3.7.5.商标的识别、鉴别和角色

订户在申请证书时，不得使用可能侵犯他人知识产权的内容作为订户信息用于申请证书。CA机构在受理证书申请时，查验记载在证书主体甄别名中的订户信息真实性，但并不验证该信息是否包含知识产权或处于知识产权纠纷中。

当发生有关知识产权的争议纠纷时，本CA机构有权拒绝相应的证书申请或撤销已发放的证书。

4.证书生存周期操作要求

4.1.通用要求

CA机构遵循《电子认证证书策略》和《电子认证业务规则》所规定的要求，明确自身与订户在证书全生存周期中的责任，确保证书申请、签发、使用、撤销等环节合规有序。

● CA机构职责：

a.承担数字证书注册通道的建立、运营和维护责任，搭建安全、稳定、可追溯且符合相关安全标准的注册通道；

b.承担与证书订户签订电子认证服务协议的责任；

c.承担妥善记录并保存证书生存周期相关信息的责任，对订户申请资料、身份查验记录、意愿确认记录、服务协议、证书签发及变更记录等进行规范归档保管，确保信息的完整性、保密性和可追溯性。

● 订户职责：

承担在证书申请过程中提供准确、完整、真实信息的责任，不得提供虚假信息、冒用他人身份信息或隐瞒重要信息。信息发生变更时需及时书面通知CA机构更新，自行承担因信息不实、不完整导致的相关风险和损失。

4.2.证书申请

4.2.1.证书申请实体

证书申请实体包括个人、法人和其他组织机构(包括事业单位、企业单位、社会团体和人民团体等)。

4.2.2.执行识别与查验程序

CA机构按照本《电子认证业务规则》所规定的程序对订户的身份进行识别与查验。具体的查验程序详见本CPS§3身份标识与查验。

4.2.3.证书申请批准和拒绝

CA机构按照本《电子认证业务规则》相关规定，完成订户告知、身份确认、

4.4.证书接受

4.4.1.构成接受证书的行为

CA机构交付证书、订户接受证书的方式如下：

a) CA机构将数字证书当面、寄送或电子方式交付订户，订户从获得数字证书起，就视为已经接受证书；

b) CA机构通过网络下载方式交付证书的，证书下载的系统记录表明订户已经接受证书；

c) 对于云端协同证书，CA机构将证书发送到终端模块或云平台的方式交付证书，订户未提出异议即视为订户已经接受证书；

d) 将证书应用于对应的电子签名或其他密码运算时起，就视为订户已经接受证书；

e) CA机构也可以通过其他安全的方式交付数字证书。

订户如果拒绝接受证书，应当在CA机构交付证书后两个工作日内提出异议，视为订户拒绝接受证书。

CA机构保存订户接受证书的记录，包括接受时间、方式、操作人等信息。

4.4.2.电子认证服务机构对证书的发布

CA机构在签发完数字证书后，采用数据库或目录服务方式，实现数字证书的存储与发布。对已发布的数字证书，CA机构提供证书目录信息查询服务。

查询方式包括但不限于用户在线自助或人工受理等。查询申请用户需要提供必要的查询条件信息，包括但不限于序列号、证书主体信息、办理渠道、证书链、有效期。对于订户查询，CA机构核实身份后提供查询服务。对于其他实体查询，为保护证书订户的数据安全和隐私保护，CA机构只承诺对其他实体提交的证书进行核实。

4.4.3.电子认证服务机构在颁发证书时对其他实体的通告

CA机构采用数据库或目录服务方式对证书进行发布，其他实体可以通过CA机构提供的查询方式自行查询。

4.9.3.撤销请求的流程

CA机构通过热线电话、在线客服等渠道，向相关方提供证书撤销流程咨询服务，并记录影响证书或私钥安全的事件（如密钥遗失、泄露等）。

证书撤销流程如下：

a)证书撤销的申请人到CA机构现场或在线提交证书撤销申请，并注明撤销原因；

b) CA机构审核申请人的身份和权限，以及证书撤销理由、证书是否在有效期内等信息，决定撤销证书或拒绝撤销证书；

c) CA机构撤销订户证书后，订户证书在24小时内进入CRL，向外界公布。

强制撤销是指当CA机构确认发生本CPS§4.9.1b）强制撤销证书情形时，对订户证书进行强制撤销，撤销后将通过官网公告或其他安全可行的方式通告订户。

4.9.4.撤销请求宽限期

如果出现私钥泄露等事件，撤销请求必须在发现泄露或有泄露嫌疑8小时内提出。其他撤销原因的撤销请求必须在48小时内提出。

4.9.5.电子认证服务机构处理撤销请求的时限

CA机构接到撤销请求后，在1个工作日内，按照本CPS§4.9.3的流程处理证书撤销请求。

CA机构每日签发一次CRL，并将最新的CRL发布到目录服务器指定的位置，供请求者查询下载。

CRL的结构如下：

a) 版本号(version)

b) 签名算法标识符(signature)

c) 颁发者名称(issuer)

d) 本次更新(this update)

e) 下次更新(next update)

f) 用户证书序列号/撤销日期(user certificate/revocation date)

g) 签名算法(signature algorithm)

h) 签名(signature value)

4.10.2.服务可用性

CA机构提供7X24小时的证书状态查询服务，服务可用性指标不低于99.95%。在服务不可用时，依赖方可通过热线电话或邮件等方式向CA机构申请查询。

4.10.3.可选特征

根据请求者的要求，在请求者支付相关费用后，CA机构可以提供以下通知服务：

a) 收到证书主题的电子签名消息的接受者要求，确认该证书是否已被撤销；

b) 提供通知服务，当指定的证书被撤销时，CA机构将通知请求该项服务的请求者。

4.11.停止使用认证服务

以下三种情形，订户应当停止使用认证服务：

a）证书有效期已经过期，且订户未重新申请证书，或证书在有效期内被撤销时；

b）证书在有效期内，订户主动申请终止认证服务；

c）法律法规规定的订户应当停止使用认证服务的其他情形。

对于b）和c）的情形，CA机构将根据订户申请，或按照本CPS的规定，在1个工作日内以证书撤销方式处理。

由CA机构提供密钥托管服务的，停止使用认证服务后，CA机构应当安全销毁订户签名私钥，并完整记录操作过程。

对于相关认证信息中涉及用户的数据，CA机构将继续依法保存，保存期限在证书失效后不少于5年。当依据法律规定应当销毁用户数据时，CA机构应在销毁前进行安全审计，形成审计报告并存档备查。如因各种情况，CA机构需要终止运营时，数据将按要求转移交给承接单位。

