数字证书管理办法

数字证书管理办法一、第一章总则明确本办法的制定依据与适用边界，是所有数字证书管理动作的合法性前提。第一条为规范公司数字证书的全生命周期管理，确保网络通信、电子签名及业务系统身份认证的安全性与合规性，防范私钥泄露与身份冒用风险，依据《中华人民共和国网络安全法》《中华人民共和国电子签名法》及国家密码管理相关标准，制定本办法。第二条本办法适用于公司内部所有涉及数字证书的申请、审批、签发、使用、更新、吊销及销毁等管理活动。涵盖但不限于：Web服务器证书（HTTPS）、代码签名证书、客户端身份认证证书、VPN网关证书及关键业务系统电子签名证书。第三条职责分工如下：•IT安全部：负责证书管理制度的制定与修订，统筹CA（证书颁发机构）的选型与接入，承担证书签发审批及私钥安全监督职责。•系统运维部：负责服务器证书的部署、配置、到期监控及日常巡检。•业务部门：作为证书使用方，负责提出证书申请，妥善保管所持有的业务证书及私钥介质。二、第二章证书分类与密钥算法要求定义证书的技术基线，防止因算法过弱或类型错配导致底层加密失效。第四条证书分类及使用场景：•机构/服务器证书：用于证明服务器身份，建立加密传输通道。必须部署于面向互联网提供服务的Web应用、API网关及邮件服务器。•个人/客户端证书：用于员工身份强认证及电子公文签名。应当部署于USBKey或加密文件中。•设备证书：用于IoT设备、网络路由器及防火墙之间的双向认证。第五条密钥算法及长度基线：•非对称加密算法：优先使用国密算法SM2；若系统暂不支持国密，采用RSA算法，密钥长度必须≥2048位，优先使用3072•椭圆曲线算法（ECC）：采用NISTP-256或SM2推荐曲线。•签名哈希算法：优先使用SHA-256或SM3，严禁使用SHA-1。•证书有效期：服务器证书有效期不得超过397天；客户端及电子签名证书有效期不得超过2年。三、第三章证书申请与审批流程证书签发必须遵循“最小权限”与“业务必要性”原则，杜绝无主证书泛滥。第六条申请条件与动作机理：

申请数字证书必须证明申请主体与业务系统的归属关系。数字证书不仅代表加密通道，更代表企业在互联网上的数字身份，若证书签发给非授权主体，将导致钓鱼网站获得合法信任，直接击溃浏览器的安全警告机制。第七条流程节点与时限要求：1.发起申请：申请人登录内部工单系统，填写《数字证书申请单》（见附件1）。对于服务器证书，必须填写精确的域名（FQDN），若需泛域名证书，应当详细说明业务必要性。申请需在计划上线前至少5个工作日提交。2.部门审批：业务部门负责人在1个工作日内审批，确认业务系统确需该证书。3.安全合规审批：IT安全部在2个工作日内审核。审核域名所有权验证方式（DNSTXT记录或HTTP文件验证），核实密钥用途扩展（KeyUsage）是否遵循最小化原则。4.证书签发：审批通过后，IT安全部通过企业CA或公有云CA控制台在1个工作日内完成签发，并记录至《数字证书台账》。四、第四章证书签发、更新与归档证书生命周期管理必须在系统留痕，确保任何时刻证书状态可追溯、可审计。第八条私钥生成与托管：•生成原则：私钥必须在本地安全环境生成，严禁由CA代为生成私钥。私钥随证书外发将导致加密体系形同虚设。•格式要求：私钥文件必须使用PEM格式，并使用AES-256算法进行加密保护，严禁导出未加密的明文私钥。第九条到期更新机制（PDCA闭环）：•计划（P）：IT安全部部署证书监控探针，实时同步全网证书有效期数据。•执行（D）：证书到期前30天触发预警，到期前15天若未更新，自动向系统运维部及IT安全部总监发送一级告警。运维人员需在3个工作日内完成新证书申请与部署。•检查（C）：IT安全部每月核对即将到期证书清单，检查更新进度。•改进（A）：对于更新超时的案例，需在月度安全会议上复盘，优化自动化部署脚本。五、第五章证书使用与安全规范证书私钥是数字身份的最终凭证，其存储与调用必须处于受控环境，防范窃取与滥用。第十条私钥存储方案分层要求：•核心业务系统（如支付网关、核心数据库）：优先使用硬件密码机（HSM）存储私钥；若不具备HSM条件，应当使用加密文件系统配合操作系统内核级隔离；严禁直接以文本文件形式存放在普通服务器硬盘上。•个人签名证书：优先使用USBKey（内置安全芯片）；若需软证书，必须设置不少于8位复杂密码的PFX文件。第十一条操作禁忌三件套：•严禁将服务器私钥文件提交至代码版本控制系统（如Git）。错误做法会导致私钥被开发人员及外部平台留存，泄露后攻击者可解密所有历史通信流量并伪造网站。→替代方案：私钥必须通过安全的配置中心（如HashiCorpVault）或环境变量注入，测试环境必须使用独立的自签名测试证书。•严禁将含有私钥的USBKey长期插在办公电脑上无人值守。→替代方案：使用完毕后立即拔出并锁入物理保险柜，若需7x24小时调用，必须接入专用签名服务器并启用多因素认证。•严禁使用同一张服务器证书及私钥部署在超过5台以上的服务器上。→替代方案：大规模集群应当采用统一的负载均衡器或API网关进行SSL卸载，从架构上收窄私钥分发范围。六、第六章证书吊销与应急响应证书吊销是阻断身份冒用和密钥泄露风险的最后一道防线，必须具备快速阻断与全网同步能力。第十二条风险演化叙事与阻断点设计：

