LD∕T 03-2022 人力资源社会保障电子认证服务管理规范.pdf
《LD∕T 03-2022 人力资源社会保障电子认证服务管理规范.pdf》由会员分享,可在线阅读,更多相关《LD∕T 03-2022 人力资源社会保障电子认证服务管理规范.pdf(30页珍藏版)》请在咨信网上搜索。
1、LD2022-06-22 发布2022-07-01 实施LD/T 032022中华人民共和国劳动和劳动安全行业标准人力资源社会保障电子认证服务管理规范Specification for human resources and social securityelectronic certification service management中华人民共和国人力资源和社会保障部发布ICS 35.040CCS L 80学兔兔 标准下载LD/T 03-2022I目次前言.III1 范围.12 规范性引用文件.13 术语和定义.14 总则.25 人员管理.25.1 概述. 25.2 资格与经历. 25.
2、3 背景调查. 25.4 配置与职责. 25.5 轮岗. 35.6 培训. 35.7 对未授权行为的处罚.36 证书业务管理.36.1 证书分类. 36.2 业务规则. 36.3 服务事项. 46.4 业务流程. 46.5 资料管理. 156.6 数字证书管理.167 数字证书应用服务.167.1 证书应用安全功能.167.2 证书应用安全要求.167.3 证书应用服务支持.178 系统运行管理.178.1 管理制度. 178.2 安全操作与维护规范.188.3 安全管理要求.198.4 服务提供. 219 业务保障.229.1 服务保障. 229.2 技术检测. 229.3 监督检查. 22
3、附录A (资料性) 证书业务申请表.23参考文献.27学兔兔 标准下载LD/T 03-2022III前言本文件按照 GB/T 1.1-2020标准化工作导则 第 1 部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本文件由中华人民共和国人力资源社会保障部信息中心提出并归口。本文件起草单位:中华人民共和国人力资源和社会保障部信息中心、普华诚信信息技术有限公司。本文件主要起草人:马丹蕾、张嵩、王岩、耿建军、唐淑静、韩晓颖、张博、李笑男、于斌、魏丽丽、郭丽芳、高五星。学兔兔 标准下载LD/T 03-20221人力资源社会保障电
4、子认证服务管理规范1范围本文件规定了电子认证服务的人员管理、证书业务管理、数字证书应用服务、系统运行管理、业务保障等方面的要求。本文件适用于人力资源社会保障电子认证服务的提供与管理。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中, 注日期的引用文件仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 2887计算机场地通用规范GB/T 9361计算机场地安全要求GB/T 20518-2018信息安全技术 公钥基础设施 数字证书格式GB/T 25056-2018信息安全技术 证书认证系统密码及其相关安全技
5、术规范GB 50174数据中心设计规范BMB 3-1999处理涉密信息的电磁屏蔽室的技术要求和测试方法LD/T 01.4-2022人力资源社会保障电子印章体系 第4部分:系统接口规范LD/T 33社会保障卡读写终端规范LD/T 02-2022(所有部分)人力资源社会保障电子认证体系规范3术语和定义GB/T 25056、GB/T 35289 界定的以及下列术语和定义适用于本文件。3.1数字证书digital certificate由证书认证机构(CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书,按用途可分为签名证
6、书和加密证书。来源:GB/T 25056-2018,3.93.2电子认证electronic authentication采用电子技术检验用户真实性的操作。来源:GB/T 35289-2017,3.2学兔兔 标准下载LD/T 03-202223.3电子认证服务electronic certification service为电子签名相关各方提供真实性、可靠性验证的活动。来源:GB/T 35289-2017,3.63.4证书申请人certificate applicant从电子认证服务机构接收证书的实体。来源:GB/T 35289-2017,3.94总则人力资源社会保障数字证书使用和管理应遵循“