停止使用认证服务后，CA机构按法律规定和双方协议约定，继续拥有保存订户认证信息相关数据的权利，并履行安全、妥善保管的义务。

在停止使用认证服务前，订户已经使用证书及签名私钥实施的签名行为，其效力与法律后果不因停止使用认证服务而终止。

5.认证机构设施、管理和操作控制

5.1.物理控制

5.1.1.场地位置与建筑

a) CA机房的建筑物和机房建设按照下列标准实施：

1) GB 50174-93：《电子计算机机房设计规范》

2) GB 2887-89：《计算站场地技术条件》

3) GB 9361-88：《计算站场地安全要求》

4) GB 6650-1986：《计算机机房用活动地板技术条件》

5) GB 50034-1992：《工业企业照明设计标准》

6) GB 5054-95：《低压配电装置及线路设计规范》

7) GBJ 19-87：《采暖通风与空气调节设计规范》

8) GB 157：《建筑防雷设计规范》

9) GBJ 79-85：《工业企业通信接地设计规范》

b) CA机房位于北京市西城区裕民东路3号京版大厦一层，实行分层访问的安全管理：

CA机房依据GB/T 25056《信息安全技术 证书认证系统密码及其相关安全技术规范》要求进行建设和管理，分为四个区域：公共区、服务区、管理区、核心区。

公共区、服务区采用身份识别卡和指纹识别校验相结合的控制方法。工作人员需通过身份识别卡和指纹识别校验后，方可进入该区域。离开时，需刷卡离开。

管理区、核心区，采用身份识别卡和指纹校验相结合的控制方法，且需要双人同时校验通过后才能进入核心机房。离开时，需双人同时刷卡离开。

5.1.2.物理访问

为了保证本系统的安全，采取了一定的隔离、控制、监控手段。机房的所有门都足够结实，能防止非法的进入。机房通过设置门禁和侵入报警系统来重点保护机房物理安全。

物理访问控制包括如下几个方面：

a) 门禁系统：控制各层门的进出。工作人员需使用身份识别卡结合指纹鉴定才能进出，进出每一道门应有时间记录和信息提示。

b) 报警系统：当发生任何非法闯入、非正常手段的开门、长时间不关门等异常情况都应触发报警系统。报警系统明确指出报警位置。

c) 监控系统：与门禁和物理侵入报警系统配合使用的还有录像监控系统，对机房区域进行24小时不间断录像。

所有门禁访问记录和视频监控记录保留不少于6个月，在销毁前会进行安全审计，形成审计报告并存档备查。

门禁和物理侵入报警系统备有UPS，并提供至少8小时的不间断供电。

5.1.3.电力与空调

机房电源供电系统包括机房区的动力、照明、监控、通讯、维护等用电系统，按负荷性质分为计算机设备负荷和辅助设备负荷，计算机设备和动力设备分开供电。供配电系统的组成包括配电柜、动力线缆、线槽及插座、接地防雷、照明箱及灯具、应急灯、照明线管等。计算机设备专用配电柜和辅助设备配电柜独立设置。

使用不间断电源（UPS）来保证供电的稳定性和可靠性。采用双电源，在单路电源损坏时，可以自动切换，维持系统正常运转。

根据机房环境及设计规范要求，主机房和基本工作间，均设置了空气调节系统。空调系统使用中央空调，并采用独立空调作为备份。其组成包括精密空调、通风管路、新风系统。机房室内夏季温度保持在23±2℃，冬季温度保持在20±2℃；相对湿度保持在40%-60%。

CA机房的要求参照电信设施管理的规定，而且每年对物理系统的安全性进行检查。

5.1.4.水患防治

机房内无渗水、漏水现象，主要设备采用专用的防水插座，并采取必要措施防止下雨或水管破损，造成天花板漏水、地板渗水和空调漏水等现象。

CA机房的系统有充分保障，能够防止水侵蚀。

目前机房内无上下水系统，空调间做了严格防水处理，由漏水检测系统提供（7X24）实时检测。

5.1.5.火灾预防和保护

火灾预防：

a) CA机房建筑物的耐火等级符合二级耐火等级。

b) CA机房设施内设置火灾报警装置。在机房内、各物理区域内、活动地板下、吊顶里、主要空调管道中及易燃物附近部位设置烟、温感探测器。

c) CA机房配置独立的气体灭火装置，使用七氟丙烷（HFC-227ea）等洁净气体灭火系统，备有相应的气体灭火器及消防自救呼吸器。CA机房内除对纸介质等易燃物质进行灭火外，禁止使用水、干粉或泡沫等易产生二次破坏的灭火剂。

d) 火灾自动报警、自动灭火系统避开可能招致电磁干扰的区域或设备。还设有不间断的专用消防电源和直流备用电源，并具有自动和手动两种触发装置。

e) 火灾自动灭火设施的区域内，其隔墙和门的耐火极限不低于1小时，吊顶的耐火极限不得低于15分钟。

f) 办公区域内，须设置紧急出口，紧急出口必须设有消防门，消防门符合安全要求。紧急出口门外部不能有门开启的装置，且紧急出口门须与门禁报警设备联动外，需装配独立的报警设备。

g) 紧急出口有监控设备进行实时监控，并保证紧急出口门随时可用。CA机房采取适当的管理手段来保障非紧急避险状态下，紧急出口门不能被内部人员任意打开。

h) 外聘第三方机构每月开展消防安全巡检，每两年开展消防安全检测。

灭火系统采用电动，手动，紧急启动三种方式：

a) 电动方式：防护区报警系统第一次火警确认后，发出声光警示信号，切断非消防电源（如：空调电源、照明电源等）。第二次火警确认后，经延时，同时发出气体释放信号，并发出启动电信号，送给对应的管网启动钢瓶，喷气灭火。

b) 手动方式：人员对钢瓶或药剂瓶直接开启操作。

c) 紧急启动：防护区外设有紧急启动按钮供紧急时使用。

CA机房通过与专业防火部门协调，实施消防灭火等应急响应措施。

5.1.6.设备与介质存储

CA机构制定设备管理制度，建立设备管理台账，设备管理台账包含每台设备的责任人、使用状态、维护周期等。设备管理员定期进行设备盘点和核对，确保账实相符。

CA机房的存储介质包括硬盘、磁带、光盘等，介质存储地点和CA机房系统分开并且保证物理安全，注意防磁、防静电干扰、防火、防水，由专人管理。对于存放重要数据的存储介质，CA机构制定了详细的使用、报废管理规定，完整地记录其领用、归还、报废等操作行为，以防止重要信息的泄露与人为故意产生的危害和破坏。

