信息安全技术-公基础设施-KI系统安全等级保护技术要求

1信息平安技术公共根底设施PKI系统平安等级保护技术要求

引言公开密钥根底设施〔PKI〕是集机构、系统〔硬件和软件〕、人员、程序、策略和协议为一体，利用公钥概念和技术来实施和提供平安效劳的、具有普适性的平安根底设施。PKI系统是通过颁发与管理公钥证书的方式为终端用户提供效劳的系统，包括CA、RA、资料库等根本逻辑部件和OCSP等可选效劳部件以及所依赖的运行环境。

?PKI系统平安等级保护技术要求?按五级划分的原那么，制定PKI系统平安等级保护技术要求，详细说明了为实现GB/TAAA—200×所提出的PKI系统五个平安保护等级应采取的平安技术要求、为确保这些平安技术所实现的平安功能能够到达其应具有的平安性而采取的保证措施，以及各平安技术要求在不同平安级中具体实现上的差异。第一级为最低级别，第五级为最高级别，随着等级的提高，PKI系统平安等级保护的要求也随之递增。正文中字体为黑体加粗的内容为本级新增局部的要求。

信息平安技术公钥根底设施

PKI系统平安等级保护技术要求更1探范围踢本标君准依聚据G金B/侍T萌AA拴A—肌20竭0×妻的五姥个安快全保福护等争级的础划分诵，规扩定了密不同茶等级嘱PK训I系桂统所这需要星的安滔全技交术要践求。浴

夫本标忍准适舟用于从PK巷I系算统的勾设计拆和实助现，丑对于睡PK蔑I系眉统安陡全功字能的萍研制符、开对发、棍测试哄和产怒品采显购亦贸可参统照使弃用。驰2府标准两性引棍用文绪件花以下缘文件脱中的披条款辣通过驴本标轧准的尿引用俗而成萌为本匆标准酷的条明款。贡但凡各注日妻期的拿引用澡文件给，其疯随后锈所有礼的修抚改单缘〔不供包括惩勘误牲的内延容〕王或修路订版馅均不梢适用瘦于本丝标准砌，然逐而，括提倡钱使用治本标旱准的抄各方峰探讨娘使用溪其最草新蓬版本滚的可哥能性权。凡笔是不壁注日次期的棚引用单文件霜，其瓜最新驱版本马适用渴于本喝标准兵。

骨GB疮/T信1狡97羽13骆-2师00蔽5钞信息初平安逮技术作公围钥基谅础设叉施补在线代证书群状态个协议哥

属GB鼠/T假2唐02幻71溜-2魄00牲6梯信息爸平安祖技术眼信扮息系拾统通什用安市全技疑术要辩求

散GB雹/T缸2终05子18松-2息00吴6控信息假设平安界技术裂公萌钥基班础设恨施叉数字雀证书迷格式俯

细GB选/T磨2细10狸54顷-2俊00留7彼信息追平安豪技术三公俩钥基兄础设辜施削PK既I系钱统安诱全等怜级保卖护评左估准姻那么

错GB咐/T执2爪10简52刘-2兄00停7的信息什平安紧技术己信续息系困统物话理安句全技辩术要练求

捧GB检/T喊20匪98萌4-鸭20湿07挽信渐息安徐全技粘术旦信息盏平安孝风险挖评估帐指南号3高术语遥和定鉴义棋以下意术语吹和定鞋义适蝶用于防本标委准。图3.软1倦

公茂开密雀钥基连础设幸施〔明PK堵I〕裁p叶ub树li希c瓦ke羽y棋in签fr争as惑tr根uc闹tu欢re划(陡PK聋I)驼公开必密钥霜根底教设施圣是支于持公象钥管泽理体裙制的翁根底另设施水，提准供鉴纷别、治加密博、完筹整性裙和不孔可否圣认性珍效劳赖。汇3.勿2粉PK栽I系戚统敏PK使I前sy搬st歇em奸

略PK熟I系抽统是夕通过朋颁发练与管怨理公奋钥证女书的扫方式拦为终脂端用谷户提膜供服茧务的侦系统苏，包府括C腥A、刮RA对、资忧料库翠等基逆本逻弟辑部搭件和迎OC膀SP物等可请选服记务部药件以津及所赶依赖冲的运跟行环率境。眨3.挺3张

安男全策孤略败se鄙cu消ri穿ty率p雹ol享ic危y浸一系鹊列安雾全规冈那么的科准确榴规定晋，包篮括从进本标条准中往派生谢出的宜规那么元和供粉应商鞠添加权的规缠那么。呼3.宿4暴

分轨割知廊识傻sp搅li星t射kn橡ow填le汗dg健e厌两个招或两纱个以总上实叉体分寺别保珍存密帐钥的页一部畜分，瞎密钥部的每诵个部专分都瓦不应系泄露盘密钥捧的明鼠文有屑效信跃息，尸而当椒这些胆局部园在加震密模筑块中导合在皂一起众时可希以得悉到密弃钥的营全部彩信息宪，这领种方膛法就慈叫分咸割知觉识。尝3.篇5荐

分吴割知折识程捐序碌sp足li圾t横kn径ow炸le音dg毯e敢pr逗oc已ed具ur衰e躬用来博实现疼分割虫知识雀的程脉序。夕3.中6晚

保拦护轮别廓好pr渔ot键ec栋ti防on笛p瘦ro菊fi婚le

集一系蓝列满汪足特喉定用祝户需捞求的上、为及一类菠评估逝对象召独立厅实现扯的安言全要探求。堡3.参7泉

关旱键性秋扩展充c筑ri索ti矛ca嚼l恐ex燃te馆ns感io湖n茫证书疼或C或RL艰中一压定能虫够被讲识别万的扩专展项膊，假设寻不能姜识别式，该钥证书村或C维RL济就无腹法被者使用祥。牧3.魄8变

审尿计踪持迹册au疗di司t欲tr顾ai肢l句记录悼一系撇列审报计信滔息和律事件揭的日奸志。察3.格9标

系燕统用锁户捏sy踪st喘em剧u劲se票r劳对P狡KI火系统县进行捧管理坑、操需作、忧审计信、备钉份、猎恢复蛛的工报作人理员，狐系统震用户涉一般鹅在P诊KI端系统层中被捆赋予确了指携定的窝角色采。犁3.以10糕

终奔端用除户榜te避rm共in眨at恒e趋us紫er号使用习PK昼I系狼统所拴提供慢效劳秧的远忧程普晌通用裹户。匙4丙缩略鉴语践以下翁缩略挑语适煮用于许本标像准：阁

独CA耻认旁证机惠构蜡Ce冲rt输if花ic叛at产io理n灰Au裤th禽or浊it夜y

域CP厕S惧认证伏惯例尺陈述园Ce唐rt讯if择ic扛at耳io勤n俘Pr姿ac禁ti裤ce茂S捧ta的te匆me拿nt堆

磁CR抵L菌证书饥撤销标列表肥Ce仿rt传if吧ic巩at浸e朴Re膛vo饿ca中ti均on红L催is通t

肚OC临SP裕在俗线证络书状坡态协糕议O栽nl裤in穷e丛Ce趟rt宇if养ic料at衡e棉St质at伶us在P现ro彼to景co篇l

航PP诞保就护轮泉廓P线ro掠te徒ct握io抵n汪Pr刚of苦il煤e

训RA甘注岸册机速构R晨eg穿is题tr扯at惭io卡n踢Au鸦th末or售it裤y

衡TO抚E稿评估肃对象蛙Ta粘rg铁et胶O基f振Ev角al肺ua男ti驱on检

佛TS品F皮TO币E安须全功抗能T歼OE矿S冻ec喂ur虑it常y杨Fu风nc哀ti术on坛5婆平安为等级童保护协技术嚼要求捡5.捆1浊第一仍级娃5.艳1.杠1工概述飞第一码级的栗PK灭I系娱统，愤由用婆户自午主保开护，葛所保葛护的蜘资产泽价值惑很低骂，面烂临的热平安隙威胁联很小月，适方用于蛋平安骗要求欧非常递低的仗企业描级P吵KI津系统舅。P场KI脱系统粪面临砌的风搭险，下应按之照G你B/脉T贵20掏98速4—沙20腐07公进行剩评估果。结革构设仙计上区，P菠KI培系统踩的C门A、泽RA棵、证轰书资唤料库枪可不并进行环明确终的分般化，鸡所有崇功能然软件痕模块趁可全两部安捏装在垒同一肚台计洗算机痒系统书上。牵第一宪级P阳KI鞋系统穗的安删全要瓣素要域求列仿表见迅附录愤A。锄5.骄1.芦2闯物理撤平安屠进行逝PK学I系谢统硬信件设信备、酬相关顷环境蔬和系障统安凤全的凝设计施时，炭应按掠照G宾B/雪T准21洽05逆2—史20虚07件第4彻章所堤描述遍的要矩求。沃5.误1.感3穴角色粘与责食任再开发刘者应识提供斥PK译I系风统管阔理员布和操坐作员配的角戒色定辆义。掠

涉管理汗员角卷色负啄责：昏安装魔、配侍置、浩维护盟系统尖；建福立和稼管理键用户挑账户模；配凭置轮先廓；揪生成参部件硬密钥热。

慧操作桃员角骗色负锻责：事签发糟和撤察销证找书。疗

言角色煎的安气全功循能管汉理应周按表广1中灰的配民置对侵授权种的角梦色修东改安绿全功同能的女能力疲进行长限制揭。激5.画1.厉4悬访问幼控制沫5.百1.翼4.占1漫系统宽用户显访问病控制袖PK染I系淋统文僻档中铅，应零有访桃问控京制的生相关迟文档简，访充问控抗制文叨档中腥的访穷问控放制策挪略应扮包含樱如下翼几个振方面绕：嫂a)暗角妻色及巴其相何应的饶访问楚权限标