7、统一规划、统一标准、集中管理、分级受理、一证多用和互信互认”原则,并符合 LD/T 02-2022 规定的要求。5人员管理5.1概述数字证书管理机构应配备专人负责数字证书业务管理,数字证书业务人员应经过身份、背景、专业资格等背景审查过程,同时应签订保密协议。5.2资格与经历所有担任认证系统管理的人员应签订保密承诺书, 要求充当可信角色的人员政治素质高、 思想上进、对工作敬业、做事认真负责、处理问题公正严明、业务技术合格、无同行业重大错误记录、无违法记录等。5.3背景调查可信人员应接受并通过背景情况调查,调查程序包括:a)调查员工的个人资料,包括:履历、家庭背景、最高学历毕业证书、学位证书、资格
8、证及身份证等相关有效证明;b)工作部门对使用员工进行考核观察;c)审查通过后,可正式上岗工作。5.4配置与职责电子认证系统应设置下列管理和操作人员。a)超级管理员:负责电子认证系统的策略设置,设置各子系统的业务管理员并对其管理的业务范围进行授权。b)审计管理员:负责对审计员进行管理和监督。c)审计员:负责对涉及系统安全的事件和各类管理和操作人员的行为进行审计和监督。d)业务管理员:学兔兔 标准下载LD/T 03-20223负责电子认证系统的某个子系统的业务管理, 设置本子系统的业务操作员并对其操作的权限进行授权。e)业务操作员:按其权限进行具体的业务操作。f)安全管理员:全面负责系统的安全工作
9、,包括:1)制定电子认证系统的安全策略;2)指导电子认证系统的安全管理;3)设计和指导电子认证系统的安全策略实施;4)对电子认证系统的安全管理进行定期的检查和评估;5)对安全策略和执行程序的日常维持;6)定期对相关人员开展安全教育。5.5轮岗对于可替换角色, 应根据业务的安排进行工作轮换。 轮换的周期和顺序, 应依据实际工作需求确定。5.6培训对数字证书管理机构工作人员, 按照其岗位和角色安排不同的培训。 培训内容主要包括认证系统操作过程、软硬件配置、安全管理规范以及安全意识和他们未来工作中将使用到的软件。对数字证书管理机构工作人员, 其认证系统的相关知识与技能, 每年应总结一次并由数字证书管
10、理机构组织培训。技术的进步、系统功能更新或新系统的加入,都应对相关人员进行培训。认证策略调整、系统更新时,应对全体人员进行再培训,以适应新的变化。5.7对未授权行为的处罚当员工被怀疑, 或者已进行了未授权的操作, 例如滥用权利或超出权限使用认证系统或进行越权操作,得知情况属实后应立即对该员工进行工作隔离,随后对该员工的未授权行为进行评估,并根据评估结果对该员工进行相应处罚和采取相应的防范处理措施。6证书业务管理6.1证书分类人力资源社会保障数字证书主要包括机构证书、人员证书、设备证书和持卡人证书等类型。a)机构证书面向人力资源社会保障系统内部机构 (包括各级人力资源社会保障部门、 各类经办机构
11、、公共服务机构、街道社区人力资源社会保障服务站、所等) 、服务于人力资源社会保障业务的系统外机构(包括人力资源社会保障事务代理机构等) ,以及人力资源社会保障业务所管理服务的企事业单位发放。b)人员证书面向人力资源社会保障业务专网计算机终端用户 (包括各级人力资源社会保障部门工作人员、经办人员等)发放。c)设备证书面向人力资源社会保障信息系统的服务器、终端设备等发放。d)持卡人证书面向第三代社会保障卡持卡人发放。6.2业务规则电子认证业务规则应当包括责任范围、作业操作规范、信息安全保障措施等事项。学兔兔 标准下载LD/T 03-202246.3服务事项数字证书管理机构应制定证书服务规范, 建立
12、证书服务流程, 按照人力资源社会保障电子认证服务机构认证业务规则办理相关业务。数字证书管理机构应当提供如下服务:a)数字证书的申请、签发、更新、撤销等证书生命周期管理服务,用户加密密钥的生成、备份和恢复等服务;b)数字证书信息查询及状态信息查询服务;c)数字证书统计、查询、下载等支持服务,以及数字证书应用集成支持服务;d)为数字证书用户提供使用支持;e)提供数字证书相关培训服务。6.4业务流程6.4.1证书申请使用数字证书的单位、个人、设备或应用系统,应按照数字证书申请流程及规范,填写数字证书申请表 (见附录A),提交数字证书信息资料。其中,设备证书申请时,应通过密码设备产生PKCS#10证书
13、请求文件,并随数字证书申请表一并提交。证书申请信息应当真实、完整和准确,证书申请人对其申请信息实质内容的真实性负责。数字证书用户所在单位或部门负责证书信息真实性、 准确性的审核, 提交当地数字证书管理机构办理数字证书登记。审核通过后,本地数字证书管理机构依据业务规则受理证书申请,进行证书签发。数字证书签发完成后,数字证书管理机构通过机要邮寄、专人派送或现场领取的方式,将密封好的数字证书存储介质及清单交付给证书申请人。证书申请人履行签字等义务后,即完成证书交付。证书申请服务流程如图 1所示。图 1数字证书申请服务流程图学兔兔 标准下载LD/T 03-20225证书申请流程如下:a)申请人/申请单