5.1.7.废物处理

当CA机房存档的敏感数据或密钥已不再需要或存档的期限已满时，应当将这些数据进行销毁。写在纸张之上的，必须切碎或烧毁。如果保存在磁盘中，应多次重写覆盖磁盘的存储区域，其他介质以不可恢复原则进行相应的销毁处理。

CA机构对所有处理行为进行记录并存档。

5.1.8.异地备份

CA主机房位于北京市西城区裕民东路3号，同城数据备份位于北京市朝阳区工体北路1号(工体云数据中心)。主机房的电子认证数据实时传输到容灾备份中心，用于容灾备份系统应急恢复，容灾备份中心位于武汉市东西湖区临空港经济技术开发区网安大道9号中金武汉数谷大数据中心机房，距离主机房900公里。

5.2.操作过程控制

5.2.1.可信角色

涉及证书认证系统操作、维护与管理，且能从本质上影响证书生存周期或CA密钥安全的岗位，都是可信角色，必须由可信人员担任。可信角色包括：

a) 系统管理员

系统管理员负责CA系统日常管理，包括策略配置、用户与权限管理等。

b) 技术运维员

技术运维员负责物理环境、网络、服务器及系统软件的日常监控与维护等。

c) 数据库管理员

数据库管理员负责数据库日常运维、性能优化及数据备份等。

d) 安全管理员

安全管理员全面负责物理环境、网络、系统的安全管理工作，拟订安全管理制度和操作流程，监督各岗位安全工作落地执行。

e) 系统审计员

系统审计员负责系统和网络日志的审计、管理，生成审计报告等。

f) 密钥管理员

密钥管理员负责CA密钥材料管理、CA密钥生存周期管理等。

g) 证书业务管理员

证书业务管理员负责证书注册系统的业务管理，包括证书业务操作员与权限

h）证书业务操作员

证书业务操作员负责证书申请的受理与审核，订户的身份与意愿鉴证。

i）客户档案管理员

客户档案管理员负责证书相关档案资料的归档与保密等。

j）运营审计员

运营审计员负责对证书签发、客户服务等核心业务进行独立审计等。

5.2.2.每项任务需要的人数

CA机构按照职责分离原则和岗位备份原则，对关键操作的角色采取双人操作或监督机制：

a）涉及关键操作的角色，如密钥管理、审计、鉴证、系统管理等，应实现双人操作或复核机制；

b）涉及业务连续性相关操作的角色，如运维、鉴证、审计等，应按工作量设置人员冗余，在任何一人缺岗时仍能实现双人操作；

c）禁止同一人员掌握可独立完成“发起、审批、执行、 审计”全流程的任何组合。

5.2.3.每个角色的标识与鉴别

CA机构的从业人员，按照所担任角色的不同进行身份鉴别。进入机房需要使用门禁卡和指纹识别；进入系统需要使用数字证书进行身份鉴别。CA机构将独立完整地记录其所有的操作行为。

5.2.4.需要职责分割的角色

为保证系统安全，遵循可信角色分离的原则，即CA机构的可信角色由不同的人担任。需要职责分离的角色，包括但不限于下列角色：

a)   系统管理员、技术运维员、数据库管理员、系统审计员之间不得兼任；b)   同一证书业务的录入与审核环节不得由同一业务操作员完成；

c)   业务操作员、客户档案管理员、运营审计员之间不得兼任；

d)   密钥管理员不得与系统管理员、技术运维员兼任。

5.3.人员控制

5.3.1.资格、经历和无过失要求

CA机构对所有可信角色的资格、经历与背景进行调查，包括但不限于：

a）CA机构需对可信人员进行背景调查，核实其从业经历，并要求提交无犯罪记录证明；

b）可信人员应具备履行岗位职责所必需的专业技能要求，专业技能要求参考GB/T 35288《信息安全技术 电子认证服务机构从业人员岗位技能规范》；

c）CA机构与可信人员签署具有法律约束力的保密协议，承诺不得私自保存、复制或泄露电子认证服务的所有秘密；

d）CA机构与可信人员签署劳动合同。

5.3.2.背景审查程序

CA机构与有关的政府部门和调查机构合作，完成对CA机构可信任员工的背景调查。

所有目前的可信任员工和申请调入的可信任员工都必须书面同意对其进行背景调查。

背景调查分为：基本调查和全面调查。

基本调查包括对工作经历，职业推荐，教育，社会关系方面的调查。

全面调查除包含基本调查项目外还包括对犯罪记录，社会关系和社会安全方面的调查。

调查程序包括：

a) 人事部门负责对应聘人员的个人资料予以确认。提供如下资料：履历、最高学历毕业证书、学位证书、资格证及身份证等相关有效证明。

b) 人事部门通过电话、信函、网络、走访等形式对其提供材料的真实性进行鉴定。

c) 用人部门通过现场考核、日常观察、情景考验等方式对其考察。

d) 经考核，人事部门和用人部门联合填写《可信雇员调查表》，报主管领导批准后准予上岗。

5.3.3.培训与考核要求

岗前培训：CA机构对运营人员按照其岗位和角色安排不同的培训，上岗前

持续培训：对于运营人员，其CA的相关知识与技能，每年至少要总结一次并由CA机构组织培训与考核。技术的进步、系统功能更新或新系统的加入，都需要对相关人员进行培训并考核。