抓角色徐及其婆相应蹦的访圈问权琴限的鸽分配欠见表稳2。枪b)句标伏识与肆鉴别俱系统花用户惰的过葱程

众应符爸合5进.1贤.5彻的要肢求。溜c)打角慎色的扎职能宴分割

歪应符光合5尾.1控.3掀的要香求。否5.柜1.童4.逼2专网络欲访问寸控制悼进行捐远程咏访问每时，概PK凡I系鞭统应塘提供符访问逮控制擦。远健程用址户只孕有被膊认证怠通过昼后，厉PK终I系登统才乓允许由访问浓，并他只对伪授权命用户指提供镰被授味权使卸用的她效劳沙。远湾程计定算机变系统脖与P拌KI限系统翁的连腥接应布被认分证，驱认证群方法米包括绪计算攀机柏地址报、访愈问时报间、牧拥有他的密柴钥等秤。P赏KI卖系统哄应定词义网释络访项问控合制策从略。羽5.床1.喊5提标识跳与鉴怒别除标识塔与鉴毅别包怎括建股立每腿一个艺用户蚊所声顶称的根身份央，和岗验证吩每一警个用堵户确出实是茄他所僻声称馆的用障户。亮确保绍用户亏与正促确的裁平安指属性改相关找联。暴5.裙1.削5.欺1原用户舍属性纯定义洪PK弃I系尺统应注维护兴每个晓用户踏的安抚全属掀性。徒

妖平安砍属性语包括葛但不腾限于炎身份咏、组黄、角令色、固许可刺、安蹄全和美完整迫性等死级。忙5.邪1.叛5.远2锣用户求鉴别友PK贡I系坊统的自平安签功能贵应预写先设挺定P助KI抽系统象代表塔用户县执行蚀的、珠与安叠全功弹能无土关的禾动作坊，在宅用户晒身份避被鉴洪别之枝前，盆允许篇PK旷I系永统执脸行这睬些预摇设动欲作，谷包括楚：被a)炭响险应查芝询公嘱开信扎息〔转如：臭在线杠证书提状态巡查询赏等〕亡;

枣b)排接布收用遣户发搏来的他数据攀，但膝直到损系统数用户终批准铁之后奥才处勉理。

呀管理骗员应摘对鉴岂别数疤据进鸭行管茎理。蒙

载PK虽I系卷统应理定义载所支趋持的纲用户伞鉴别健机制贱的类轨型。夜5.理1.推5.乎3主用户绘标识斯PK谱I系喘统的介平安素功能蜘应预努先设状定P从KI愚系统痛代表夫用户慈执行嫁的、准与安奉全功造能无窄关的奴动作妨，在捞标识掉用户省身份胞之前装，允嫌许P波KI罩系统品执行蒙这些峡预设掩动作烈，包燥括：买a)筋响敌应查搏询公捎开信瓜息〔钢如：仅在线季证书哈状态封查询挪等〕慢;

冶b)克接堵收用夕户发搅来的限数据革，但著直到霸系统室用户迅批准像之后各才处坦理。

叠5.总1.晚5.棒4卧用户钢主体捐绑定午在P抵KI射系统友平安句功能认控制性范围薯之内扭，对锈一个瓦已标拆识与那么鉴别附的用覆户，叨为了稼完成对某个晶任务领，需档要激中活另哭一个劫主体沃，这漠时，组应通骆过用亚户主星体绑制定将颤该用筋户与讽该主傲体相吵关联竖，从柏而将撑用户玩的身世份与鸦该用声户的厌所有员可审倍计行胸为相饭关联抛，使找用户么对自寿己的进行为三负责视。度5.矿1.稠6宅数据炸输入无输出伟5.吧1.绑6.箱1秒TS片F间狡用户秃数据贪传送俩的保尊密性溪当用术户数心据通绪过外兼部信吨道在盆PK质I系送统之扑间或还PK洞I系彻统用恰户之节间传叹递时日，P况KI勺系统辆应执施行访友问控援制策鄙略，聪使得静能以哥某种彩防止自未授嚼权泄疗露的恩方式每传送喉用户侧数据吸。说5.颗1.鲜6.借2偷输出论TS吩F数询据的帜保密蛮性制在T证SF笼数据蓝从T反SF桂到远脸程可鞠信I厕T产铅品的茫传送知过程遍中，区应保翅护机构密数梢据不朴被未辅授权傲泄露忙。低这些事机密孝数据逼可以尝是T扰SF凯的关鸽键数浑据，渡如口归令、世密钥折、审这计数飘据或辈TS庭F的哗可执咳行代独码。快5.击1.蹦7螺密钥客管理净5.遮1.售7.牛1订密钥疼生成岗5.岩1.荣7.脾1.肾1植PK梢I系咐统密宽钥生栗成替系统宫用户意密钥与生成良应由泊相应视级别源的C册A或愧RA制等机灿构进兆行，边可用敲软件你方法冈产生菌，生蛛成算切法和舱密钥掀长度马等应斗符合绍国家考密码臂行政派管理爽部门炉的规刊定。蛇在进阔行密畜钥生韵成时乏，P追KI鼻系统妹应限脂制非座授权盖人员讽的参花与。般C雀A签凭名笋公私卷钥对脚应采后用国静家密酿码行虹政管优理部始门认童可的框方法圣生成遗，可劲用软报件方雨法或窃硬件星密码朝设备孕产生坚。在解密钥鹿生成善时应啊检查边用户胖角色弄，并盐设置妥为只财有管低理员痛才能谋启动话CA怀密钥布生成碑过程笼。棉5.逗1.脑7.量1.子2蔑终端摸用户头密钥胆生成竭终端凤用户律的密抹钥可肚由用才户自局己生尸成，悠也可殊委托祝CA前、R绒A等鼻PK及I系毫统的冻效劳茄机构闪生成型。

纪终端翅用户够密钥泼可用慨软件承方法球产生圈，生题成算辽法和末密钥馅长度拥等应坚符合戴国家降密码浮行政辽管理柔部门恭的规筒定。旨5.备1.院7.待2构密钥瓣传送裙与分调发嗽5.湾1.声7.贵2.的1莲PK魔I系滨统密受钥传冰送与怎分发很系统陵用户敬密钥井的传垫送与积分发改应以喇加密兽形式幻直接芦发送季到系棋统用仍户证矿书载报体中畏，加浴密算析法等贷应符燃合国积家密民码行碰政管稍理部公门的蹈规定蛾。

席CA框公钥哗分发从方法送应适锹当、贯切实您可行菌，如仿提供非根证去书和谎CA倒证书次下载裁、或瓣与终写端用轿户证洲书一流起下桑载等嫁，应施符合舌国家能密码泥行政慢管理饱部门竖对密米钥分喷发的域相关户规定宝。芝5.初1.误7.既2.惹2片终端垃用户片密钥讯传送岁与分贴发香如果浇终端捧用户诸自己女生成移密钥申对，嫌把公漠钥传程送给辛CA济是证电书注很册过墙程的师一部柳分。志终端升用户剑应将慧公钥色平安她的提她交给炭CA健，如穷使用蹲证书厕载体奴等方初法进驴行面茅对面悼传送错。

反如果伐终端色用户郑委托市CA平生成更密钥香对，班那么不米需要刚签发秩前的芹终端轰用户复公钥训传送挂。C禾A向裂用户蚊传送侦与分挽发私割钥应寒以加视密形傲式进迁行，尘加密备算法迫等应残符合探国家梅密码凑行政每管理脊部门蚕的规宴定。刚5.瓣1.尘7.期3标密钥摄存储纠系统废用户容密钥撞可用慨软件消加密贸的形借式存恶储，挤加密译算法零应符代合国载家密怠码行燥政管厘理部甲门的伴规定丹。

斥CA排签名冤私钥亲应存街储于唉国家壶密码摔行政珍管理批部门炭规定牙的密践码模课块中货或由存硬件女密码第设备亦加密双后存栽储。快终拢端用贩户密避钥由袍用户鞭自行竭存储虏。棋5.涌1.渠8烫轮廓关管理检5.研1.隔8.朋1畅证书持轮廓移管理堂证书拒轮廓丝定义饭证书域中的届字段疮和扩饱展可缠能的泰值，肠这些鹊字段睡和扩替展应锻与G郑B/街T狼20毛51麻8-膜20挨06销标准挽相一太致。针证书册轮廓跌包括度的信阳息有衰：岭a)矮与扣密钥功绑定哲的用雹户的再标识跨符；拉

杜b)乏主甲体的辜公私甲密钥径对可洁使用赌的加胆密算读法；忌

钉c)甚证志书发亦布者无的标术识符河；

育d)掠证沟书有慈效时障间的暗限定逐；

查e)惯证捉书包陪括的疗附加地信息沈；

本f)孟证啊书的蹄主体臭是否驶是C手A；意

岁g)俱与及证书象相对贿应的纷私钥舒可执衰行的械操作兽；

鼓h)蹲证诞书发趣布所惧使用渡的策夫略。

浑PK邻I系鹅统应篇具备扇证书墓轮廓暑，并筐保证的发布侍的证仇书与龄证书搜轮廓栏中的霞描述傲一致镜。P舍KI喇系统晒管理咏员应脑为以复下字面段和苹扩展皮指定艇可能馅的值做：熄a)群密瞧钥所狱有者旦的标阵识符赌；

泻b)早公队私密轮钥对瑞主体呜的算骂法标诞识符甚；

愁c)正证是书发变布者谢的标盐识符洋；

叼d)或证认书的暴有效段期；

盖5.畜1.酬8.丛2劫证书浮撤销物列表挪轮廓箱管理葱证书柏撤消鹅列表独轮廓溉用于姨定义味CR悔L中波字段汁和扩撕展中锣可接桨受的胶值，外这些痛字段邀和扩隆展应萄与G亚B/地T惧20秩51筒8-铃20奉06饰标准鼻相一骨致。默CR盲L轮迫廓可笋能要学定义冷的值腥包括片：埋a)痛C耗RL补可能驶或者廊必须辜包括烧的扩敞展和找每一维扩展简的可旬能的颜值；市

塞b)谋C恋RL尚的发躬布者怨；

孔c)木C汇RL践的下陕次更掌新日猜期。

同假设P娱KI骨系统收发布恨CR追L，攀那么应孔具备增证书再撤销读列表柴轮廓渗，并槽保证金发布肥的C怠RL食与该轮轮廓纷中的逆规定及相一幼致。气PK喉I系愚统管靠理员返应规茄定以夜下字劈段和乔扩展大的可册能的趴取值惰:吉a)巡i博ss洪ue密r；泥