14、位/申请机构根据所要申请的证书类型, 填写相应的证书申请表; 用户在申请证书时,应如实填写证书业务申请表(见附录A.1A.3),并按照申请表要求提交相关材料;个人用户应提供身份证等身份证明材料,单位用户应提供统一社会信用代码证书等证明材料;b)申请人在证书业务申请表上签字或申请单位/申请机构在证书业务申请表上盖章;c)在办理证书时,应严格鉴别用户真实身份,确保用户的申请材料真实、准确、齐全,并同时具有业务系统的相关权限; 在完成身份鉴别后, 由申请人/申请单位/申请机构所在主管部门盖章;d)主管部门盖章后,将证书申请提交给数字证书管理部门进行审核;e)数字证书管理部门接收证书申请要求;f)数字
15、证书管理部门对证书申请审核并签字;g)全部审核通过后,开始制证。工作人员办理数字证书时,应按证书业务申请表上的信息如实录入电子认证系统,为用户分配证书载体并下载数字证书。数字证书下载成功后,工作人员应安全保管好用户申请表和相关资料的复印件;h)证书制作好之后,通知主管部门领取;i)主管部门领取数字证书并分发给证书用户;j)完成证书交付后,证书用户应妥善保管证书载体,并按照规定的操作流程进行使用。用户领取数字证书后,应及时更改保护口令;在使用过程中,应定期更改保护口令;如忘记口令,或连续输入错误口令导致数字证书被锁死, 用户应及时向部省市数字证书管理机构报告, 由部省市数字证书管理机构负责处理。
16、6.4.2证书更新人员证书、机构证书和设备证书的证书有效期一般为5年,持卡人证书的证书有效期一般为10年。数字证书持有人应在证书有效期满之前通过本地数字证书管理机构办理更新业务。证书过期前两个月内,系统应提示用户进行证书更新,证书用户按照提示及时申请更新证书,以确保信息的有效性和密钥的安全。a)在线自助更新对于证书信息无须改变的证书用户,在证书即将过期时,获得工作人员的授权后,证书用户自助进行在线证书更新操作,通过在线方式下载新证书到证书载体内,从而完成证书更新。在线自助更新流程如图 2 所示。学兔兔 标准下载LD/T 03-20226图 2证书在线自助更新流程图在线自助更新流程如下:1)证书
17、用户使用证书载体登录证书在线更新系统;2)在线提交证书更新申请,并联系管理员进行授权;3)管理员对证书更新申请进行审核;4)审核通过后,管理员进行授权;5)授权成功后,证书用户以在线方式下载新证书到证书载体内;6)完成证书更新。b)人工更新方式证书用户持证书载体到证书注册点现场办理证书更新,由证书注册点工作人员为用户办理证书更新。人工更新流程如图 3所示。学兔兔 标准下载LD/T 03-20227图 3证书更新人工更新流程图人工更新流程如下:1)申请人/申请单位/申请机构提交用户证书及证书更新申请相关材料,并按照要求填写证书业务申请表 (见附录 A.1A.3) ;2)申请人在证书业务申请表上签
18、字或申请单位/申请机构在证书业务申请表上盖章;3)申请人/申请单位/申请机构所在主管部门对证书更新申请进行审核, 审核通过后在证书更新申请表上盖章;4)向数字证书管理部门提交证书申请;5)数字证书管理部门接收主管部门提交上来的证书更新申请;6)数字证书管理部门对证书更新申请审核并签字;7)全部审核通过后,开始制作新证书;8)新证书制作完成后,通知主管部门领取证书;9)由主管部门领取新证书,并分发给证书用户;10) 证书用户在领取新证书后,应妥善保管证书载体,并按照规定的操作流程进行使用。6.4.3证书变更当证书用户信息发生变更时,用户应到证书注册点申请变更证书信息。证书变更按照证书更新流程执行
19、,见6.4.2。当用户证书载体丢失或损坏时, 应重新申请数字证书, 此时应按照首次证书申请流程执行, 见6.4.1。6.4.4证书撤销发生下列情形之一的,数字证书持有人应申请撤销或者变更数字证书:a)数字证书私钥泄露;学兔兔 标准下载LD/T 03-20228b)数字证书中的信息发生重大变更;c)认为本人不能实际履行本行业电子认证有关规定的义务;d)辞职或调动工作岗位。发生下列情形之一的,部省市数字证书管理机构应撤销其签发的数字证书:a)证书持有人提供的信息不真实;b)司法机构要求撤销证书持有人证书;c)证书持有人申请撤销数字证书;d)证书持有人丧失民事行为能力;e)证书持有人严重违反本行业电