培训内容包括：

a)  电子认证服务相关法律法规与标准；

b)  岗位通用职责要求及各角色特定的工作要求；

c)  CA机构内部管理政策、制度及流程；

d)  PKI和密码技术基础知识；

e)  CPS、CP；

f)  安全管理策略和机制；

g)  订户身份查验、审核策略和流程；

h)  电子认证服务运营体系构成；

i)  电子认证服务技术体系构成；

j)  灾难恢复和业务连续性管理。

5.3.4.再培训周期和要求

对于充当可信角色或其他重要角色的人员，每年至少接受CA机构组织的培训一次。

认证策略调整、系统更新时，应对全体人员进行再培训，以适应新的变化。

每人每年培训时长不少于20学时，并通过考核。

5.3.5.工作岗位轮换周期和顺序

对于可替换角色，CA机构将根据业务的安排进行工作轮换。轮换的周期和顺序，视业务的具体情况而定。

5.3.6.未授权行为的处罚

当CA机构员工被怀疑，或者已进行了未授权的操作，例如滥用权利或超出权限使用CA系统或进行越权操作，CA机构得知后将立即对该员工进行工作隔离，随后对该员工的未授权行为进行评估，并根据评估结果对该员工进行相应处罚和采取相应的防范处理措施。对情节严重的，依法追究相应责任。

5.3.7.独立合约人的要求

对不属于CA机构内部的工作人员，但从事CA有关业务的人员等独立签约者，CA机构的统一要求如下：

a) 正规劳务公司派遣人员；

b) 具有相关业务的工作经验；

c) 必须接受CA组织的岗前培训。

5.3.8.提供给员工的文档

为使得系统正常运行，CA机构向其员工提供完成其工作所必须的文档。

5.4.审计日志程序

5.4.1.记录事件的类型

CA机构记录与系统相关的事件，这些记录信息称为日志。对于这些日志，无论其载体是纸张还是电子文档的形式，必须包含事件发生的日期、事件的发生时间段、事件类型、事件的内容和事件相关的实体等。对系统的关键操作应由操作人员进行电子签名。

CA机构记录的日志信息包括但不限于：

a）CA证书密钥操作：包括密钥生成、备份、存储、恢复、归档、销毁，以及密码设备的启用、停用、转移和销毁等；

b）系统访问行为：所有对系统的访问企图，包括成功的和失败的登录、退出、权限使用行为等；

c）系统操作与变更：包括对系统的各种关键查询、修改、删除等操作，系统组件的安装、升级、维修，人员，以及敏感信息的获取与取阅等；

d）网络安全事件：包括防火墙、路由器、入侵检测安全设备记录的告警信息，以及针对被攻击事件识别与相应处理过程、结果等；

e）证书生存周期关键过程：包括记录证书申请、审核、签发、更新、变更、撤销、恢复等操作，CRL的签发与发布等，所有操作的通过或拒绝结果均应明确记录；

f）机房门禁控制等物理环境事件：包括业务人员、安全运维人员、外部人员等在不同安全区域的进出记录等。

5.4.2.处理日志的周期

CA机构建有CA应用系统的日志收集分析系统，实时收集应用日志并归档保存。CA机构每季度对日志进行跟踪处理，对系统异常、未授权尝试访问、资源使用异常、配置变更等安全事件，排查潜在的安全隐患与合规风险，形成审计报告，并基于审计结果进行改进。

5.4.3.审计日志的保存期限

与证书相关的审计日志至少保存到证书失效后五年。

5.4.4.审计日志的保护

CA机构授权的人员才能对审计日志进行相应操作。日志处于严格的保护状态，严禁在未授权的情况下被访问、阅读、修改和删除等操作。审计日志的制作和访问进行岗位分离。

5.4.5.审计日志备份程序

CA系统审计日志备份采用数据库自身备份程序，根据记录的性质和要求，按照实时、每日、每周等策略进行备份。

5.4.6.审计日志收集系统

审计日志收集系统涉及：

● 证书注册系统；

● 证书签发系统；

● 证书受理系统；

● 网站和数据库系统；

● 网络安全等其他需要审计的系统。

CA机构使用审计工具满足对上述系统审计的各项要求。

5.4.7.对导致事件实体的通告

CA机构发现被攻击现象，将记录攻击者的行为，在法律许可的范围内追溯攻击者，CA机构保留采取相应对策措施的权利。根据攻击者的行为采取包括切

CA机构有权决定是否对导致事件的实体进行通告。

5.4.8.脆弱性评估

CA机构每年对系统进行漏洞扫描和渗透测试等脆弱性评估，以降低系统运行的风险。

5.5.记录归档

5.5.1.归档记录的类型

CA机构对以下记录进行归档，包括但不限于：

a）证书申请材料和订户意愿记录；

b）所有审计日志；

c）密码设备全生存周期管理记录；

d）密码设备日常操作与使用记录；

e）CA证书或密钥生存周期管理相关的全部记录；

f）证书认证系统运行日志；

g）已识别的安全事件及处置记录；

h）证书认证系统关键操作日志；

i）电子认证服务过程中其他操作记录。

5.5.2.归档记录的保存期限

与证书申请相关的归档记录保存期为证书失效后五年，与密码设备、CA证书、CA密钥相关的归档记录为永久保存，其余归档记录保存期为五年。

5.5.3.归档文件的保护

CA机构指定运营生产部门作为用户资料档案管理机构，制定用户资料档案管理制度，明确档案管理操作规范和安全要求。

存档内容既有物理安全措施的保证，也有密码技术的保证。只有经过授权的工作人员按照特定的安全方式才能查询。CA机构保护相关的档案内容，免遭恶劣环境的威胁，如温度、湿度和强磁力等的破坏。

5.5.4.归档文件的备份程序

所有存档的文件和数据库除了保存在CA主机房的存储库，还在异地保存其备份。存档的数据库一般采取物理或逻辑隔离的方式，与外界不发生信息交互。只有被授权的工作人员或在其监督的情况下，才能对档案进行读取操作。CA机构在安全机制上保证禁止对档案及其备份进行删除、修改等操作。

5.5.5.归档收集系统

CA系统的相关信息由自动归档备份系统收集和存储，并由具备相关权限的人进行管理。

5.5.6.获得和检验归档信息的程序

只有被授权的可信人员能够访问归档记录。归档记录的一致性在归档时进行验证。归档期间，所有被访问的记录在归还时必须验证其一致性。

5.6.电子认证服务机构密钥更替

CA证书有效期不超过30年，CA密钥对的使用期限和CA证书有效期应保持一致。在CA证书到期前，数字认证公司将按照密钥安全管理制度对CA密钥进行更替，生成新的CA证书。

