衛(wèi)生系統(tǒng)電子認證服務規(guī)范

歡迎閱讀本文檔，希望本文檔能對您有所幫助!歡迎閱讀本文檔，希望本文檔能對您有所幫助!歡迎閱讀本文檔，希望本文檔能對您有所幫助!歡迎閱讀本文檔，希望本文檔能對您有所幫助!歡迎閱讀本文檔，希望本文檔能對您有所幫助!歡迎閱讀本文檔，希望本文檔能對您有所幫助!衛(wèi)生部辦公廳2010年4月30日

衛(wèi)生系統(tǒng)電子認證服務體系系列規(guī)范-衛(wèi)生系統(tǒng)電子認證服務規(guī)范（試行）衛(wèi)生部辦公廳2010年4衛(wèi)生系統(tǒng)電子認證服務體系系列規(guī)范-衛(wèi)生系統(tǒng)電子認證服務規(guī)范（試行）

目錄TOC\f\h\z\t"前言、引言標題,1,附錄標識,2,參考文獻、索引標題,3,章標題,4,附錄章標題,5,一級條標題,6,附錄一級條標題,1"1范圍 12服務總體要求 12.1證書分類 12.2證書產品 12.3服務模式 12.4服務內容 12.5平臺接入 23證書業(yè)務服務 23.1證書申請 23.2證書發(fā)放 23.3證書更新 23.4證書吊銷 23.5證書解鎖 23.6密鑰恢復 33.7證書查詢 34技術支持服務 34.1服務方式 34.2服務內容 35服務的保障 45.1組織保障 45.2制度保障 45.3安全保障 4附錄(資料性附錄)名詞解釋 5范圍本規(guī)范依據《衛(wèi)生系統(tǒng)電子認證服務管理辦法（試行）》，定義了參與衛(wèi)生系統(tǒng)電子認證服務體系建設的管理方、使用方和提供方開展電子認證服務的工作機制，描述了衛(wèi)生系統(tǒng)電子認證服務的總體要求，規(guī)范了電子認證服務機構需要遵循的證書業(yè)務服務和證書支持服務的要求，提出了服務的保障要求。本規(guī)范適用于衛(wèi)生系統(tǒng)電子認證服務體系建設的管理方、使用方和提供方。服務總體要求證書分類根據衛(wèi)生系統(tǒng)內的用戶群體所處單位和擔任的職能不同，數字證書用戶包括衛(wèi)生系統(tǒng)內部用戶和外部用戶。內部用戶是指全國各級衛(wèi)生行政部門和各級各類醫(yī)療衛(wèi)生機構及其工作人員。外部用戶是指涉及衛(wèi)生業(yè)務的企事業(yè)單位和社會公眾。根據用戶特點及應用需求，衛(wèi)生系統(tǒng)數字證書分為內部用戶證書和外部用戶證書，共六類：內部機構證書是指為各級衛(wèi)生行政部門和各級各類醫(yī)療衛(wèi)生機構頒發(fā)的證書，代表衛(wèi)生機構的身份。內部工作人員證書是指為各級衛(wèi)生行政部門和各級各類醫(yī)療衛(wèi)生機構的工作人員頒發(fā)的證書，代表個人的身份。內部設備證書是指各級衛(wèi)生信息系統(tǒng)使用的服務器證書或VPN設備證書等。外部機構證書是指為涉及衛(wèi)生業(yè)務的企事業(yè)單位頒發(fā)的代表法人身份的證書。外部個人證書是指為涉及衛(wèi)生業(yè)務的社會公眾頒發(fā)的代表自然人身份的證書。外部設備證書是指涉及衛(wèi)生業(yè)務的外部用戶所使用的服務器身份證書或VPN設備證書等。證書產品電子認證服務機構交付給衛(wèi)生系統(tǒng)用戶的證書產品應包括：證書介質、證書初始保護口令、證書使用說明書以及證書管理工具等，具體要求如下：電子認證服務機構采用的證書介質應符合《衛(wèi)生系統(tǒng)數字證書介質技術規(guī)范》。證書介質的質保期限不少于1年。電子認證服務機構要確保所發(fā)放的用戶證書初始保護口令不同，并使用密碼涂層或打印密碼信封加以保護，用戶領取證書時密碼涂層或密碼信封應完好無損。電子認證服務機構提供的證書使用說明書應明確告知用戶安裝、使用的方法和操作步驟。證書使用說明書可采用紙質材料，也可采用電子文件方式。