微b)稳i障ss皱ue悬rA瘦lt党Na胳me秃。

寒5.矩1.泪8.软3姜在线栋证书关状态肝协议心轮廓趣管理圆在线柏证书蚊状态拿协议边轮廓柏用于撤定义扣一系糟列在货OC杀SP摄响应恨中可膛接受侵的值镰。O猪CS督P轮窝廓应污规定熊PK贞I系瓦统可鲁能产大生的院OC糖SP捕响应宾的类楚型和醋这些朴类型睁可接捞受的更值。漂

翼a)摸假设总PK干I系房统发考布O豆CS愚P响脉应，魔PK鸣I系驻统应酿具备岛OC狡SP蛇轮廓径并保阿证O贺CS富P响庙应与烈轮廓思一致竞；

柱b)贩假设助PK报I系员统发绢布O瑞CS滔P响放应，建PK坐I系旱统应莲要求坑管理拜员为俗re澡sp驾on衬se咳Ty导pe项字段辣指定谨可接失受的羽值；销

娇c)战假设桨PK固I系体统允乎许使训用基护本响障应类倦型(扮ba忌si僚c响re贺sp鄙on填se交t晒yp嘉e)汗的O墓CS木P响映应，祸那么P肆KI捆系统惧管理域员应

狂为R概es挺po孩nd罢er茎ID相指定犹可接卵受的拼值。

烦5.敢1.吼9眠证书繁管理授5.攀1.锈9.茫1到证书积注册物PK鲜I系够统所厉签发欺的公交钥证宋书应梁与G靠B/析T天20唤51盾8-柄20君06敏相一熊致。韵任何济证书咬所包鹊含的减字段怨或扩网展应径被P申KI边系统配根据样GB暴/T洋2逝05壳18质-2持00施6生倍成或举经由鄙颁发热机构黎验证肆以保历证其邻与标奏准的籍一致执性。涌输延入证杆书字亦段和令扩展寒中的猾数据昨应被景批准夹。证策书字密段或请扩展莫的值盖可有藏以下威4种摘方式脱获得石批准您：

板a)肠数井据被盯操作岭员手框工批屈准；劲

妙b)竭自君动过愉程检瓣查和如批准险数据倘；

盟c)懒字块段或慎扩展柴的值衡由P仆KI贵系统警自动识的生敢成；闲

倾d)仇字窃段或赶扩展畜的值志从证垒书轮佛廓中歪获得债。

裤进行清证书肤生成野时，挠a)浩应驼仅产榨生与印GB勇/T止2疗05雾18匆-2糖00伙6中遵规定侮的证宾书格建式相傲同的典证书虹；

肯b)贯应猛仅生病成与苏现行指证书枪轮廓脊中定夸义相喊符的妙证书剥；

睬c)幼P奏KI驴系统漂应验国证预情期的衣证书永主体陈拥有态与证蚁书中悠包含毙的公籍钥相享对应圆的私装钥，完除非什公私杜密钥帅对是粪由P票KI密系统夏所产雄生的袖；

系d)祥P枪KI舰系统斩应保筝证：挽

份1)罗v汉er钩si圈on塘字段唇应为架0，充1，百2；峡

芦2)丰假设出包含秧is阻su哄er录Un海iq骨ue甚ID冷或s践ub诚je降ct扔Un圆iq揪ue袖ID罚字段蚁那么v僻er撤si笋on永字段乞应为璃1或尿2；铲

械3)袋假设前证书尼包含俩ex朵te女ns勤io狂ns分那么茄ve禽rs汇io纺n字琴段应讽为2免；

佳4)尸s确er承ia陡lN纱um史be牢r字脏段对浸CA足应是蜂唯一受的；家

症5)社v送al熟id吹it站y字眉段应众说明织不早走于当秒时时传间的目no惭tB惹ef记or候e值尽和不复早于香no调tB诱ef毙or还e时宽间的潮no企tA窄ft袍er啊值村；

肯6)姓假设芒is田su鸭er找字段膏为空墨证书据应包斑括一仁个i绝ss贪ue案rA技lt亩Na岗me霉的诊关键作性扩思展；劳

稀7)厨假设您su数bj率ec满t字违段为取空，表证书运应包颤括一晒个s伟ub牧je易ct工Al馅tN河am错e的陪关键鸽性扩附展；枯

谷8)适s衡ub绑je亦ct侮Pu膨bl跪ic党Ke曾yI盆nf喇o字炭段中兄的s苹ig俱na筑tu饿re治字段世和a便lg粪or跪it凉hm喜字段枯应包惯含国豪家密负码行蓝政管纷理门竟许可铃的或狂推荐铺的算芬法的典OI圈D。

香5.庸1.绘9.纪2铜证书位撤销震5.墙1.梁9.甲2.购1院证书尺撤销潜列表菌审核慰发布魄CR甲L的景PK犹I系疾统应杂验证忧所有鞠强制喇性字首段的盯值符目合G立B/迹T春20捐51腿8-题20鸦06策。至言少以竭下字膏段应艇被审狼核：芝a)量假设径包含颗ve鸦rs成io拢n字恒段，铸应为注1；敏

速b)秀假设疯CR涛L包席含关克键性婶的扩研展，唐ve稳rs方io术n字批段应闹出现绍且为岩1；喷

钞c)龟假设哈is嫂su廊er匪字段猴为空藏，C艰RL见应包性含一还个i奇ss节ue秒rA有lt吩Na素me款的关胳键性案扩展裳；

凶d)桥s用ig剖na所tu醉re葵和s剩ig嘱na错tu依re窄Al铃go词ri突th糊m字丢段应开为许帆可的环数字勇签名冻算法奔的O盈ID忘；

努e)口t肆hi专sU忠pd武at望e应柏包含甩本次栽CR五L的筝发布像时间翅；

器f)层n蹈ex奉tU随pd量at爱e依字段侮的时擦间不卵应早舞于t叶hi乖sU扣pd子at笔e字特段的墙时间洁。

见5.似1.苹9.谷2.碰2经OC斯SP立根本足响应叠的审筐核财发布晒OC茎SP玉响应声的P军KI串系统舟应验餐证所蹈有强然制性粥字段乔的值跪符合级GB购/T歪1亏97衫13泥-2融00踏5。抵至少扰应审产核以阀下字馒段：形

改a)扇v气er发si超on璃字段警应为琴0；傍

蛙b)资假设罗is肆su结er胃字段盗为空骄，响形应中店应包笼含一团个i胳ss鸟ue劈rA租lt半Na筒me足的关帜键性网扩展槐；

感c)姨s饥ig领na巷tu盘re肢Al为go费ri套th齿m字瓣段应给为许薄可的巨数字饶签名厨算法红的O接ID败；

斤d)服t贱hi纯sU区pd对at绳e字皇段应番指出咸证书核状态孕正确筛的时咏间；积

变e)图p轰ro堵du居ce锻dA吼t字椒段应戏指出药OC悟SP抄响应减者发召出响舞应的饭时间渣；

蚁f)摩n声ex虾tU增pd残at石e再字段曲的时纸间不妖应早林于t晴hi锁sU海pd散at睁e字早段的持时间书。

择5.驼1.裹10顺配枝置管塞理蜂应按纠GB君/T盖2墨02页71菜-2凤00沈6中颗6.密1.矛5.结1的荡要求构，在疲配置慧管理政能力根方面疫实现怖对版转本号太等方睛面的棍要求滴。古5.需1.轧11去分常发和斜操作凝应按访GB兽/T罪2戒02性71回-2达00长6中错6.欲1.格5.吨2的锈要求莫，从荣以下损方面虹实现傍PK闷I系他统的役分发午和操犬作：译a)踪以主文档愿形式吐提供加对P基KI处系统取平安纵地进夕行分润发的守过程姜，并吗对安爪装、誓生成贫和启鸟动的唇过程答进行监说明隙，最据终生贡成安卧全的办配置蜂。文衡档中悠所描豆述的规内容拣应包妇括：唐

桃——劝提供鸣分发融的过比程；扯

崭——役平安铺启动静和操虽作的退过程知。

时b)破对籍系统虏的未岩授权晶修改巧的风滴险，宪应在仰交付这时控母制到吐最低滩限度鹅。在顿包装圣及安弊全分夺送和望安装触过程狐中，席这种墙控制商应采威取软胀件控错制系洲统的周方式骗，确便认安柏全性约会由棋最终厦用户玩考虑些，所励有安故全机漫制都洞应以镜功能副状态肠交付唯；

种c)晃所原有软喉件应迅提供婶平安赞安装山默认埋值，云在客彼户不纺做选晨择时晓，默吩认值大应使尝平安庭机制蓄有效陡地发痛挥作疾用；待

卷d)废随驳同系堵统交奶付的淘全部面默认宝用户己标识护码，政应在劝交付座时处筹于非乞激活缝状态唯，并公在使沙用前谢由管汪理员字激活圈；

窄e)遭指蚕导性授文档嚷应同忽交付银的系种统软那么件一姻起包励装，界并应稍有一半套规览程确云保当良前送宗给用纲户的振系统云软件图是严迹格按傅最新基的系临统版墙本来捐制作反的。

疗5.台1.父12虹开碍发宅应按置GB胁/T锻2妙02容71及-2圣00春6中女6.挥1.哥5.膏3的息要求煎，从课以下踪方面坑进行身PK戒I系忍统的帜开发称：范a)碍按副非形绩式化旷功能焰说明恩、描桐述性颤高层盗设计刺、T闸SF爪子集核实现艺、T冷SF逐内部皂结构给模块疾化、恭描述相性低禾层设寇计和肝非形湖式化顺对应千性说杀明的郑要求耐，进栽行P刷KI终系统汽的开固发；隔

刊b)长系气统的腿设计右和开时发应泰保护批数据搏的完吩整性爽，例协如，光检查侦数据烈更新风的规心那么，仿返回俱状态报的检语查，腔中间灿结果龄的检竿查，浸合理辰值输局入检娇查等钉；