数字认证公司CA密钥更替方式如下：

a) CA证书到期时间小于订户有效期之前，应停止签发新的订户证书（“停止签发日期”）；

b) 在屏蔽机房内产生新的密钥对，签发新的CA证书；生成过程详见§6.2.1

c) 将新的CA公钥证书通过官网发布给订户和依赖方；

d) 在“停止签发日期”之后，将采用新的CA密钥签发订户证书；

e) 在完成签名密钥更替后，按GB/T 25056-2018中8.2.4.3规定的方式，销毁旧私钥及其备份，并保留相关操作记录。

CA机构在CA密钥到期前两年完成CA证书密钥更替，当发生CA证书密钥泄露或存在安全隐患时，应立即启动密钥更替程序进行紧急更替。

5.7.损害和灾难恢复

5.7.1.业务连续性目标

CA机构为确保业务的连续性，有效应对可能的损害和灾难，设定了业务连续性目标。恢复时间目标（RTO）≤8小时，恢复点目标（RPO）≤30分钟。为达成目标，CA机构建设采用了本地热备方案和远程灾备方案，并制定了相应的损害与灾难恢复预案及流程。

5.7.2.恢复流程

CA机构应对损坏与灾难的恢复流程如下：

a）证书库的恢复过程：证书库出现故障时，优先由本地热备设备接管服务，或启用远程热备站点接管服务。对故障中无法恢复的订户证书，应当进行撤销，生成受影响并被撤销的证书列表，通知订户为其重新签发公钥证书，对原证书进行撤销；对于CA机构托管的订户签名私钥，在征得订户同意后进行销毁；

b) 根密钥损害的恢复过程：当CA密钥遭受损害时，CA机构将成立应急处理小组评估损害情况。若密钥未泄露，将在安全的本地屏蔽机房或异地屏蔽机房内使用备份密钥设备接管服务。如备份密码设备也遭受损害，将采购新密码设备，并在安全的本地屏蔽机房或异地内屏蔽机房内也开展密钥恢复；

若发生密钥泄露，CA机构将启动密钥泄露应急响应机制，在安全的本地屏蔽机房或异地屏蔽机房内组织生成安全的密钥、签发CA证书，重新搭建CA系统。CA机构组织通知订户和依赖方，提供新的CA证书与身份验证机制。CA机构在征得订户同意后，将重新签发并交付订户证书。

c) 其他关键资产恢复过程：当CA机构遭到攻击，出现通信网络资源损坏、计算机设备系统服务异常、软件破坏、数据库被篡改等问题，或因不可抗力的灾难，CA机构将按照业务连续性计划实施恢复，优先启用本地热备设备接管服务，也可采用远程热备站点接管服务。

5.7.3.CA私钥应急处理

CA机构已针对密钥泄露制定了相应的应急预案。在获知密钥泄露报告后，CA机构将立即启动应急响应机制，并按流程逐级上报至安全策略管理委员会。安全策略委员会负责组织相关人员对泄露情况进行确认，确认后将组建应急处置小组，并于24小时内完成情况上报与通报。应急处置小组负责生成新密钥、签

CA证书私钥备份由管理员分别存放在屏蔽机房的保险柜内。

6.3.2.订户私钥保护和密码模块工程控制

订户签名私钥由订户自己保管的，订户应依据订户协议中的要求，采取预防措施防止私钥及其激活数据的丢失、泄露、更改或未经授权的使用。

CA机构受订户委托保管签名私钥的，采用的电子签名模式为CA机构的云平台响应订户的电子签名请求，订户通过云平台的验证后，调用云平台中托管的签名私钥实施电子签名。订户仅能通过安全授权认证（包括但不限于通过口令、短信验证码、生物识别信息、数字证书等）调用控制签名私钥，以确保签名私钥控制权由订户专有。CA机构应每年对安全控制措施进行安全评估。CA机构应向订户提供签名私钥及激活数据安全规范使用的指导，每次发起数字签名调用，必须取得订户明确授权，并完整留存相关授权记录。以上电子签名模式和安全控制措施具体应当符合相关标准或采用主管部门认可的其他方式。

订户加密证书对应的私钥由密钥管理中心托管，密钥管理中心严格保证订户密钥对的安全，密钥以密文形式保存，密钥库具有最高安全级别，禁止外界非法访问。

6.3.3.私钥备份

CA机构和密钥管理中心不备份订户的签名密钥。

加密私钥由密钥管理中心备份，备份数据以密文形式存在。

6.3.4.私钥归档

订户加密密钥对的归档是将已过生命周期或决定暂不使用的加密密钥以密文形式保存在数据库中，并通过数据库备份出来进行归档保存，归档后的密钥形成历史信息链，供查询或恢复。

6.3.5.私钥导入或导出密码模块

CA私钥在硬件密码模块中产生。在需要备份或迁移CA私钥时，从密码模块中导出的私钥必须由多人控制。

CA机构不提供订户私钥从密码设备或密码模块中导出的方法。

6.3.6.私钥在密码模块中的存储

CA私钥存储在符合国家安全标准的密码设备中，这些设备内置的协议、算

e) 身份鉴别：采用安全介质（如智能IC卡、USBKey）对用户进行身份鉴别管理，以控制对加密系统的使用；

f) 处理速度：数据加解密处理能力大于100Mbps。

6.4.密钥对管理的其他方面

6.4.1.公钥归档

订户证书中的公钥包括签名证书中的公钥和加密证书中的公钥。它们由CA机构和密钥管理中心定期归档，归档最大间隔不超过证书失效后五年。

6.4.2.证书操作期和密钥对使用期限

CA证书的有效期和其对应的密钥对的有效期一致，有效期最长不超过30年，CA证书到期后，签名私钥不可用于电子签名。

订户证书的有效期和其对应密钥对的有效期保持一致，有效期最长不超过5年，订户证书到期后，签名私钥不可用于电子签名。

特殊情况下，对于签名证书，为验证在证书有效期内签名的信息，公钥可以在证书有效期限以外使用。

6.5.激活数据

6.5.1.激活数据的产生、传输和使用

激活数据用于保护订户的私钥。

CA私钥的激活数据，必须按照密钥激活数据分割和密钥管理制度的要求，进行生成、分发和使用。

通用介质证书存储介质（如：智能密码钥匙）出厂时设置了缺省的PIN值，证书制作时更改此PIN值并通过安全的方式告知订户，订户可以自行设置或更改，订户自行设置PIN值应至少含8位字符且具有一定的复杂度。只有在拥有证书介质并知道证书介质的PIN值时才能激活证书存储介质，进而使用私钥。