電子認證服務機構應提供具備證書密碼修改和證書信息查看等功能，用于安裝證書介質驅動和證書應用接口的證書管理工具。服務模式針對證書分類，證書服務模式如下：集中服務模式：在衛(wèi)生系統(tǒng)內部，針對證書用戶量不大的單位可采用集中服務模式，即在本單位設置證書管理員崗位，對本單位內部用戶進行集中受理，負責用戶資料收集和身份鑒別。多級服務模式：在衛(wèi)生系統(tǒng)內部，針對證書用戶量大、用戶分布區(qū)域較廣的單位可采用多級服務模式，即設置多級證書管理員，分別負責本級用戶的資料收集及身份鑒別，以及下級單位信息的審核。認證機構直接服務模式：針對衛(wèi)生系統(tǒng)外部用戶，由第三方電子認證服務機構按照相關法律法規(guī)和運行服務規(guī)范，直接為用戶提供電子認證服務。服務內容電子認證服務機構提供的服務包括證書業(yè)務服務和技術支持服務兩部分內容。證書業(yè)務服務是指電子認證服務機構為衛(wèi)生系統(tǒng)用戶提供的證書申請、發(fā)放、更新、吊銷、解鎖、密鑰恢復、證書查詢等證書業(yè)務辦理服務。技術支持服務是指電子認證服務機構在用戶使用證書過程中，提供的各種方式的咨詢、培訓、應急等服務內容。平臺接入電子認證服務機構在衛(wèi)生系統(tǒng)開展服務前，須接入衛(wèi)生部數字證書服務管理平臺，遵循衛(wèi)生系統(tǒng)數字證書服務管理平臺的數據同步接口要求，實現數字證書和黑名單的同步。證書業(yè)務服務電子認證服務機構應結合衛(wèi)生系統(tǒng)外部用戶和內部用戶的實際需求和具體情況，提供相應的證書業(yè)務服務。本規(guī)范只針對面向內部用戶的證書業(yè)務服務做出具體要求；面向外部用戶提供的證書業(yè)務服務內容和標準，按照各電子認證服務機構在工業(yè)和信息化部備案的電子認證業(yè)務規(guī)則（CPS）執(zhí)行。電子認證服務機構應為衛(wèi)生系統(tǒng)用戶提供證書申請、證書發(fā)放、證書更新、證書吊銷、證書解鎖、密鑰恢復和證書查詢等證書業(yè)務服務。證書申請為確保證書申請者身份的真實性和有效性，負責證書集中管理的用戶單位應設立證書管理員崗位，負責提交本單位用戶證書申請，具體包括:證書管理員按照約定的格式整理用戶申請信息，核實用戶申請信息的真實性。證書管理員將證書申請信息報送相關領導審批確認。證書管理員通過證書服務平臺向電子認證服務機構提交證書申請信息。證書管理員須使用專用證書對所提交的證書申請信息實施電子簽名。證書發(fā)放電子認證服務機構在接收證書申請后，應在五個工作日內完成證書產品交付。集中服務模式下的證書發(fā)放流程如下：信息審核：電子認證服務機構審核用戶提交的證書申請信息；證書制作：電子認證服務機構根據通過審核的用戶證書申請信息制作證書，并將證書產品交付用戶單位的證書管理員；證書分發(fā)：用戶單位的證書管理員將證書產品分發(fā)給最終用戶。多級服務模式下證書發(fā)放流程與集中服務模式下的證書發(fā)放流程基本相同，僅增加了用戶單位上級審核環(huán)節(jié)。證書更新用戶證書即將到期時，電子認證服務機構應為用戶重新簽發(fā)新的證書。證書更新流程如下：申請更新：電子認證服務機構應在證書到期前30天內提醒用戶辦理證書更新業(yè)務。用戶單位的證書管理員為本單位用戶提交更新申請。確認更新：電子認證服務機構在確認更新申請后，授權并通知用戶下載新的證書。下載新證書：證書用戶通過證書服務平臺下載新證書。電子認證服務機構收到更新申請后，應在二個工作日內完成更新業(yè)務的確認操作，并保證用戶可實時下載新證書。證書吊銷當密鑰遺失、介質損壞、證書信息變更、證書用戶證件失效時，電子認證服務機構應將證書及時吊銷并更新黑名單（CRL）。