第三方电子合同服务平台信息安全技术要求

4本文件规定了第三方电子合同服务平台的基本要求以及订立过程安全、存储与应用安全和安全运GB/T20518-2018信息安全技术公钥基础设施GB/T32905信息安全技术GB/T32918.1—2016信息安全技术SM2椭圆曲线公钥密码算GB/T35273信息安全技术GB/T37988信息安全技术数据managementsystems-Requirements信息技术安全技术信息安全管理体系要求3.1术语和定义5数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人电子认证服务机构electroniccertific第三方电子合同服务平台third-partyserviceplatfomforelectro由国家认可的,具有权威性,可信性和公正性的第三方证书认证机构(CA)进行数字签名的一个可信3.2缩略语DLP：数据防泄漏（DataleakagePreEV：扩展认证（ExtendedVa6OV：组织机构认证（OrganizationVPKCS：公钥密码标准（Public-KeyCryptographyStPKI：公钥基础设施（PublicKeyInfrasSSL：安全套接层（SecureSocSWA：签名包装攻击（SignatureWraUSF：通用签名伪造（UniversalSignatureF4.1资质要求a)具备公安部信息安全等级保护三级或者更高级4.2真实身份标识第三方电子合同服务平台应使用OV或EVSSL网站认证证书等手段标识网站的真实性，并有效保护4.3业务持续性保障b)建立或使用与其业务规模相匹配的灾备系统设施，系统的灾难恢复能力满足GB/T20988—4.4通讯安全4.5安全评估与监管第三方电子合同服务平台应依据“公通字[2007]第43号关于印发《信息安全4.6数据安全7e)具有隐私保护措施，确保用户隐私安全，满足GB/T35273要求。4.7电子签名第三方电子合同服务平台应对电子签名人提交的电子签名进行验证，以保证电子合同的完整性和4.8记录留存第三方电子合同服务平台应记录并保存签订人的合同记录，留存期限应为当事人数字证书失效后55.1基本要求5.2实名核验方电子合同服务平台可根据平台自身的风控制度自8门授权或认可的数据库等，并采用生物特征识别技术或其他安全有效的技术手段进行人证合第三方电子合同服务平台在对企业进行实名核5.3数字证书申请在个人数字证书申请时对个人身份进行鉴别时，应符合JR/T0118—2015中有关个人有效身份证件9在企业数字证书申请时对机构身份进行鉴别时，应符合JR/T0118—2015中有关企业有效身份证件5.4密码算法及密码产品第三方电子合同服务平台采用的密码模块或密码5.5时间戳5.6存证可靠性数据交换、储存和显示过程中发生的形式变化不b)能够有效地表现所载内容并能够随时调取查用；5.7数据安全技术第三方电子合同服务平台系统数据安全，应符合GB/T36.1存储安全第三方电子合同服务平台数据存储安全应符i)在安全等级可接受的环境中再次使用媒体之前应清除媒体上已有的内部存储、缓存或其他可第三方电子合同服务平台数据隐私保护安全应符d)建立分布式处理过程中数据文件鉴别和访问用户身份认证的策略和规范，确保分布式处理数b)第三方电子合同服务平台与仲裁机构或司法鉴定机构等电子证据机构对接，如有司法举证的d)电子签名人委托他人代为实施签名行为时，第三方电子合同服务由电子签名人控制的证据，包括调用电子签名制作数据的时间和方式b)原始日志信息和归一化处理后的日志信息应分别进行存储。原始日志信息存储应进行防篡改签名，以便可作为司法证据；已归一化的日志应进行结构化存储，7.2密码管理密码算法应支持国家密码主管部门批准使用的密码算法，使用国家密码主管部门认证核准的密码7.3漏洞管理a)借助漏洞扫描工具对第三方电子合同服务平台系统及其软硬件系统存在的漏洞进行扫描，以b)通过官方渠道及时了解第三方电子合同服务平台系统及其支撑软硬件系统存在的脆弱性。及第三方电子