)證機(jī)構(gòu)(CA)進(jìn)行數(shù)字簽名的一個(gè)可信3.2縮略語(yǔ)DLP：數(shù)據(jù)防泄漏（DataleakagePreEV：擴(kuò)展認(rèn)證（ExtendedVa6OV：組織機(jī)構(gòu)認(rèn)證（OrganizationVPKCS：公鑰密碼標(biāo)準(zhǔn)（Public-KeyCryptographyStPKI：公鑰基礎(chǔ)設(shè)施（PublicKeyInfrasSSL：安全套接層（SecureSocSWA：簽名包裝攻擊（SignatureWraUSF：通用簽名偽造（UniversalSignatureF4.1資質(zhì)要求a)具備公安部信息安全等級(jí)保護(hù)三級(jí)或者更高級(jí)4.2真實(shí)身份標(biāo)識(shí)第三方電子合同服務(wù)平臺(tái)應(yīng)使用OV或EVSSL網(wǎng)站認(rèn)證證書(shū)等手段標(biāo)識(shí)網(wǎng)站的真實(shí)性，并有效保護(hù)4.3業(yè)務(wù)持續(xù)性保障b)建立或使用與其業(yè)務(wù)規(guī)模相匹配的災(zāi)備系統(tǒng)設(shè)施，系統(tǒng)的災(zāi)難恢復(fù)能力滿(mǎn)足GB/T20988—4.4通訊安全4.5安全評(píng)估與監(jiān)管第三方電子合同服務(wù)平臺(tái)應(yīng)依據(jù)“公通字[2007]第43號(hào)關(guān)于印發(fā)《信息安全4.6數(shù)據(jù)安全7e)具有隱私保護(hù)措施，確保用戶(hù)隱私安全，滿(mǎn)足GB/T35273要求。4.7電子簽名第三方電子合同服務(wù)平臺(tái)應(yīng)對(duì)電子簽名人提交的電子簽名進(jìn)行驗(yàn)證，以保證電子合同的完整性和4.8記錄留存第三方電子合同服務(wù)平臺(tái)應(yīng)記錄并保存簽訂人的合同記錄，留存期限應(yīng)為當(dāng)事人數(shù)字證書(shū)失效后55.1基本要求5.2實(shí)名核驗(yàn)方電子合同服務(wù)平臺(tái)可根據(jù)平臺(tái)自身的風(fēng)控制度自8門(mén)授權(quán)或認(rèn)可的數(shù)據(jù)庫(kù)等，并采用生物特征識(shí)別技術(shù)或其他安全有效的技術(shù)手段進(jìn)行人證合第三方電子合同服務(wù)平臺(tái)在對(duì)企業(yè)進(jìn)行實(shí)名核5.3數(shù)字證書(shū)申請(qǐng)?jiān)趥€(gè)人數(shù)字證書(shū)申請(qǐng)時(shí)對(duì)個(gè)人身份進(jìn)行鑒別時(shí)，應(yīng)符合JR/T0118—2015中有關(guān)個(gè)人有效身份證件9在企業(yè)數(shù)字證書(shū)申請(qǐng)時(shí)對(duì)機(jī)構(gòu)身份進(jìn)行鑒別時(shí)，應(yīng)符合JR/T0118—2015中有關(guān)企業(yè)有效身份證件5.4密碼算法及密碼產(chǎn)品第三方電子合同服務(wù)平臺(tái)采用的密碼模塊或密碼5.5時(shí)間戳5.6存證可靠性數(shù)據(jù)交換、儲(chǔ)存和顯示過(guò)程中發(fā)生的形式變化不b)能夠有效地表現(xiàn)所載內(nèi)容并能夠隨時(shí)調(diào)取查用；5.7數(shù)據(jù)安全技術(shù)第三方電子合同服務(wù)平臺(tái)系統(tǒng)數(shù)據(jù)安全，應(yīng)符合GB/T36.1存儲(chǔ)安全第三方電子合同服務(wù)平臺(tái)數(shù)據(jù)存儲(chǔ)安全應(yīng)符i)在安全等級(jí)可接受的環(huán)境中再次使用媒體之前應(yīng)清除媒體上已有的內(nèi)部存儲(chǔ)、緩存或其他可第三方電子合同服務(wù)平臺(tái)數(shù)據(jù)隱私保護(hù)安全應(yīng)符d)建立分布式處理過(guò)程中數(shù)據(jù)文件鑒別和訪問(wèn)用戶(hù)身份認(rèn)證的策略和規(guī)范，確保分布式處理數(shù)b)第三方電子合同服務(wù)平臺(tái)與仲裁機(jī)構(gòu)或司法鑒定機(jī)構(gòu)等電子證據(jù)機(jī)構(gòu)對(duì)接，如有司法舉證的d)電子簽名人委托他人代為實(shí)施簽名行為時(shí)，第三方電子合同服務(wù)由電子簽名人控制的證據(jù)，包括調(diào)用電子簽名制作數(shù)據(jù)的時(shí)間和方式b)原始日志信息和歸一化處理后的日志信息應(yīng)分別進(jìn)行存儲(chǔ)。原始日志信息存儲(chǔ)應(yīng)進(jìn)行防篡改簽名，以便可作為司法證據(jù)；已歸一化的日志應(yīng)進(jìn)行結(jié)構(gòu)化存儲(chǔ)，7.2密碼管理密碼算法應(yīng)支持國(guó)家密碼主管部門(mén)批準(zhǔn)使用的密碼算法，使用國(guó)家密碼主管部門(mén)認(rèn)證核準(zhǔn)的密碼7.3漏洞管理a)借助漏洞掃描工具對(duì)第三方電子合同服務(wù)平臺(tái)系統(tǒng)及其軟硬件系統(tǒng)存在的漏洞進(jìn)行掃描，以b)通過(guò)官方渠道及時(shí)了解第三方電子合同服務(wù)平臺(tái)系統(tǒng)及其支撐軟硬件系統(tǒng)存在的脆弱性。及第三方電子