電子認證服務機構應在二個工作日內完成吊銷業(yè)務的辦理，并實時更新黑名單（CRL），按照發(fā)布策略將黑名單發(fā)布到指定的衛(wèi)生信息系統(tǒng)。證書解鎖用戶遺忘證書保護口令，或多次輸入錯誤的保護口令導致證書介質鎖死時，電子認證服務機構應提供證書解鎖服務，為用戶重新設置證書保護口令。電子認證服務機構應在二個工作日內完成解鎖服務。密鑰恢復電子認證服務機構應提供加密密鑰的恢復服務。電子認證服務機構在收到密鑰恢復申請后，應在五個工作日內完成密鑰恢復業(yè)務的辦理。司法取證需要進行密鑰恢復時，電子認證服務機構應按照國家有關規(guī)定的程序處理。證書查詢 電子認證服務機構應為用戶和衛(wèi)生信息系統(tǒng)提供證書和黑名單的查詢與下載服務。電子認證服務機構應保障證書信息安全，查詢和下載權限應經用戶管理單位審定。技術支持服務 電子認證服務機構應向衛(wèi)生系統(tǒng)用戶通過熱線電話、網站、現場等服務方式，提供使用幫助、應用咨詢培訓、應急保障和應用集成支持等一系列技術支持服務。服務方式熱線電話方式電子認證服務機構應建立呼叫中心，通過熱線電話面向衛(wèi)生系統(tǒng)證書用戶提供所有與電子認證服務有關的使用幫助服務。呼叫中心電話座席數應不少于10個。呼叫中心熱線支持的服務時間為7*24小時。網站方式電子認證服務機構應在互聯網上建立客戶服務網站，面向全國衛(wèi)生系統(tǒng)證書用戶提供信息查詢、軟件下載、常見問題解答和證書業(yè)務辦理流程說明等技術支持服務。客戶服務網站應保障其自身安全性和服務穩(wěn)定性?，F場方式根據用戶的實際需求，電子認證服務機構應提供技術支持工程師上門現場為用戶處理數字證書應用中存在的問題。服務內容使用幫助服務電子認證服務機構應提供解決用戶在數字證書的申請、更新和解鎖等環(huán)節(jié)中遇到的各類業(yè)務辦理問題，以及在證書登錄、證書加密和數字簽名等環(huán)節(jié)中遇到的各類證書應用問題的幫助服務。咨詢培訓服務電子認證服務機構應對用戶單位提供證書集成方案咨詢，以及包括電子認證服務相關政策法規(guī)、技術規(guī)范和電子認證服務基礎性技術知識等電子認證服務方面的培訓。應急保障服務在發(fā)生重大事件或特殊應急事件時，電子認證服務機構根據用戶單位的要求而臨時提供的超越常規(guī)要求的應急保障服務。電子認證服務機構應制定應急服務預案，建立應急保障措施和應急工作機制。在衛(wèi)生信息系統(tǒng)出現緊急事件或重大事件時，根據衛(wèi)生系統(tǒng)管理部門和用戶單位的要求，及時提供現場方式的應急保障工作，確保緊急事件或重大事件中電子認證服務的安全性、可靠性和有效性。應用集成支持服務電子認證服務機構應提供針對衛(wèi)生信息系統(tǒng)的電子認證安全需求分析、電子認證法律法規(guī)、技術體系的咨詢，設計滿足業(yè)務要求的電子認證及電子簽名服務方案；應提供面向多種應用環(huán)境的證書應用接口程序供應用系統(tǒng)集成和調用。服務的保障組織保障電子認證服務機構應建立配套的人員體系，提供證書業(yè)務服務和技術支持服務。衛(wèi)生系統(tǒng)電子認證服務管理方負責指導、推進衛(wèi)生信息系統(tǒng)開展安全、規(guī)范的電子認證服務應用，并對各電子認證服務機構的服務質量及開展情況進行定期檢查。制度保障電子認證服務機構應建立針對人員、物理環(huán)境、軟件系統(tǒng)和運營服務等制訂完善的管理制度，采取有效的運行保障措施，從制度和流程上規(guī)范電子認證服務。衛(wèi)生系統(tǒng)電子認證服務管理方設立用戶投訴受理制度，受理用戶對電子認證服務機構的投訴。安全保障電子認證服務機構應加強安全保障措施，保障用戶信息安全，承擔保密責任，避免敏感信息泄露；保障自身物理、網絡、系統(tǒng)及人員的安全可信；保障證書業(yè)務穩(wěn)定性和連續(xù)性；建立備份及審計機制，確