1、I卫生系统电子认证服务体系系列规范- 卫生系统电子认证服务规范（试行）卫 生 部 办 公 厅2010 年 4 月 30 日II目 录1 范围 .12 服务总体要求 .12.1 证书分类 .12.2 证书产品 .12.3 服务模式 .12.4 服务内容 .12.5 平台接入 .23 证书业务服务 .23.1 证书申请 .23.2 证书发放 .23.3 证书更新 .23.4 证书吊销 .23.5 证书解锁 .23.6 密钥恢复 .33.7 证书查询 .34 技术支持服务 .34.1 服务方式 .34.2 服务内容 .35 服务的保障 .45.1 组织保障 .45.2 制度保障 .45.3 安全保障
2、 .4附录 (资料性附录) 名词解释 511 范围本规范依据卫生系统电子认证服务管理办法（试行），定义了参与卫生系统电子认证服务体系建设的管理方、使用方和提供方开展电子认证服务的工作机制，描述了卫生系统电子认证服务的总体要求，规范了电子认证服务机构需要遵循的证书业务服务和证书支持服务的要求，提出了服务的保障要求。本规范适用于卫生系统电子认证服务体系建设的管理方、使用方和提供方。2 服务总体要求2.1 证书分类根据卫生系统内的用户群体所处单位和担任的职能不同，数字证书用户包括卫生系统内部用户和外部用户。内部用户是指全国各级卫生行政部门和各级各类医疗卫生机构及其工作人员。外部用户是指涉及卫生业务的
3、企事业单位和社会公众。根据用户特点及应用需求，卫生系统数字证书分为内部用户证书和外部用户证书，共六类：（1） 内部机构证书是指为各级卫生行政部门和各级各类医疗卫生机构颁发的证书，代表卫生机构的身份。（2） 内部工作人员证书是指为各级卫生行政部门和各级各类医疗卫生机构的工作人员颁发的证书，代表个人的身份。（3） 内部设备证书是指各级卫生信息系统使用的服务器证书或 VPN 设备证书等。（4） 外部机构证书是指为涉及卫生业务的企事业单位颁发的代表法人身份的证书。（5） 外部个人证书是指为涉及卫生业务的社会公众颁发的代表自然人身份的证书。（6） 外部设备证书是指涉及卫生业务的外部用户所使用的服务器身份
4、证书或 VPN 设备证书等。2.2 证书产品电子认证服务机构交付给卫生系统用户的证书产品应包括：证书介质、证书初始保护口令、证书使用说明书以及证书管理工具等，具体要求如下：（1） 电子认证服务机构采用的证书介质应符合卫生系统数字证书介质技术规范。证书介质的质保期限不少于 1 年。（2） 电子认证服务机构要确保所发放的用户证书初始保护口令不同，并使用密码涂层或打印密码信封加以保护，用户领取证书时密码涂层或密码信封应完好无损。（3） 电子认证服务机构提供的证书使用说明书应明确告知用户安装、使用的方法和操作步骤。证书使用说明书可采用纸质材料，也可采用电子文件方式。（4） 电子认证服务机构应提供具备证
5、书密码修改和证书信息查看等功能，用于安装证书介质驱动和证书应用接口的证书管理工具。2.3 服务模式针对证书分类，证书服务模式如下：（1） 集中服务模式：在卫生系统内部，针对证书用户量不大的单位可采用集中服务模式，即在本单位设置证书管理员岗位，对本单位内部用户进行集中受理，负责用户资料收集和身份鉴别。（2） 多级服务模式：在卫生系统内部，针对证书用户量大、用户分布区域较广的单位可采用多级服务模式，即设置多级证书管理员，分别负责本级用户的资料收集及身份鉴别，以及下级单位信息的审核。 （3） 认证机构直接服务模式：针对卫生系统外部用户，由第三方电子认证服务机构按照相关法律法规和运行服务规范，直接为用