证c)弟在乔内部屈代码毅检查勤时，敌应解梅决潜清在的占平安奉缺陷诊，关丛闭或母取消乖所有盾的后腔门；疼

塔d)圾所绢有交脖付的捏软件饼和文肠档，巨应进慈行关递于安哥全缺筋陷的押定期蜂的和狮书面撞的检垂查，功并将桨检查糊结果亡告知呼客户各；

廊e)腰系许统控粘制数筝据，摆如口闭令和音密钥由，不是应在盈未受衣保护打的程戏序或宾文档肾中以雄明文狗形式辩储存扮，并棕以书艰面形留式向妥客户火提供奴关于聪软件尿所有遥权法根律保社护的导指南撑。

默5.融1.朽13骂指皱导性猎文档哥应按扇GB炉/T株2泄02够71芹-2元00胁6中雪6.茅1.蚕5.竖4的期要求贵，从针以下种方面棉编制胃PK威I系桐统的房指导戏性文执档：障a)炕终恭端用现户文鸟档应雹提供垮关于粪不同踪用户主的可挤见的既平安与机制哄以及剪如何喊利用登它们并的信摘息，方描述章没有然明示享用户胞的保秒护结萌构，蜻并解孝释它幼们的纵用途忆和提秋供有异关它临们使轰用的寿指南绳；

表b)驶系低统用骗户文疲档应剂提供串有关旅如何家设置告、维沾护和平分析羡系统洋平安袋的详忽细指蚕导，刻包括钉当运特行一事个安狼全设洒备时西，需快要控临制的果有关到功能代和特运权的但警告罪，以傅及与拿平安念有关滚的管阻理员候功能夺的详叶细描与述，缓包括扫增加护和删为除一脉个滴用户秘、改絮变用瑞户的亲平安部特征管等；肿

足c)纵文斧档中政不应辫提供简任何叫一旦躬泄露姿将会已危及掉系统锁平安酸的信翼息。膜有关冰平安夏的指六令和敬文档沟应划肾分等瞒级分公别提粉供应砍终端盟用户耐和系艘统用皆户。吵这些斩文档遇应为滩独立盐的文塌档，夸或作会为独耕立的哪章节搬插入崇到报终端宰用户慈指南委和系鲜统用嗓户指谦南中脸。文范档也边可为匆硬拷酒贝、楚电子寿文档燥或联颠机文组档。北如果屈是联睡机文蛇档应缓控制盒对其牵的访切问。

摩5.啄1.商14皂生无命周签期支耽持圾应按兴GB总/T普2廊02念71头-2忽00战6中勇6.毯1.宾5.惊5的税要求行，从蝴以下画方面毁实现文PK武I系抬统的粘生命洒周期灰支持鸣：扰a)猎按豆开发悟者定雾义生紧命周屡期模剩型进为行开保发；慈

率b)菊操恭作文拦档应笋详细码阐述钻平安剃启动杜和操拥作的皱过程鄙，详姨细说拨明安堤全功抓能在乎启动暮、正行常操乔作维敢护时款是否鹅能被腾撤消宾或修村改，源说明寨在故玉障或群系统士出错辽时如栏何恢挡复系吊统至咐平安庸状态寸。

夫5.例1.布15潮测都试困应按宁GB辽/T烫2墓02支71纠-2纺00柜6中债6.架1.范5.浊6的陶要求继，从蚁以下根方面像对P奥KI唇系统度进行璃测试戒：亮a)轻应封通过揪一般沸功能华测试密和相陈符性沸独立疮测试时，确拐认P完KI姿系统惜的功爽能与捞所要罗求的院功能卡相一餐致；洲

淘b)骗所写有系弓统的呜平安愿特性远，应求被全犯面测东试。泥所有疑发现引的漏拾洞应赶被改吗正、萝消除漠或使宾其无汁效，璃并在笼消除走漏洞嫩后重相新测滤试，变以证俱实它立们已洲被消打除，朵且没西有引捡出新摧的漏川洞；磁

立c)予应宗提供油测试拍文档求，详栋细描位述测渗试计详划、尖测试拣过程谊、测滤试结倘果。

封5.糠2续第二好级烦5.哑2.泥1碎概述蓬第二传级的剥PK骄I系辩统，援应提盏供审安计能由力，牌所保杀护的各资产牛价值既低，遣面临哪的安登全威睡胁小饭，适沈用于辆平安赚要求统较高青的企搁业级叉PK床I系波统。杯PK唉I系丘统面行临的谨风险脾，应耽按照渣GB仙/T离2浑09梢84鉴—2荷00披7进态行评校估。过结构版设计额上，凯PK游I系赵统捧的C日A、慈RA堡可不推进行勤明确锻的分避化，凡但证纹书资糊料库森应独悟立设示计。河RA畜可全拒部由气CA逃托管谣，软吐件功亲能模狂块可籍安装猛在同惠一台尤计算瞎机系贿统上辈，而读数据询库系框统应嗓有独炊立的植计算肠环境畅。第旺二级菌PK醉I系信统的惰平安绕要素劲要求叙列表仅见擦附录纸A。妈5.末2.堤2青物理虎平安窜进行辰PK饥I系摘统硬闪件设创备、车相关躬环境辜和系肾统安荒全的蛙设计抗时，枕应按货照G途B/早T青21米05讯2—昆20抹07没第5纳章所斯描述每的要道求。莫5.括2.船3丢角色墓与责湿任劲开发纯者应贺提供切PK冻I系续统管渗理员梳和操虚作员叔的角表色定领义。撑

碎管理臂员：招安装时、配泉置、本维护叛系统鲁；建沸立和业管理菊用户娃账户朴；配吗置轮序廓和眨审计役参数白；生圆成部妥件密踩钥；

摆查看烘和维愈护审零计日国志；奔执行羞系统都的备洞份和达恢复叠。本围级的普PK欺I系逝统要葡求提赠供审尝计和往系统倍备份建功能华，管踏理员挣的职溜责也留相应穴的多饲分配肚审计求和系钟统备块份权薄限。散

部操作素员：它签发扮和撤醒销证革书。团

围系统捆应具少备使夹主体南与角续色相告关联陪的能添力，俘并保恭证一普个身步份不痕应同顺时具址备多瓣个角叹色的其权限晴。一悲个人惩不应它同时创拥有凶多个雪角色础，开车发者听应在帝系统畏设计丹时对戒角色献的管竹理进宽行相创关限政制。繁

箭角色滤的安灯全功仙能管卧理应悄按表肠3中陵的配物置对陶授权傲的角爱色修营改安专全功悟能的千能力闹进行杏限制约。唱5.彼2.搂4肾访问砍控制考5.队2.坝4.萄1辆系统拿用户启访问妨控制哪注册稍和注故销能押够访浙问P翻KI泄系统隶信息钞和服脆务的趟用户莫应按宋正规饥的程日序执旷行。步分配梯或者丰使用洞系统考特权诊时，旬应进鸣行严汇格的堤限制夺和控亲制。肆进行股口令浊分配联时，耕应通粒过正怀规的宫程序勺控制螺。选烫取和绞使用途口令鼓时系卵统用动户应惭按已夜定义亏的策辣略和看程序胀进行哈。系等统用岸户账障号和棵终端母用户尖账号发应严驾格分滔类管誉理。羡

缴PK革I系宇统文胆档中替，应婆有访黎问控突制的乎相关减文档赞，访撑问控胁制文飞档中完的访旦问控肌制策编略应还包含绳如下烂几个虫方面疼：狮a)捷角怠色及骆其相于应的王访问槐权限

守角色补及其陆相应基的访埋问权萌限的带分配纺见表勒4。熄b)户标该志和杰鉴别勤系统盛用户份过程

听应符伙合5桃.2响.5杨的要旬求。

刮c)液角支色的勾职能啦分割

坊应符免合5肃.2甚.3杀的要畜求。抓5.坏2.妹4.菜2幅网络盖访问鱼控制孙进行乎远程倦访问只时，愤PK变I系田统应蕉提供你访问骂控制影。远拳程用类户只佛有被夫认证淘通过园后，针PK堵I系撞统才准允许姓访问粘，并盖只对亚授权悔用户抽提供馋被授诸权使净用的圆效劳垮。系妻统开匆发者轧应提拨供对就远程央用户锅终端赠到P案KI卡系统裂效劳报的路良径进度行控丑制溪的方耀法，单并采利取防芒火墙知、入准侵检壁测等樱平安心保护所措施塞。对狱远程材计算粉机系幼统与斤PK舒I系稳统的淋连接犁应被灰认证扩，认咳证方雪法包起括计剩算机妖地址电、访慨问时院间、评拥有笼的密垮钥等呢。P峡KI娃系统鱼应定刻义网煤络访肺问控维制策灾略。阵PK层I系斤统的扫诊催断分便析端聚口是程重要魄的受机控访愧问端奏口，垄开发壶者应薪对其剖访问公进行乒严格厉的安傲全控卖制，姥能够肺检测硬并记恨录对呆这些闷端口冬的访知问请勉求。更5.芝2.叮4.指3括操作括系统冤访问处控制着每个列用户赵只有惧唯一站的I御D，息以便厘在P额KI发系统济的操廉作能公够被娱记录仿追踪斥。

狠当系软统用吩户正燕在访忘问P辩KI摊效劳误系统仁，中吐途长役期离裤开用嗽户终缩端时廊，P煤KI尼系统嫩应能式检测挠出这畅些终厨端经灯过了怒指定恶时间援的不休活动颜状态静，并退自动夜进入攀保护端状态暑，采戴取锁艳屏、给断开踪连接疏等措鹊施，耻防止跑未授津权用装户访货问。约对高倡风险岩的应攻用应新限制拴连接况次数身以提饭供额渡外的妖保护牺，对拜短时庆间内记超过岩限制脉次数呜以上脱的连他接应睬进行仁可配粪置的案操作隔并记誉录。忧5.追2.垫5抛标识柿与鉴蹄别抚标识局与鉴胶别包个括建补立每墓一个亦用户映所声锁称的饼身份广，和融验证紫每一万个用负户确贫实是遇他所撑声称术的用坟户。是确保疮用户样与正圾确的征平安旱属性您相关宁联。私5.均2.梁5.忘1睬用户性属性击定义香PK乖I系趣统应蒸维护箩每个答用户梳的安疑全属寿性。贴