云端协同证书应通过安全授权认证（包括但不限于通过口令、短信验证码、生物识别信息、数字证书等）激活私钥并使用私钥。

6.5.2.激活数据的保护

CA 私钥的激活数据按照可靠的方式分割后，由不同的可信人员掌管，且掌

6.7.生存周期安全控制

6.7.1.证书认证中心运行管理要求

CA机构按照GB/T 25056《信息安全技术 证书认证系统密码及其相关安全技术规范》第10章要求建立证书认证中心运行管理体系。

6.7.2.密钥管理中心运行管理要求

CA机构按照GB/T 25056《信息安全技术 证书认证系统密码及其相关安全技术规范》第11章要求建立密钥管理中心运行管理体系。

6.7.3.证书操作流程

CA机构证书操作全流程遵循GB/T 25056《信息安全技术 证书认证系统密码及其相关安全技术规范》第12章规定，覆盖证书申请、更新、撤销、用户加密密钥恢复、司法密钥恢复等全部环节。

6.8.网络的安全控制

系统网络安全的主要目标是保障网络基础设施、主机系统、应用系统及数据库运行的安全。CA机构按照GB/T 25056《信息安全技术 证书认证系统密码及其相关安全技术规范》中关于网络安全控制的要求执行。

a）网络结构：CA机构的网络结构采用B/S模式，并依据规范进行网络配置；

b）网络安全防护：CA机构对所有 Web 服务配置有防火墙、Web应用防火墙、入侵检测系统和内容过滤等网络安全防护措施；

c）网络拓扑图：CA机构应编制网络拓扑图，该图要体现所有网络设备、连接关系和安全边界，并定期更新，确保与机房实际情况保持一致;

d）网络访问控制：CA机构应建立网络访问控制白名单机制，针对证书签发子系统及数据库的配置白名单，仅授权证书注册子系统的必要功能模块及必要的管理设备进行访问。针对证书注册子系统和数据库的也应配置访问控制白名单。

e）网络监控：CA机构应对网络访问情况进行实时监控，并每月进行审计分析，分析内容包括系统异常、未授权访问尝试、资源使用异常、配置变更等安全事件。

7.证书、证书撤销列表和在线证书状态协议

7.1.证书

本CA机构签发的电子签名认证证书适用于企业信息化和电子商务等领域，可为订户提供身份认证、电子签名等服务。

订户可通过CA机构建立的数字证书注册通道提交证书申请，CA机构按照本CPS§3身份标识与查验的要求进行身份查验，查验通过后为订户签发证书，订户应妥善保管私钥和证书，或委托CA机构保管私钥。

本CA机构签发的数字证书符合《中华人民共和国电子签名法》、《电子认证服务管理办法》及《电子认证服务密码管理办法》等法律法规要求，本CA 机构签发的数字证书格式符合GB/T 20518《信息安全技术公钥基础设施 数字证书格式》的要求。

7.1.1.版本号

X.509 V3。

7.1.2.算法对象标识符

符合国家密码管理部门批准的算法对象标识符。

7.1.3.证书序列号

证书序列号是CA分配给每张证书的一个十六进制正整数，且在CA的信任域内必须唯一。

7.1.4.证书有效期

证书有效期是证书起始时间和终止时间的时间段，该时间段不应大于CPS对于证书有效期的规定。

7.1.5.名称形式

数字证书中的主体Subject的X.500 DN是C=CN命名空间下的X.500目录

在评估过程中发现的问题，将通知被审计部门及时整改，并跟踪整改落实情况。

CA机构应在每年1月底前将上一年度符合性评估报告报送主管部门。

8.4.评估者的资质

内部审计人员的选择一般包括：

● CA的安全负责人及安全管理人员；

● CA业务负责人；

● 认证系统及信息系统负责人；

● 人事负责人；

● 其他需要的人员。

外部审计的审计人员的资质由第三方确定。

8.5.评估者与被评估者之间的关系

评估者与被评估者应无任何业务、财务往来或其它利害关系，足以影响评估的客观性。

b) 当CA机构在任何法律、法规或规章的要求下，或在法院的要求下必须提供本《电子认证业务规则》中具有保密性质的信息时，CA机构应按照要求，向执法部门公布相关的保密信息，CA机构无须承担任何责任。这种提供不被视为违反了保密的要求和义务。

9.4.个人隐私保护

依据相关法律、法规，CA机构在受理客户申请证书及相关电子签名业务时，需由证书申请人及/或经办人提供相关个人信息。其中个人信息包括：姓名、联系方式、身份证号、地址和身份证（原件及/或任何形式的复本）等个人隐私信息。本《电子认证业务规则》有关用户个人信息保护条款的完整内容见数字认证公司网站公布的《个人信息保护政策》。CA机构根据有关法律法规和GB/T 35273《信息安全技术 个人信息安全规范》，针对用户隐私信息提供如下保障措施。

9.4.1.隐私保护方案

在数字证书生命周期中，CA机构应在用户个人隐私信息的收集、传输、存储、使用等环节中，采取有效手段，保护个人隐私信息。

CA机构应保护证书申请人所提供的、证明其身份的资料。CA机构应采取必要的安全措施防止证书申请人资料被遗失、盗用与篡改。

CA机构将实施信息安全管理制度以及行业通行的安全技术和程序来确保用户的个人信息不被丢失、泄露、篡改、毀损或滥用。

9.4.2.个人隐私信息的收集

根据《电子签名法》第二十条规定，CA机构作为合法的第三方电子认证服务机构，在受理用户（含自然人个人以及公司法人与非法人组织）申请数字证书时有权对用户的身份进行查验。CA机构要求用户即证书申请人申请证书时通过纸质材料、电子材料或证书服务系统在线交互等方式提供能够证明其真实身份的证明材料。CA机构在《电子认证服务协议》等相关协议中中已明确告知用户CA机构对用户包含但不限于用户个人的姓名、证件号码、住址、联系方式等信息进行收集。