20、子认证有关规定的义务;f)数字证书的安全性不能得到保证;g)法律、行政法规规定的其他情形。证书撤销的办理流程如图 4所示。图 4数字证书撤销服务流程图证书撤销的办理流程如下:a)证书用户到证书注册点提交用户证书,填写证书业务申请表 (见附录 A.1A.3) ,并说明证书撤销原因;b)申请人在证书业务申请表上签字或申请单位/申请机构在证书业务申请表上盖章;c)主管部门对申请人/申请单位/申请机构提交的请求进行审核,确保其身份是真实有效的;审核通过后,申请人/申请单位/申请机构所在主管部门盖章;d)将证书撤销申请提交到数字证书管理部门;e)数字证书管理部门接收证书撤销申请;f)数字证书管理部门对收
21、到的证书撤销申请进行审核并签字;学兔兔 标准下载LD/T 03-20229g)全部审核通过后,撤销申请人/申请单位/申请机构证书;24 小时内将申请人/申请单位/申请机构证书签发到 CRL,并发布到证书查验服务系统;h)撤销证书后,通知主管部门;i)主管部门应及时通知申请人/申请单位/申请机构证书被撤销;j)证书撤销成功。当证书用户违反法律法规或因其他原因无法承担数字证书相关责任时, 证书注册机构可对用户证书进行强制撤销,撤销后及时告知该用户。6.4.5密钥恢复6.4.5.1服务要求证书持有人的签名密钥对由用户的密码设备(如智能密码钥匙)生成,加密密钥对由密钥管理中心(KMC)生成。证书持有人
22、的签名私钥由自己妥善保管,不做备份。加密密钥在KMC备份并能够恢复。密钥恢复是指加密密钥的恢复,KMC不负责签名密钥的恢复。密钥恢复分为证书持有人密钥恢复和司法密钥恢复两类。a)证书持有人密钥恢复:当证书持有人的密钥损坏或丢失后,某些密文数据将无法还原,此时证书持有人可申请密钥恢复。证书持有人向部信息中心申请密钥恢复,经审核后,通过认证系统向KMC请求;密钥恢复模块接受证书持有人的恢复请求,恢复证书持有人的密钥并下载到持有者的证书存储介质中。b)司法密钥恢复:司法取证人员向部信息中心申请,经审核后,由密钥恢复模块恢复所需的密钥并记录于特定存储介质中。6.4.5.2证书持有人密钥恢复证书载体丢失
23、或损坏,应通过密钥恢复解密曾经加密的数据。密钥恢复时,证书用户应提交真实、完整的身份证明材料。数字证书管理机构应严格审核用户身份的真实性,由两名工作人员共同完成密钥恢复操作。密钥恢复流程如图 5所示。学兔兔 标准下载LD/T 03-202210图 5密钥恢复服务流程图密钥恢复流程如下:a)申请人/申请单位/申请机构填写密钥恢复申请,用户应如实填写证书载体解锁申请表 (见附录A.4);b)申请人在证书载体解锁申请表上签字或申请单位/申请机构在证书载体解锁申请表上盖章;c)在办理密钥恢复时,主管部门应严格鉴别用户真实身份,确保用户的申请材料真实、准确、齐全。在完成身份鉴别后,由申请人/申请单位/申
24、请机构所在主管部门盖章;d)主管部门将密钥恢复申请提交给数字证书管理部门进行审核;e)数字证书管理部门接收密钥恢复申请;f)数字证书管理部门对密钥恢复申请信息审核,并签字;g)全部审核通过后,开始密钥恢复申请;工作人员办理密钥恢复业务时,应按照密钥恢复申请材料上的信息如实录入电子认证系统, 恢复证书用户的密钥并下载到证书存储介质中; 密钥恢复完成后,数字证书管理机构应安全保管好用户申请表和身份证明材料等;h)密钥恢复完成之后,通知主管部门;i)由主管部门领取证书存储介质,并交付给证书用户;j)证书用户在领取证书存储介质后,应妥善保管并按照规定的操作流程进行使用。6.4.5.3司法密钥恢复司法密
25、钥恢复应有以下两方人员同时在场参与:a) 有司法恢复权限的密钥管理中心业务操作员b) 司法取证人员。司法取证人员应持有能证明其身份的数字证书和能进行数字签名的密码硬件(如智能密码钥匙)。司法密钥恢复流程如图 6 所示。学兔兔 标准下载LD/T 03-202211图 6司法密钥恢复服务流程图司法密钥恢复流程如下:a)司法取证人员填写司法密钥恢复申请,应如实填写证书载体解锁申请表(见附录A.4);b)司法取证人员在证书载体解锁申请表上签字或申请单位/申请机构在证书载体解锁申请表上盖章;c)在办理密钥恢复时, 主管部门应严格鉴别司法取证人员真实身份, 确保司法取证人员的申请材料真实、准确、齐全;在完
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- LDT 03-2022 人力资源社会保障电子认证服务管理规范 LD 03 2022 人力资源 社会保障 电子 认证 服务 管理 规范
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【sp****10】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【sp****10】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。