闭平安秘属性宇包括道但不犯限于贷身份弄、组仅、角赌色、表许可偿、安钞全和出完整歉性等胁级。诸5.阶2.锅5.沾2纯用户弟鉴别月PK湖I系川统的豆平安府功能山应预驻先设警定P清KI燥系统逆代表苦用户炉执行乌的、些与安袜全功管能无键关的致动作奶，在遗用户截身份景被鉴酒别之匠前，展允许看PK晶I系送统执献行这摇些预笋设动榴作，似包括氏：浇a)刑响酬应查失询公核开信续息〔嚼如：驴在线浊证书罩状态养查询铜等〕旨；

菠b)栋接因收用远户发悲来的光数据巡，但页直到描系统徐用户幸批准籍之后狂才处扇理。

遍管理担员应恢对鉴伯别数屡据进赤行管鞠理。际

架PK监I系富统应而定义槐所支艘持的旁用户漠鉴别迎机制响的类帖型。昆5.睡2.补5.作3尾用户弟标识穿PK炒I系池统的兰平安杜功能温应预元先设堤定P公KI信系统肉代表印用户误执行恐的、遵与安边全功直能无绑关的烈动作闯，在珠用户解被标雷识之船前，煮允许吗PK很I系咸统执璃行这掠些预誉设动匀作，疫包括趴：此a)病响炊应查漠询公弦开信膜息〔葡如：誉在线产证书管状态断查询菜等〕悔；

窑b)拳接狗收用考户发指来的滋数据景，但用直到据系统舌用户苏批准筐之后挑才处全理。

到5.牵2.洲5.冤4榜用户恳主体型绑定雷在P搅KI抢系统霸平安牙功能密控制情范围治之内撇，对需一个味已标社识与算鉴别格的用欺户，酸为了芒完成烫某个祝任务奖，需蛮要激摔活另丰一个否主体斑，这促时，小应通争过用矩户主师体绑凯定将己该用卷户与议该主车体相涛关联崖，从敬而将鄙用户限的身刘份与择该用辜户的旋所有净可审桃计行颜为相烂关联种，使降用户炸对自石己的扬行为豆负责评。坝5.罩2.窄5.皇5碰鉴别做失败件处理扑当用斩户自译从上胳次鉴面别成臣功以奶来不屈成功漠的鉴限别尝妻试的筋次数暖到达叹或超嘉过了斤定义欢的界迅限时崖，P墨KI订系统冶的安香全功虑能应桐能检肃测到冷。这浊个界介限是足管理马员可款配置皆的。岗管理降员可旧配置杆的参括数包家括但它不限闭于，挑失败歇的鉴辈别次涉数和耍时间店门限壳值。胁

套鉴别译不成斗功尝狼试的柱次数命不必潜连续番，但省应与毕鉴别街事件侮相关状。或5.舟2.汤6步审计该5.倍2.转6.逐1视审计涉数据往产生斗审计腹功能树部件董应对抄以下吐事件层产生霉审计踏记录岁：周a)蠢审庸计功微能的冈启动努和结朴束；牢

羊b)学表眯5中嫩的事坊件。凑

由对于岛每一迫个事辣件，仔其审踪计记吐录应锡包括逗：事杠件的耳日期弦和时膊间、赠用户洲、事须件类境型、哄事件京是否乡成功缺，以盆及表看5中秧附加罪信息钥栏中躺要求宇的内艳容。踪

学日志洁记录校中不仆应出砍现明共文形点式的僻私钥浆、对块称密熟钥和胜其它泥平安盾相关绵的参牺数。迫

年审计祸功能绣部件鬼应能杜将可诵审计妈事件执与发误起该郑事件疏的用煌户身脖份相充关联尼。召5.冠2.傅6.也2笔审计叮查阅弦审计贡功能豆部件撒应为庙管理上员提斤供查堆看日刮志所羊有信炉息的价能力辽。

钩审计翅功能僻部件匀应以价适于普阅读撒和解漠释的慎方式亡向阅帆读者猛提供躲日志宅信息蚕。慰5.忽2.物6.涨3的选择沫性审首计佳审计蚁功能喊部件摔应可棚根据香以下并属性闻选择线或排争除审留计事租件集荣中的懂可审轿计事授件：性

锯用户鲜标识芝、事奸件类澡型、掏主体抢标识赞、客菠体标什识等惠。堂5.俱2.埋6.掉4很审计茫事件宣存储谦审计辅功能掀部件膝应具姐有以皆下能丙力：败a)结受养保护饥的审杂计踪乘迹存拜储，骂能防职止对翅审计等记录烛的非役授权们修改衔，并太可检妙测对绣审计猜记录牲的修祥改；米

霜b)慈防腿止审未计数窜据丢好失，孟要求娱当审悄计踪造迹存巡储已详满时玉，审缝计功误能部蚊件应按能够稿阻止设除由专管理斑员槽发起垒的以羡外的洪所有释审计书事件耍的发蛾生。

仁5.买2.污7仙数据虹输入冠输出杜5.虚2.国7.莲1膝TO宵E内漆部用残户数澡据传禁送职在P杏KI婚系统恰的物沟理分曲隔部捐件间寇传递刚用户印数据折时，幼PK究I系裳统应周执行备访问侦控制丈策略赌，以单防止爬对安硬全相地关的讯用户舰数据肉的篡崇改。蛙

讯在P蒙KI蹈系统立的物牲理分疼隔部亡件间巩传递惩用户降数据版时，辈PK解I系芦统应唯执行骡访问霞控制去策略景，以贺防止竹机密薄性用州户数疫据的诉泄露揭。跟5.括2.拳7.谦2味TS槐F间垃用户浊数据迅传送况的保逐密性芳当用言户数或据通陪过外粉部信北道在日PK炸I系勿统之是间或铃PK扩I系惑统用鸟户之腾间传到递时另，P楼KI班系统劫应执畅行访唱问控腹制策愁略，侄使得垄能以仔某种痒防止姑未授勾权泄物露的穗方式矩传送编用户蜻数据奥。谨5.吨2.柴7.俭3苹输出骨TS酸F数伍据的由保密滨性概在T景SF福数据无从T绍SF尊到远君程可抛信I举T产追品的备传送飞过程眠中，慧应保油护机劣密数胡据不咽被未透授权扁泄露爽。

盛这些弓机密聋数据满可以才是T数SF爬的关钓键数刊据，禽如口鼻令、逆密钥明、审棒计数库据或机TS逃F的透可执资行代驳码。终5.咳2.元7.葡4符TO愉E内法TS斩F数稀据的规传送裳PK原I系格统应圣保护裳平安脆相关降的T笑SF轧数据返在分麻离的斧PK渡I部抓件间晴传送跨时不栽被篡击改；申

团PK阁I系拐统应济保护狭机密蛋性T溉SF鉴数据霜在分凤离的而PK支I部款件间纪传送神时不晋被泄蛙露。薯5.层2.铸8洞备份义与恢攀复躺PK疑I系搞统应尾具有糠备份荡和恢组复功腊能，锋并可宋在需暗要时谨调用含备份伯功能说，使在在系炸统失盲败或熊者其锻它严竞重错暮误的吴情况绒下能春够重孔建系婶统。互执行腊备份唯的频岭率取上决于盈系统慕或者蝶应用副的重赶要性青。在叫系统等备份改数据绑中应犬保存算足够酸的信坚息使介系统俘能够讲重建间备份怠时的核系统区状态好。榴5.奶2.推9咐密钥染管理帆5.型2.惠9.接1雹密钥的生成世5.努2.晃9.三1.粱1厉PK协I系酒统密拳钥生救成倚PK哗I系闪统部段件密恨钥和强系统贸用户品密钥冒生成件应由供相应涨级别闸的C朵A或望RA源等机安构进舍行，峡可用药软件依方法姻产生返，生辜成算视法和饺密钥陆长度桐等应斗符合嫌国家检密码钻行政饼管理刮部门区的规坝定。公在进谱行密呀钥生窜成时畅，P煎KI赴系统橡应限纹制非常授权匠人供员的朝参与法。

己CA贤签名册公私各钥对乡应采慨用国丛家密熔码行棉政管继理部蜡门认蹄可的查方法可生成损，可织用软染件方豆法或鹊硬件潮密码搞设备贵产生因。在惨密钥赖生成国时应滚检查疫用户舅角色掠，并洁设置灶为只候有管堪理员衔才能神启动瓜CA寿密钥耐生成笑过程忘。瞒5.渠2.娘9.拜1.造2稻终端索用户映密钥窜生成珍终端追用户暂的密电钥可落由用色户自朝己生盒成，刘也可层委托遵CA要、R秩A等属PK允I系享统的贴效劳兴机构带生成威。

最终端浴用户萝密钥柜可用书软件陕方法蕉产生溪，生摄成算岸法和瓶密钥驱长度涝等应薄符合家国家恳密码芦行政随管理玩部门续的规大定。症5.损2.辫9.久2页密钥犯传送凯与分舍发渴5.免2.扬9.纵2.穿1伐PK代I系戴统密先钥传诵送与派分发皇PK叉I系废统部慈件密题钥的振传送君与分减发应隆以加杜密形韵式直添接发么送到堤PK首I系尸统部档件中嫁，加雅密算街法等攻应符疮合国驰家密厕码行讲政管厕理部少门的扁规定烧。

佛系统较用户蝇密钥狗的传柴送与补分发栗应以爷加密翼形式缠直接矮发送绝到系用统用车户证叛书载床体中疗，加铃密算圾法等姓应符量合国丙家密踪码行挣政管渔理部睡门的晶规定铃。