与CA机构建立证书服务合作的合作方，CA机构要求合作方建立收集用户

c) 由于客观意外或其他不可抗力事件原因而导致数字证书签发错误、延迟、中断、无法签发，或暂停、终止全部或部分证书服务的。关于不可抗力的描述参见§9.16.4。

d) 因CA机构的设备或网络故障等技术故障而导致数字证书签发延迟、中断、无法签发，或暂停、终止全部或部分证书服务的；本项所规定之“技术故

e)如果CA机构能够证明其提供的服务是符合法律、行政法规相关规定实施的，CA机构将不对订户或依赖方承担任何赔偿或补偿责任。

9.7.2.隐含的担保责任

为明确CA机构电子认证服务的责任边界，杜绝任何隐含担保意思表示的误解，特明确：本CA机构的所有业务表述、服务承诺及与证书持有人、依赖方签订的各类协议、告知书等，仅约定电子认证服务相关权利义务，不包含任何隐含担保、事实保证，亦不产生任何隐含担保责任。

9.7.3.担保免责的适用规定

CA机构的担保免责条款，仅适用于电子认证服务相关的担保责任免除，免责条款的适用不得违反法律、行政法规的强制性规定，不得损害国家利益、社会公共利益及第三方合法权益，违法无效的免责约定不适用。

9.8.赔付责任规则

9.8.1.赔偿责任范围

如出现下述情形，CA机构承担相应有限赔偿责任：

a）在订户提交信息或资料真实、完整、准确的情况下，CA机构签发的证书含有错误信息，导致订户或依赖方由此遭受损失；

b）由于CA机构原因致使证书私钥被破译、窃取、泄露，导致订户或依赖方遭受损失；

c）对于订户申请撤销的证书，CA机构未能及时撤销证书由此导致依赖方遭受损失。

CA 机构只在证书有效期限内承担损失赔偿责任。在证书有效期内产生的损失，订户或依赖方应在知道或应当知道损失发生之日起三年内向CA机构书面提出索赔。

9.8.2.赔偿责任限额

CA机构对所有当事实体（包括但不限于订户、信赖方）的合计责任不超过该特定证书适用的赔偿责任上限。对于一份证书产生的所有数字签名和交易处理，CA机构对于任何实体有关该特定证书赔偿的合计责任应该限制在一个不超出下述赔偿责任上限的范围内。这种赔偿上限可以由CA机构根据情况重新制定，CA 机构会将重新制定后的CPS公布于CA机构网站（https://www.bjca.cn）以通知相关当事人。如在本CPS公布修订的1个月后继续使用CA机构提供的数字证书服务，即表明同意接受此等修订的约束。如果不予接受本CPS中的约束，订户可以停止使用证书或在上述期限内以书面形式向CA机构申请撤销证书。

CA机构所颁发数字证书的赔偿责任上限如下:

个人电子签名认证证书：800元人民币。

机构电子签名认证证书证书：4000元人民币。

本条款也适用于其他责任，如合同责任、民事侵权责任或其他形式的责任。每份证书的责任均有上限而不考虑电子签名和交易处理等有关的其他索赔的数量。当超过责任上限时，可用的责任上限将首先分配给最早得到索赔解决的一方。CA机构没有责任为每份证书支付高出责任上限的赔偿，而不管责任上限的总量在索赔提出者之间如何分配的。

赔偿的计算方式如下：

具体赔偿金额的计算，按本CPS§9.9规定的程序，审核评估属于CA机构赔偿责任范围内真实合理的损失数额。损失数额不高于赔偿责任上限的，赔偿金额计算参考损失数额，损失数额高于赔偿责任上限的，赔偿金额按赔偿责任上限计算。

9.8.3.赔付监督机制

订户提交赔付申请且CA机构受理后，为保障订户的合法权益，赔偿事件调查小组将对赔付流程全程跟进监督，赔偿事件结案后，CA机构负责对赔偿事件相关记录、证据材料等及时整理、归档。

若订户对CA机构的赔付结论或执行结果有异议，则通过司法程序解决。

9.8.4.有限责任

a) CA 机构所有的赔偿义务不得高于本CPS§9.8.2规定的赔偿责任上限。

b) CA机构根据判决或裁定应当承担赔偿或补偿责任的，CA机构将按照法院的判决、仲裁机构的裁定承担相应的赔偿或补偿责任。

c) 无论本CPS是否有相反或不同规定，就以下损失或损害，CA机构不承担任何赔偿和/或补偿责任：

（1）订户和/或依赖方的任何间接损失、直接或间接的利润或收入损失、信誉或商誉损害、任何商机或契机损失、失去项目、以及失去或无法使用任何数据、无法使用任何设备、无法使用任何软件；

（2）由上述第（1）项所述的损失相应生成或附带引起的损失或损害；

（3）非CA机构的行为而导致的损失；

（4）因不可抗力而导致的损失，如罢工、战争、灾害、恶意代码病毒等。

9.9.赔偿

CA机构按照本《电子认证业务规则》§9.8条款承担赔偿责任。

9.9.1.赔偿申请流程

CA机构在接到证书订户或依赖方提出的赔偿诉求时，先对申请人的基本情况、赔偿的诉求与理由、相关证据等进行收集、整理并做书面记录，形成《证书赔偿事件记录》。

CA机构应当在收到申请人的赔偿诉求后十个工作日内做出处理。申请人的相关赔偿申请信息与材料充分完整的，应予受理；信息与材料不完整的，应通知申请人进行补足；发现赔偿申请不合理、虚假、无效或存在其他不应受理情形的，拒绝申请人的赔偿申请。

9.9.2.赔偿审核流程

CA机构对赔偿事件进行调查取证，核查赔偿申请是否属实、是否造成损害、申请的赔偿数额是否合理等，同时成立赔偿事件调查小组并组织召开赔偿事件分析会，依据赔偿事件记录、证据材料等，对赔偿事件进行研判。包括：

（一）证书订户或依赖方是否具有符合《电子签名法》的规定的主体资格；

（二）请求赔偿的时效情况；

（三）造成的实际损害；

（四）计算赔偿金，确定赔偿方式，提出拟处理建议。

赔偿审核一般情况下应在六十个工作日内完成，情况复杂需要延期的，应当通知申请人原因以及需要延长的的审核时间。

9.9.3.赔偿审批流程

CA机构在赔偿事件分析会后5个工作日内形成《证书赔偿事件分析报告及处置方案》，并根据赔偿事件的分级逐级上报审批。赔偿审批一般情况下应当在30个工作日内完成，上级单位对赔偿审批有特别规定的，按其规定执行。