6、户提供电子认证服务。22.4 服务内容电子认证服务机构提供的服务包括证书业务服务和技术支持服务两部分内容。证书业务服务是指电子认证服务机构为卫生系统用户提供的证书申请、发放、更新、吊销、解锁、密钥恢复、证书查询等证书业务办理服务。技术支持服务是指电子认证服务机构在用户使用证书过程中，提供的各种方式的咨询、培训、应急等服务内容。2.5 平台接入电子认证服务机构在卫生系统开展服务前，须接入卫生部数字证书服务管理平台，遵循卫生系统数字证书服务管理平台的数据同步接口要求，实现数字证书和黑名单的同步。3 证书业务服务电子认证服务机构应结合卫生系统外部用户和内部用户的实际需求和具体情况，提供相应的证书业务
7、服务。本规范只针对面向内部用户的证书业务服务做出具体要求；面向外部用户提供的证书业务服务内容和标准，按照各电子认证服务机构在工业和信息化部备案的电子认证业务规则（CPS）执行。电子认证服务机构应为卫生系统用户提供证书申请、证书发放、证书更新、证书吊销、证书解锁、密钥恢复和证书查询等证书业务服务。3.1 证书申请为确保证书申请者身份的真实性和有效性，负责证书集中管理的用户单位应设立证书管理员岗位，负责提交本单位用户证书申请，具体包括:（1） 证书管理员按照约定的格式整理用户申请信息，核实用户申请信息的真实性。（2） 证书管理员将证书申请信息报送相关领导审批确认。（3） 证书管理员通过证书服务平台
8、向电子认证服务机构提交证书申请信息。证书管理员须使用专用证书对所提交的证书申请信息实施电子签名。3.2 证书发放电子认证服务机构在接收证书申请后，应在五个工作日内完成证书产品交付。集中服务模式下的证书发放流程如下：（1） 信息审核：电子认证服务机构审核用户提交的证书申请信息；（2） 证书制作：电子认证服务机构根据通过审核的用户证书申请信息制作证书，并将证书产品交付用户单位的证书管理员；（3） 证书分发：用户单位的证书管理员将证书产品分发给最终用户。多级服务模式下证书发放流程与集中服务模式下的证书发放流程基本相同，仅增加了用户单位上级审核环节。3.3 证书更新用户证书即将到期时，电子认证服务机构
9、应为用户重新签发新的证书。证书更新流程如下：（1） 申请更新：电子认证服务机构应在证书到期前 30 天内提醒用户办理证书更新业务。用户单位的证书管理员为本单位用户提交更新申请。（2） 确认更新：电子认证服务机构在确认更新申请后，授权并通知用户下载新的证书。 （3） 下载新证书：证书用户通过证书服务平台下载新证书。电子认证服务机构收到更新申请后，应在二个工作日内完成更新业务的确认操作，并保证用户可实时下载新证书。3.4 证书吊销当密钥遗失、介质损坏、证书信息变更、证书用户证件失效时，电子认证服务机构应将证书及时吊销并更新黑名单（CRL） 。电子认证服务机构应在二个工作日内完成吊销业务的办理，并实
10、时更新黑名单（CRL） ，按照发布策略将黑名单发布到指定的卫生信息系统。33.5 证书解锁用户遗忘证书保护口令，或多次输入错误的保护口令导致证书介质锁死时，电子认证服务机构应提供证书解锁服务，为用户重新设置证书保护口令。电子认证服务机构应在二个工作日内完成解锁服务。3.6 密钥恢复电子认证服务机构应提供加密密钥的恢复服务。电子认证服务机构在收到密钥恢复申请后，应在五个工作日内完成密钥恢复业务的办理。司法取证需要进行密钥恢复时，电子认证服务机构应按照国家有关规定的程序处理。3.7 证书查询电子认证服务机构应为用户和卫生信息系统提供证书和黑名单的查询与下载服务。电子认证服务机构应保障证书信息安全，
11、查询和下载权限应经用户管理单位审定。4 技术支持服务电子认证服务机构应向卫生系统用户通过热线电话、网站、现场等服务方式，提供使用帮助、应用咨询培训、应急保障和应用集成支持等一系列技术支持服务。4.1 服务方式（1） 热线电话方式电子认证服务机构应建立呼叫中心，通过热线电话面向卫生系统证书用户提供所有与电子认证服务有关的使用帮助服务。呼叫中心电话座席数应不少于 10 个。呼叫中心热线支持的服务时间为 7*24小时。（2） 网站方式电子认证服务机构应在互联网上建立客户服务网站，面向全国卫生系统证书用户提供信息查询、软件下载、常见问题解答和证书业务办理流程说明等技术支持服务。客户服务网站应保障其自身