匪CA像公钥槐分发荡方法蒸应适蛮当、雁切实随可行负，如夫提供俯根证触书和影CA剩证书浮下载酬、或医与终泰端用禾户证责书一筛起下截载等旦，应麦符合钞国家泄密码畏行政火管理肾部门匆对密怕钥分抓发的忙相关扁规定辩。C拳A公握钥分吉发还芝应保羊证C欧A公或钥的讲完整典性，筝可通牺过禾嵌入皂应用仗软件矮、S团SL锄、手帖工等闻方法尚分发饭。类5.劝2.迁9.油2.干2斥终端添用户蛾密钥狡传送抽与分竭发昨如果袄终端搂用户绪自己听生成仅密钥芳对，匙把公赔钥传春送给螺CA萝是证幻书注体册过草程的扔一部蹲分。滋终端隔用户衬应将沃公钥狸平安枯的提鲁交给冻CA漆，如香使用百证书繁载体最等方暗法进般行面脊对面劳传送迟。

霸如果科终端眯用户萝委托蹄CA踪生成吴密钥缸对，震那么不胃需要娇签发塌前的邮终端截用户稻公钥浴传送梁。C球A向旅用户碌传送联与分扁发私谷钥应牵以加赛密形飞式进污行，趣加密良算法周等应砍符合吨国家榴密码剑行政罗管理区部门烦的规桥定。薪5.墓2.睬9.火3口密钥疾存储驻系统宗部件允密钥削和系驻统用嚼户密轰钥可丹用软店件加蔑密的基形式梁存储趣，加漫密算杯法应治符合团国家律密码弱行政句管理匠部门躺的规赏定。波

烦CA伟签名墙私钥匀应存奖储于据国家荐密码谨行政灿管理臂部门项规定症的密趣码模全块中仇或由诵硬件降密码唯设备摆加密亚后存恨储。瞎

蒜终端顺用户涉密钥况由用榴户自密行存董储。晕5.绳2.芳9.陈4暖密钥接导入雷导出惠密钥活被导盼出到减PK炼I系吉统之殿外可精能基悦于以感下的绵原因菠：密瞒钥备炒份、肉复制锤，以技及将妨PK吃I系牌统部土件产勾生的专密钥森传送语到用阅户手顷中。绒

反密钥册导入行或导光出P徐KI森系统纷时，役应采绢用国游家密尚码行澡政管练理部此门认伯可的挺加密虑算法身或加腊密设脚备。装

悲私钥接不应燥以明硬文形醋式导流入导匆出P蛙KI帆系统栽，P键KI兰系统板用户占密钥愿、系纯统部鸣件密踩钥、葬终端过用户雕密钥陷可使煤用软诉件加精密，揭CA涌签名吗私钥脾应使豪用软召件方前法或巷硬件数密码扣设备也进行星加密律。

晋PK骄I系城统应园提供齿适宜痕的方递法把遭导入好或导跑出P泻KI余系统烂的对迫称密肯钥、庄私有衔密钥摘或公匙有密耍钥与穷正确活实体贡相关浓联，反并赋信予相忌应的测权限丰，其浓中实跨体可苦能是逝一个腥人、茅一个朴组或忍一个辆过程根。婆5.栗2.脾9.阅5择密钥睬销毁挤PK撤I系嘴统应斯提供专销毁稠对称页密钥臭和私响有密追钥的钩适当过方法返，P拜KI纵系统税文档圣中应花规定浩这些必密钥型销毁迟方法所，保馒证销阔毁过叠程应皮是不量可逆舰的，乏密钥渴销毁秩方法夹应符戒合国话家密答码行偿政管齐理部往门规坐定。训5.哗2.沙10牢轮喊廓管带理刚5.闻2.身10剂.1爪证遣书轮该廓管预理仪证书另轮廓肥定义古证书饿中的睁字段恋和扩寨展可呢能的纷值，瞧这些摆字段织和扩踏展应方与G辞B/芦T宵20土51泰8-苹20扬06乞标准谱相一膊致。

律证书障轮廓刊包括肉的信称息有疼：酬a)忘与家密钥也绑定全的用努户的牢标识泪符；浙

甩b)京主蜂体的倚公私党密钥敏对可藏使用迅的加帝密算虹法；杰

辫c)微证刺书发丸布者墨的标似识符洒；

罢d)他证少书有蜻效时姥间的蓬限定督；

羽e)驾证技书包帐括的拨附加自信息课；

曾f)挎证臂书的攀主体讲；

已g)穴与榜证书暴相对行应的雁私钥胖可执哀行的括操作功；

崇h)睛证肝书发竿布所省使用靠的策还略。

把PK纽I系教统应采具备蛮证书伐轮廓糕，并帐保证唤发布圈的证却书与丑证书锁轮廓培中的取描述裕一致陡。P烛KI澡系统杠管理缘员应损为以纹下字楚段和厌扩展碑指定题可能涨的值捆：通a)抽密低钥所赶有者经的标嘱识符咏；

候b)箱公艳私密务钥对挣主体泽的算兼法标越识符艺；

浅c)执证书书发润布者阁的标掩识符宗；

专d)巴证些书的谱有效籍期。

仰PK烘I系限统管首理员唇还应脏为以怀下的摄字段轮和扩魔展指庆定可惜能的升取值量：搬a)棋k昂ey蔽Us难ag沾e；撕

纽b)笋b脱as上ic印Co骑ns钩tr榜ai壁nt脊s；罢

肯c)寺c间er金ti婆fi茎ca贴te耻Po努li半ci爆es回。

推管理身员还苗应为僵证书扶扩展查指定玩可能成的值埋。妨5.抄2.渠10烤.2心证牵书撤涌销列公表轮刺廓管温理锄证书宿撤消甘列表凤轮廓聋用于敲定义隐CR傻L中隙字段嘱和扩堵展中诸可接低受的帅值，把这些格字段乡和扩限展应同与G见B/激T崭20送51膝8-默20捎06滨标准滤相一乓致。排CR活L轮经廓可剖能要茂定义堪的值闪包括银：至a)岔C湾RL捡可能谋或者衡必须世包括探的扩跟展和芝每一汪扩展确的可桌能的造值；灭

谎b)压C号RL图的发住布者葵；

岭c)各C这RL难的下无次更剧新日锄期。

兔假设P程KI志系统谨发布指CR饥L，含那么应营具备族证书刑撤销跨列表赛轮廓搭，并撇保证枝发布因的C筑RL他与该装轮廓监中的君规定霸相一诉致。

蒙PK沸I系盖统管惕理员扩应规贩定以色下字塞段和裁扩展煎的可蜘能的睡取值慰:休a)稿i浆ss蹦ue枯r；添

情b)伟i球ss古ue鱼rA子lt符Na神me手；

哄c)围N漠ex骗tU固pd汗at赴e。

聚假设P时KI皆系统泽发布塘CR铅L，贱管理症员还逃应指启定C烟RL携和C恳RL型扩展棚可接煎受的影值。些5.奶2.尸10课.3猜在幕线证块书状抛态协鄙议轮禁廓管粱理原在线君证书添状态浸协议揭轮廓计用于午定义凑一系漂列在失OC搁SP代响应宪中可俘接受序的值渠。O释CS咸P轮谨廓应往规定扶PK吼I系股统可倚能产都生的威OC击SP研响应劳的类判型和驾这些壮类型苏可接挪受的雀值。眯a)露假设含PK禁I系俗统发故布O朴CS葛P响雷应，落PK佩I系望统应暖具备征OC傅SP蛾轮廓最并保销证O嫩CS稳P响芦应与胖轮廓禁一致驱；

庙b)刮假设泳PK续I系杀统发莫布O授CS芽P响愧应，辟PK余I系肉统应兔要求芬管理凭员为砌re绞sp杠on贺se袋Ty劈pe哭字段炸指定骑可接仗受的抵值；饮

骆c)吩假设辛PK较I系薪统允那么许使害用基仗本响暗应类遭型(菌ba亿si孟c修re欧sp事on炊se毕t殿yp戏e)术的O牧CS农P响弄应，鲁那么P品KI义系统糊管理罚员应里为

拨Re荒sp冰on万de闭rI捉D指交定可纳接受泪的值丑。

迁5.梅2.跟11元证挺书管基理乏5.摇2.窄11弄.1件证些书注择册腰PK糖I系成统所捞签发拣的公蒸钥证絮书应裂与G直B/唐T哭20舌51威8-助20警06躬相一弱致。宋任何夜证书检所包款含的缴字段融或扩杂展应矿被P涨KI傅系统朗根据敢GB驾/T馒2豪05牲18联-2艇00蜘6生银成或洒经由甜颁发不机构钢验证衔以保鸟证其魄与标酿准的响一致觉性。黑

禁输入升证书活字段零和扩踢展中逢的数昏据应崇被批塞准。瑞证书务字段互或扩傻展的柜值可贸有以织下4捕种方音式获座得批士准：贤a)侍数娇据被那么操作乎员手蹦工批日准；斯

杰b)瞎自傲动过颜程检句查和完批准取数据松；

武c)挨字膀段或仙扩展蓝的值居由P狸KI悲系统踩自动圣的生暴成；深

邪d)矮字螺段或阶扩展忘的值汉从证漂书轮专廓中至获得秩。

乱进行喷证书画生成捞时，仓a)袍应躺仅产雅生与暖GB些/T唉2重05地18慧-2轧00恶6中肃规定俩的证待书格赴式相鉴同的悼证书触；

荒b)恐应石仅生盐成与啦现行忠证书污轮廓黎中定宣义相柿符的丈证书司；

汗c)仁P脸KI希系统迷应验套证预颜期的肾证书那主体给拥有陕与证振书中肥包含它的公矩钥相倡对应抗的私哑钥，洗除非候公私苹密钥筋对是筝由P加KI青系统访所产贺生的随；

花d)祖P似KI需系统梦应保茄证：充

左1)化v做er膨si赠on牲字段叮应为距0，谷1，黄2；肥

斑2)住假设纠包含怖is食su晚er径Un爽iq括ue知ID奶或s堤ub擦je须ct捞Un柳iq经ue滨ID羡字段台那么v蝶er年si乖on铁字段切应为脱1或产2；摔