9.9.4.赔偿支付流程

CA机构与证书订户或依赖方就赔偿事项达成一致的，与其签订《证书赔偿处置协议书》。财务部依据双方签署的《证书赔偿处置协议书》和赔偿费用支付流程，向证书订户或依赖方支付赔偿费用。

赔偿事件调查小组自双方签署《证书赔偿处置协议书》或者作出不予赔偿决定之日起一个月内形成《证书赔偿事件结案报告》，完成赔偿支付流程。赔偿事件结案后，CA机构对赔偿事件相关记录、证据材料等及时归档。

9.10.有效期限与终止

9.10.1.有效期限

本《电子认证业务规则》自发布之日起正式生效。

本《电子认证业务规则》中将详细注明版本号及发布日期。

当新版本的《电子认证业务规则》正式发布生效时，旧版本的《电子认证业务规则》自动到期。

9.10.2.效力的终止与保留

对于旧版本的《电子认证业务规则》到期之后新签发的证书，旧版本的《电子认证业务规则》的效力全部终止，按新版本的文档执行。

对于旧版本的《电子认证业务规则》到期之前已经签发的证书，旧版本的《电子认证业务规则》中涉及CA机构为相关方提供的查询等支持服务的部分效力终止，按新版本的文档执行。

对于订户和依赖方，应当遵守对应证书签发时生效版本的《电子认证业务规则》，且不因该版本《电子认证业务规则》到期而终止。但与CA机构专门订立合同，约定《电子认证业务规则》版本适用条件的特定参与者，按合同约定决定相应版本的《电子认证业务规则》适用或终止。

9.11.对参与者的个别通告与沟通

认证活动的某一参与方与另一参与方进行通信时必须使用安全通道，以使其通信过程在法律上有效。

9.12.修订和发布

9.12.1.修订程序

当本《电子认证业务规则》不适用时，由数字认证公司安全策略管理委员会组织CPS编写小组进行修订。

修订完成后，数字认证公司安全策略管理委员会进行审批，审批通过后将在数字认证公司的网站( http://www.bjca.cn)上发布新的《电子认证业务规则》。

《电子认证业务规则》将进行严格的版本控制。

9.12.2.通告机制和期限

本《电子认证业务规则》在数字认证公司的网站( http://www.bjca.cn)上发布。

版本更新时，最新版本的《电子认证业务规则》在数字认证公司的网站发布，对具体个人不做另行通知。

9.12.3.必须修改业务规则的情形

当管辖法律、适用标准及操作规范等有重大改变时，必须修改《电子认证业务规则》。

9.13.争议处理与举证

9.13.1.争议处理

就电子认证服务活动及CPS规则执行的范围中，证书订户、依赖方等实体与CA机构产生的争端按照以下步骤解决：

a) 相关方首先通知CA机构，就涉及的电子认证服务活动，具体争议问题进行沟通；

b) CA机构将根据本CPS，确定是否属于电子认证服务相关争议，争议中的分歧、责任等事项；

c) 各方应通过友好协商解决，CA机构在协商过程中，应合理、及时的与相关方沟通解决。协调不成的，可以通过法律途径解决。

d）针对争议，CA机构与各方的协商时限，原则上不超过60个工作日。超过的，任何一方可以通过法律途径解决。

任何与CA机构在电子认证活动中产生的任何争端及或对本《电子认证业务规则》所产生的任何争议，均应提请北京仲裁委员会按照其仲裁规则在北京进行仲裁。仲裁裁决是终局的，对双方均有约束力。

9.13.2.举证

CA机构建立完善的管理制度及能力体系，覆盖证书全生存周期，满足举证需求，具体包括：

a) 证书签发环节完整留存身份验证记录、材料审查记录、告知记录、意愿确认记录等相关资料，留存期限不低于电子签名认证证书失效后5年；

b) CA机构代订户生成并保管签名私钥的（如云端协同证书），CA机构应详细记录签名请求验证、签名操作日志等签名环节信息；

c) 验证签名环节妥善留存签名验证请求记录、验证结果记录、异常情况处理记录等；

d）提供举证材料的时间承诺，有相关法律规范规定，或双方约定的，CA机构按法律规范或约定的时间提供。没有规定或约定的，CA机构承诺一般情况下提供举证材料的时间不超过10个工作日。特殊情况，如调取的材料数量过多、涉及多笔不同证书服务业务的，提供举证材料的时间可以合理延长。

申请方提出的向CA机构调取上述证据的需求，应当符合法定及约定条件的，证据调取涉及申请方之外的他人个人信息，或商业秘密的，CA机构有权依法进行保密处理。

9.14.管辖法律

本《电子认证业务规则》在各方面服从中国法律和法规的管制和解释，包括但不限于《中华人民共和国电子签名法》及《电子认证服务管理办法》等。

9.15.与适用法律的符合性

无论在任何情况下，本《电子认证业务规则》的执行、解释、翻译和有效性均适用中华人民共和国大陆地区的法律法规，包括但不限于《中华人民共和国电子签名法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、

9.16.一般条款

9.16.1.完整规定

《电子认证业务规则》的全部文档包括《电子认证业务规则》的标题、版本控制表、目录、正文等主体内容。

本《电子认证业务规则》将替代先前的或同时期的相关文档。电子认证服务协议、依赖方协议中明确标明对应的CPS版本。

9.16.2.分割性

当法庭或其他仲裁机构判定协议中的某一条款由于某种原因无效或不具执行力时，不会出现因为某一条款的无效导致整个协议无效。

9.16.3.强制执行

免除一方对合同某一项的违反应该承担的责任，不意味着继续免除或未来免除这一方对合同其他项的违反应该承担的责任。

9.16.4.不可抗力

不可抗力是指不能预见、不能避免并不能克服的客观情况。不可抗力既可以是自然现象或者自然灾害，如地震、火山爆发、滑坡、泥石流、雪崩、洪水、海啸、台风等自然现象；也可以是社会现象、社会异常事件或者政府行为，如合同订立后政府颁发新的政策、法律和行政法规，致使合同无法履行，再如战争、罢工、骚乱等社会异常事件。

在数字证书认证活动中，CA机构由于不可抗力因素而暂停或终止全部或部分证书服务的，可根据不可抗力的影响而部分或者全部免除违约责任。其他认证各方（如订户）不得提出异议或者申请任何补偿。

9.17.其他条款

数字认证公司对本《电子认证业务规则》拥有最终解释权。