12、安全性和服务稳定性。（3） 现场方式根据用户的实际需求，电子认证服务机构应提供技术支持工程师上门现场为用户处理数字证书应用中存在的问题。4.2 服务内容（1） 使用帮助服务电子认证服务机构应提供解决用户在数字证书的申请、更新和解锁等环节中遇到的各类业务办理问题，以及在证书登录、证书加密和数字签名等环节中遇到的各类证书应用问题的帮助服务。（2） 咨询培训服务电子认证服务机构应对用户单位提供证书集成方案咨询，以及包括电子认证服务相关政策法规、技术规范和电子认证服务基础性技术知识等电子认证服务方面的培训。（3） 应急保障服务在发生重大事件或特殊应急事件时，电子认证服务机构根据用户单位的要求而临时提供
13、的超越常规要求的应急保障服务。电子认证服务机构应制定应急服务预案，建立应急保障措施和应急工作机制。在卫生信息系统出现紧急事件或重大事件时，根据卫生系统管理部门和用户单位的要求，及时提供现场方式的应急保障工作，确保紧急事件或重大事件中电子认证服务的安全性、可靠性和有效性。（4） 应用集成支持服务4电子认证服务机构应提供针对卫生信息系统的电子认证安全需求分析、电子认证法律法规、技术体系的咨询，设计满足业务要求的电子认证及电子签名服务方案；应提供面向多种应用环境的证书应用接口程序供应用系统集成和调用。 5 服务的保障5.1 组织保障电子认证服务机构应建立配套的人员体系，提供证书业务服务和技术支持服务
14、。卫生系统电子认证服务管理方负责指导、推进卫生信息系统开展安全、规范的电子认证服务应用，并对各电子认证服务机构的服务质量及开展情况进行定期检查。5.2 制度保障电子认证服务机构应建立针对人员、物理环境、软件系统和运营服务等制订完善的管理制度，采取有效的运行保障措施，从制度和流程上规范电子认证服务。卫生系统电子认证服务管理方设立用户投诉受理制度，受理用户对电子认证服务机构的投诉。5.3 安全保障电子认证服务机构应加强安全保障措施，保障用户信息安全，承担保密责任，避免敏感信息泄露；保障自身物理、网络、系统及人员的安全可信；保障证书业务稳定性和连续性；建立备份及审计机制，确保电子认证服务的应急恢复及
15、责任追溯。 5附录(资料性附录)名词解释1、数字证书数字证书（Digital Certificate） ，是由权威的电子认证服务机构进行数字签名的，包含拥有者信息、拥有者公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。2、黑名单黑名单，即证书撤销列表（Certificate Revocation List） ，简称 CRL,是由权威电子认证服务机构签发的，含有被作废证书序列号的数字文件。3、CA 系统证书认证系统( Certificate Authentication System)，简称 CA 系统，是对数字证书进行证书生命周期全过程管理的安全系统。4、证书服务平台证书服务平台（Certificate Serving System） ，是电子认证服务机构面向用户提供证书业务服务的信息系统。该平台的主要功能至少包括：证书申请办理、证书更新、证书吊销、证书介质解锁、密钥恢复、证书信息发布和证书状态查询等功能。5、电子认证业务规则电子认证业务规则(Certification Practice Statement),简称 CPS，是电子认证服务机构对所提供的认证及相关业务的全面描述，主要包括证书签发、更新、吊销、密钥恢复、管理中所采纳的业务实践规则的声明。