起因：服务器被黑客入侵或员工离职带走私钥→传播途径：攻击者利用窃取的私钥搭建伪造服务，或对历史流量进行解密→触发条件：用户浏览器或客户端无法识别证书已被吊销，继续信任伪造身份→最终后果：核心数据泄露、资金被盗用或企业机密被窃取。阻断点设计在于加快吊销信息的全网分发速度，并强制客户端校验吊销状态。第十三条应急分级与响应动作：一级（重大泄露）：核心系统私钥泄露、CA根证书被入侵。•判定标准：确认私钥文件已被外发、黑客已掌握私钥并尝试使用。•启动权限：IT安全部总监或更高层级管理人员。•处置原则：15分钟内冻结受影响系统的网络入口；立即在CA控制台强制吊销证书并生成CRL（证书吊销列表）；推送OCSP（在线证书状态协议）阻断响应；30分钟内切换至备用域名及新签发证书。二级（较大泄露）：员工离职未交接USBKey、非核心测试环境私钥泄露。•判定标准：私钥保管介质丢失，但尚未发现实际滥用行为。•启动权限：IT安全部经理。•处置原则：2小时内吊销该证书；重置相关系统的关联密码；排查该证书最近30天的使用日志，出具安全审计报告。三级（一般异常）：业务系统下线但证书未注销、域名变更导致证书闲置。•判定标准：证书不再使用但未达到安全威胁级别。•启动权限：系统运维部负责人。•处置原则：3个工作日内完成证书吊销，清理服务器残留私钥文件。第十四条出问题怎么办（吊销生效保障机制）：

由于浏览器对CRL的缓存机制，吊销可能不会立即生效。为确保安全，必须采取以下回退方案：•修改DNS解析，将旧域名指向无效IP或直接下线域名，强制切断流量。•在前端负载均衡（如Nginx/SLB）上配置拦截规则，直接拒绝使用该证书指纹的连接请求。•若涉及代码签名证书被吊销，应当立即在公司内部网络上发布针对该证书的撤销策略，并通过组策略下发至所有终端，阻止该证书签发的程序运行。七、第七章审计与合规检查定期的合规审计是确保制度落地的闭环措施，通过查错纠偏持续收敛安全风险。第十五条日常审计与年度检查：•IT安全部应当每季度最后一个月15日前执行一次全量证书盘点，核对《数字证书台账》与线上实际部署情况。•每年一次由外部审计机构或公司内审部对证书管理流程进行符合性审查。第十六条审计核心指标：•孤儿证书率（有证书无对应责任人）必须为0。•证书到期未更新事故率必须低于1%。•私钥明文存储违规事件必须为0。第十七条追溯机制：

对于审计发现的违规行为，依据公司《信息安全违规处罚管理办法》进行处理。造成严重后果的，追究法律责任。台账记录自证书注销后至少保留3年，以满足电子签名法的追溯要求。八、第八章附则第十八条本办法由IT安全部负责解释与修订。若国家颁布新的密码管理法规或行业标准，IT安全部应当在30个工作日内启动本办法的修订评估。第十九条本办法自发布之日起生效执行。原有相关规定与本办法冲突的，以本办法为准。附件1：数字证书申请单（SOP样表）字段名称填写内容（示例）说明申请人姓名张某某必须为实名所属部门支付结算部证书类型服务器证书服务器/客户端/代码签名域名/主体名泛域名需加注*说明密钥用途数字签名,密钥交换遵循最小化原则有效期申请1年服务器最长1年业务场景说明支付网关API加密传输必须详细描述部门审批人李某某部门负责人签字/系统审批流安全审批人王某某IT安全部审核人附件2：数字证书生命周期检查清单（Checklist）•[]申请是否在工单系统留存记录，且附件证明齐全？•[]签发的证书算法是否满足RSA≥2048•[]私钥文件是否在服务器上以明文