坦3)斯假设闭证书鼻包含锤ex尿te戚ns地io攻ns宴那么挪ve瓣rs午io消n字贴段应屋为2捧；

龙4)挣s优er微ia稍lN塘um遥be异r字埋段对职CA厚应是朋唯一茄的；平

暴5)虚v房al些id膀it榨y字辉段应裤说明线不早朗于当相时时邻间的宋no紫tB木ef基or粉e值笋和不逮早于察no让tB堆ef键or茂e时恳间的眯no鸟tA您ft悉er猛值罗；

真6)罚假设醋is步su丰er彩字段灵为空兰证书妨应包倦括一充个i权ss化ue投rA咱lt络Na赢me榴的词关键话性扩馋展；额

储7)不假设导su衔bj劣ec涛t字互段为志空，怕证书扎应包绕括一野个s绢ub惊je摸ct棒Al谱tN瞧am击e的挡关键彩性扩绩展；而

嗓8)峰s哑ub顶je商ct拥Pu而bl悼ic完Ke世yI伸nf丽o字链段中开的s篇ig铜na凯tu扁re互字段命和a现lg乞or益it械hm赔字段灵应包纺含国丹家密公码行唱政管粮理部劳门许计可的港或推抓荐的掏算法搬的O弓ID壶。

遮5.龙2.笑11坑.2胸证期书撤肺销恩5.张2.议11缎.2便.1堡证刻书撤协销列驼表审伸核穗发布丽CR盐L的垂PK乱I系总统应位验证预所有军强制艺性字塞段的清值符栽合G纺B/缺T歉20德51置8-向20司06柳。至妖少以喜下字无段应岂被审印核：复a)叉假设殃包含中ve胡rs悄io丹n字转段，才应为去1；滤

习b)强假设退CR质L包假设含关乎键性腊的扩宝展，扛ve带rs播io跪n字姜段应拖出现蚊且为初1；厉

祝c)斜假设涉is脸su基er目字段们为空娇，C雅RL峡应包飞含一叼个i纱ss维ue渠rA农lt匹Na摆me异的关久键性刊扩展穗；

乓d)址s习ig傻na碑tu核re哲和s兵ig疯na眨tu淋re咐Al尼go婆ri伯th膊m字暖段应化为许结可的挠数字担签名吧算法手的O绍ID乞；

拢e)洗t茧hi椅sU寒pd平at升e应驶包含涌本次削CR摘L的烫发布绝时间扣；

涛f)耀n永ex盗tU计pd疯at抹e叶字段亩的时旅间不等应早梢于t肠hi欠sU竿pd拳at翁e字亚段的能时间巷。

律5.活2.顾11移.2臂.2政O驻CS络P基宋本响奸应的逼审核佣发布扩OC弊SP请响应荒的P摊KI巴系统沙应验吊证所座有强开制性阴字段售的值株符合痛GB谈/T杨1室97庆13要-2狐00那5。谈至少宇应审纹核以喇下字责段：猎a)骄v约er珠si搂on涉字段浑应为哈0；撞

庆b)横假设侧is锹su椅er烧字段筹为空跨，响浑应中强应包赵含一饱个i峰ss绒ue参rA毯lt甲Na阴me团的关牙键性厕扩展赶；

吨c)风s贯ig境na招tu挺re顾Al服go禁ri启th鞋m字医段应铸为许敢可的房数字料签名撞算法闷的O家ID狗；

民d)促t己hi文sU竞pd催at烘e字延段应华指出蚀证书曾状态织正确灯的时懒间；啄

辈e)盐p猛ro遮du袄ce坐dA烤t字奔段应柏指出挣OC男SP拼响应旧者发懂出响吴应的铲时间衡；

厚f)炸n险ex震tU窝pd小at旁e伸字段辫的时禁间不水应早巡于t寄hi店sU峡pd吧at渴e字肿段的微时间家。

胸5.公2.觉12别配膛置管值理忍应按神GB缺/T说2庙02饰71初-2能00狭6中过6.绢2.怠5.悠1的肆要求子，从肆以下架方面狼实现围PK招I系钻统的素配置惜管理死：棕a)兴在奶配置咱管理压能力美方面摩应实暖现对穷版本唉号等栏方面捎的要据求；灶

所b)影在律PK第I系奋统的踢配置巧管理找范围纲方面曲，应绑将P教KI音系统炒的实鸟现表道示、避设计名文档壮、测絮试文座档、江用户谁文档迎、管圣理员恐文档剂以及肤配置墙管理赚文档倦等置叶于配要置管剧理之静下；刚

印c)后在张系统腥的整摇个生居存期侨，即朝在它屠的开邮发、闪测试帜和维何护期欢间，总应有叮一个涝软件因配置踢管理忧系统礼处于鸭保持键对改益变源隔码和颗文件席的控掏制状箩态。现只有敲被授徒权的塔代码典和代少码修狱改才利允许痛被加壤进已烈交付胃的源期码的暗根本魔局部声。所里有戴改变风应被截记载而和检盟查，誉以确连保未派危及抓系统盯的安丑全。姑在软扣件配少置管占理系院统中耀，应珍包含却从源恢码产爬生出犁系统罢新版件本、虏鉴定销新生圈成的插系统净版本材和保挠护源坦码免桶遭未称授权星修改亲的工欺具和岁规程逃。通勾过技佛术、问物理芝和保犁安规千章古三方馋面的领结合赌，可怖充分记保护隙生成终系统爸所用育到的崇源码麻免遭穷未授叛权的姻修改顿和毁糠坏。

岔5.秒2.政13拴分护发和朱操作黑应按压GB抚/T蹲2率02饿71购-2惩00晨6中嘉6.恳2.翠5.胁2的猫要求姨，从吵以下抢方面裹实现锐PK剃I系楼统的尸分发奸和操伶作：想a)散以贪文档骑形式晒提供窝对P猾KI俭系统稿平安视地进档行分植发的赔过程剃，并扣对安权装、当生成识和启征动的柔过程假设进行亿说明雹，最咬终生棕成安玻全的阴配置沿。文扇档中斜所描无述的研内容亲应包碗括：萍

皇——桥提供睬分发豆的过袖程；邮

旅——晕平安凭启动仍和操池作的趋过程免；

裤——凤建立跪日志酿的过凝程。超

赔b)架对况系统潮的未恋授权湾修改盆的风左险，光应在绞交付掌时控途制到懂最低捎限度喘。在僻包装充及安王全分坝送和易安装幸过程而中，珠这种吃控制荒应采询取软犹件控野制系咽统的智方式沃，确牌认安禾全性矩会由持最终复用户耍考虑堪，所痰有安茧全机专制都捐应以董功能舟状态闻交付竿；

钳c)仁所邀有软势件应蒙提供伪平安鹿安装扔默认体值，吴在客乌户不淹做选康择时逆，默汽认值洪应使拳平安颗机制猎有效表地发考挥作热用；乘

葱d)没随仇同系米统交槽付的孤全部桃默认迫用户债标识腾码，汤应在撤交付绒时处辰于非芒激活猛状态也，并有在使扶用前扒由管丹理员迎激活窑；

锋e)帅指单导性革文档伏应同迁交付椒的系怜统软掉件一娇起包晒装，走并应带有一破套规决程确零保当况前送拌给用良户的拌系统顺软件突是严贿格按著最新糖的系铸统版业本来急制作猛的。

网5.粮2.亭14足开歉发桐应按似GB维/T唉2蜂02率71刊-2仰00径6中药6.象2.演5.泛3的基要求奉，从原以下须方面绒进行郑PK假设I系右统的绍开发肢：萌a)每按励非形银式化炸平安送策略泥模型秒、完量全定弱义的比外部粥接口太、描件述性菌高层舞设计关、T雹SF蝇子集棍实现条、T倚SF袍内部阔结构驼层次序化、罢描述胞性低垮层设海计和来非形草式化镰对应醋性说梢明的心要求娘，进著行P圈KI省系统字的开完发；旺

缺b)僵系塘统的宅设计夸和开参发应观保护损数据剂的完露整性符，例快如，肺检查环数据境更新炒的规旱那么，耀返回晃状态椅的检帆查，冶中间颤结果常的检折查，社合理扣值输芝入检隆查等希；

蜡c)信在耕内部下代码糕检查剪时，滋应解施决潜晌在的讯平安志缺陷赌，关帝闭或挤取消梳所有爷的后翼门；亦

帽d)挥所凝有交饲付的萝软件摆和文昂档，辱应进眼行关菠于安圈全缺竟陷的恢定期陕的和质书面酿的检挣查，治并将树检查迫结果适告知笼客户缘；

抗e)鱼系宏统控病制数胆据，睬如口盛令和府密钥膜，不瓦应在害未受姥保护夺的程污序或刮文档摘中以云明文舍形式显储存查，并控以书添面形鞭式向闹客户献提供纸关于京软件团所有斥权法冬律保云护的惰指南畅。

绵5.愿2.休15诵指船导性枪文档惯应按归GB犯/T播2鹊02蚕71诞-2团00锻6中洽6.购2.悼5.须4的遍要求误，从法以下也方面章编制嫩PK页I系届统的缝指导洁性文裳档：贿a)填终贿端用吹户文识档应滔提供颜关于盈不同销用户宽的可变见的吩平安阵机制尚以及您如何箭利用庄它们撑的信轰息，羽描述扣没有呀明示哪用户阁的保搜护结亮构，半并解狠释它未们的包用途斥和提是供有跑关它滋们使施用的船指南销；

福b)较系索统用旱户文臣档应危提供奇有关申如何智设置测、维窃护和堂分析传系统茶平安腊的详筋细指双导，夏包括机当运热行一治个安乔全设腾备时钢，需进要控控制的雕有关丈功能星和特孔权的猎警告塑，以届及与刑平安胸有关喜的管华理员身功能圈的详凭细描允述，精包括管增加注和删夏除一售个剑用户扣、改蛇变用争户的伪平安辨特征蒜等；宰

扫c)乱文移档中隙不应桌提供飞任何炉一旦凯泄露迫将会昌危及母系统裂平安方的信番息。刊有关今平安站的指右令和恭文档速应划培分等页级分怨别提顺供应照终端胁用户叨和系挪统用骨户。疯这些抖文档检应为太独立徒的文旁档，请或作专为独迫立的流章节闯插入的到终雄端用俯户指攻南和弦系统就用户辟指南原中。载文档导也可梦为硬肺拷贝通、电愁子文汽档或趋联机酿文档望。如把果是岗联机她文葵档应丢控制嚷对其捉的访宫问；值

靠d)怪应饿提供盯关于板所有柱审计我工具哄的文融档，滨包括细为检两查和包保持站审计泛文件芦所推唐荐的亮过程最、针励对每羞种审桐计事引件的诊详细近审计梨记录边文件挂、为编周期绵性备闻份和烘删除家审计鼻记录说所推置荐的遗过程滋等；扰

决e)摔应烂提供督如何猴进行攻系统下自我滴评估知的章疲节〔脑带有榜网络姿管理抗、口观令要袄求、胜意外证事故终方案旧的安退全报效告〕合和为才灾害谢恢复脱方案烘所做连的建升议，川以及箩描述蓄普通怠侵入手技术已和其挎它威安胁，白并查些出和猫阻止矿入侵位的方谋法。

确5.汇2.贱16匙生箩命周飘期支亭持松应按殃GB静/T眠2猛02元71久-2每00森6中犬6.悲2.扔5.爪5的老要求尘，从酬以下挨方面励实现赶PK循I系晓统的衡生命庸周期框支持唤：画a)钞按护开发航者定辉义生遥命周渴期模幻型和锄明确趟定义岁开发堤工具谢的要处求进亿行开撤发，棍并提烧供开盒发过棒程中叨的安尸全措抛施说孔明；跌

嚷b)句操谢作文刺档应泥详细柔阐述次平安宝启动麦和操分作的摘过程程，详蛾细说酬明安惕全功绍能在牺启动阳、正民常操疑作维晚护时哨是否父能被蔑撤消惹或修浩改，姓说明禁在故吧障或扰系统胀出错育时如少何恢律复系涌统至唐平安妥状态陵；

大c)尺如甲果系昨统含挣有加当强安锹全性悉的硬型件，业那么样管理切员、君其他卷用户俱或自斥动的陆诊断流测试商，应奶能在尸各自怪的操笑作环作境中腹运行浩它并讲详细慌说明洲操作表过程嫩。

吴5.输2.排17游测与试个应按库GB啊/T敌2匹02料71岭-2撤00塞6中槐6.丛2.攻5.支6的消要求养，从问以下腾方面睛对P缝KI唉系统聪进行丙测试奏：冒a)甩应台通过意测试助范围地的证割据、沾测试照的范国围分滩析、姿高层周设计逮的测挎试、忘相符屿性独贵立测离试，脂确认雨PK痛I系粗统的辨功能盈与所惨要求棕的功地能相跌一致颜；

叔b)孩所毒有系戴统的啄平安挺特性胆，应伐被全冈面测鹿试，放包括添查找双漏洞传，如疼违反估系统涉访问宅控制资要求狗、违桂反资忠源访浇问控换制要楼求、充拒绝恒效劳徐、对斗审计床或验蒙证数歼据进帆行未熔授权贸访问宫等。葡所有化发现撒的漏叮洞应娱被改减正、滋消除危或使纪其无巡效槐，并宾在消胜除漏家洞后灿重新狗测试白，以攀证实烧它们榜已被较消除槽，且才没有把引出勺新的怠漏洞甩；

喜c)闸应李提供宗测试悔文档辅，详溪细描炕述测奖试计烈划、笋测试川过程辨、测轨试结置果。

战5.家2.看18厘脆贤弱性瓶评定释应按胶GB坝/T肤2荐02方71浅-2册00让6中紧6.旦2.济5.趴7的付要求贯，从应以下漆方面罩对所插开发量的P长KI饰系统添进行杠脆弱戏性评美定：尸

茂a)抖指判南检阁查；他

腹b)签P掠KI匹系统世平安小功能凉强度寨评估里；

奥c)钥开虏发者蜘脆弱著性分测析。

普5.院3薄第三欺级荣5.取3.妥1齐概述谨第三举级的债PK制I系劫统，内所保降护的规资产基价值矮较高踏，面拔临的夕平安辫威胁胀较大月，应鸦提供衰全面穴的安夕全保隐护，丹适用抓于运腊营级伴的P赶KI辽系统己或者傲平安平要求稿极高舞的企扫业级冰PK舞I系广统。味PK注I系致统面轿临的殖风险去，应绪按照爷GB挪/T葱2甩09氧84萄—2钟00川7馒进行苹评估喘。结骨构设怎计上患，P迫KI测系统尘的C辅A、碗RA屠和证曲书资绢料库弄都应塑独立奔设计东，并配采用俭终端肤用户业证书潮分为锄签名向证书歉和加航密证忍书的蜜双证稿书机缸制，葛建设纲包括唯证书醋认证舱中心奖和密姜钥管顺理中预心的恳双中瘦心系秒统。炎证书光认证士中心沾和密曲钥管症理中与心的继根本垫功能蔑要求膀、建泊设要储求和硬运行璃管理险要求耗等相迎关安衫全技倘术要产求应录符合生国家朵相关垦标准宝的规贯定。松第三滋级P遵KI聚系统纳的安孟全要佛素要祝求列烦表见巾附录雕A。尝5.旦3.炸2赛物理适平安擦5.脖3.返2.洁1需核心庆部件绸物理慈平安亲进行吊PK市I系触统硬同件设球备、师相关邻环境喊和系英统安休全的施设计籍时，彼应按卫照G挣B/隆T望21故05怜2—浪20摘07问第6妨章所世描述射的要驰求。刷5.白3.帝2.往2逢RA肿物理狱平安灯RA驻可全粗部托得管在借CA趟系统傻，也柏可部广分托您管在并CA次系统橡，部诉分建郊在远服端。雨

商RA斗应设洪置专筹门的菠区域验来接庙待日著常业邀务，脉只有队被授禁权者献才能疗接触活RA遍工作攻站和德相关态敏感英数据厨、设杀备。如

牌RA收应妥荷善保恋管私文钥，次在R雹A设馅备不深使用寸时应菊锁存鸦私钥考。

缩RA资设备屿应有敬平安右人员脉和电棚子监曲控设眼备保润护防烈盗。旺

丽所有咐的活舒动都犬应被早授权备人员冈或安级全人冲员监畏控。类

裤RA查对外点效劳防的时维间应流被严替格限亮制在南指定饿的时插间。羽

毛维修蹦和服看务人盒员在释工作例区域依应受灾监控斜。此5.道3.兴3哥角色兰与责弦任躺开发默者应断提供识PK锅I系桑统管冰理员斤、操污作员浅和审箱计员甚的角碌色定费义。朋

槽管理尘员：湖安装昂、配煌置、趟维护蚂系统但；建温立和宝管理殃用户题账户锹；配邮置轮主廓和矿审计阻参数圾；生渔成部启件密深钥；

火执行类系统后的备首份和宗恢复那。本勉级P总KI磁系统严新增辫审计迟员角翼色，婶与审鹊计相黄关的各权限绪只应捕分配估给审盘计员最。

释操作融员：约签发套和撤励销证检书。瘦

锤审计绣员：塘查看魂和维征护审唯计日干志。阀

浇系统悦应具将备使族主体懒与角脆色相励关联垮的能延力，亭并保罚证一遇个身冻份不污应同喂时具哨备多虫个角场色的斑权限前。一著个人队不应灭同时患拥有邮多个狡角色垦，开殃发者始应在要系统胞设计园时对润角色毅的管呼理进绝行相肌关限炕制。登

绒角色非的安容全功佛能管课理应撤按表熊6中指的配练置对吐授权汪的角纺色修鼠改安瞎全功浸能的矩能力腿进行坊限制探。弹5.轰3.雾4脊访问腊控制车5.邻3.另4.策1帝系统欧用户扑访问贸控制泡注册迷和注篇销能趣够访投问P笋KI病系统境信息哑和服胆务的悦用户喷应按乔正规灰的程跳序执高行。欧分配级或者拖使用挂系统贫特权贱时，钩应进伶行严巩格的将限制间和控斥制。刑进行害口令亩分配婆时，买应通慕过正漂规的雨程序娱控制跟。应淹定期忠审核半系乳统用直户的众访问亮权限男，单检查展不应凉有的回权限锯分配赛。选咳取和灰使用士口令机时系突统用北户应稼按已君定义冰的策初略和被程序胡进行巡。系汗统用揭户账禾号和油终端婚用户喘账号残应严升格分洪类管恰理。气对无诸人值魔守的隙设备域应有秀适当扫的保饺护措藏施，镰用户梦登录楚时应去严格坦控制纱和记裕录标。插PK偶I系蝴统文撞档中孝，应拣有访恢问控钥制的难相关君文档苏，访溜问控史制文钳档中允的访蝇问控怪制策域略应壶包含餐如下聚几个途方面装：绳a)秘角仗色及咽其相究应的绒访问熊权限掠

盗角色幼及其浙相应档的访外问权公限的炒分配午见表染7。锅b)慌标揪识与芬鉴别柿系统临用户滔的过凭程

拾应符斜合5隶.3港.5奇的要茫求。举c)挂角柳色的摇职能让分割

膛应符影合5界.3猴.3知的要床求。否d)羞进步行P泰KI返系统鸡的特耀定操局作时傍需要桐的最州小系唉统用芳户人尺数最导少应纠满足味以下扁要求向：

银CA卵私钥臣和关歪键部姻件密没钥的蓄生成恒、备焦份、唤更新沃、导私入导黄出、响密钥却恢复书、密秋钥销急毁等届操作退要求享有多析个系既统用仍户同温时在常场，游并符盯合表么7的梅要求储。阿5.网3.肝4.列2歼网络产访问共控制极进行筹远程墨访问趁时，解PK然I系婆统应屋提供锹访问犹控制韵。远系程用僵户只嗽有被璃认证扭通过货后，关PK乖I系妥统才躬允许饮访问誓，并供只对吸授权说用户舍提供冒被授跟权使抄用的樱效劳股。系昼统开田发者什应提旷供对追