一卡通系统密钥安全管理规范

一卡通系统密钥安全管理规范一、总则1.1目的本规范旨在建立一卡通系统密钥的全生命周期管理机制，明确密钥生成、存储、分发、更新、销毁各环节的操作标准与安全基线，防范密钥泄露、篡改、非法复制等风险，保障校园/企业一卡通系统的资金安全与身份认证安全。1.2适用范围本规范适用于一卡通系统所涉及的所有根密钥、主控密钥、工作密钥、维护密钥及其承载介质（加密机、密钥母卡、SAM卡、用户卡）的安全管理活动。1.3管理原则密钥管理必须严格遵循“分级负责、双人控制、最小权限、可审计可追溯”四项核心原则。任何单一人员不得独立完成密钥的生成、分发或销毁全流程操作。二、组织架构与职责划分密钥管理涉及多方协同，各角色必须权责清晰、相互制约，杜绝权力寻租与操作盲区。2.1密钥管理委员会负责密钥管理最高级别的审批决策。由分管副总任主任，信息化部门负责人、安全保卫部门负责人、审计部门负责人任委员。•职责：审批密钥管理体系建设方案；审批根密钥生成与销毁申请；裁决重大密钥安全事件。•议事规则：委员会至少5人到场方可开会，决议需经2/3以上委员签字方可生效。会后24小时内形成会议纪要并归档。2.2信息化部门（密钥执行机构）负责密钥的日常技术运行与物理保管。•密钥操作员：A/B岗双设，分别保管密钥组件A和组件B，负责具体密钥注入与更新操作。•安全审计员：独立于操作员，负责按月核查密钥操作日志与业务系统日志的一致性。2.3安全保卫部门负责密钥存放场所的物理安全防护与应急响应处置。2.4审计部门负责每季度对密钥管理流程的合规性进行专项审计，出具审计报告。三、密钥分级与存储规范密钥按安全等级实施分层加密保护，不同层级的密钥严禁混存或越权访问。3.1密钥分级体系本系统密钥架构分为三级：级别密钥名称功能说明生成与存储要求一级根密钥派生所有下级密钥的种子加密机硬件内随机生成，永不出机二级主控密钥派生各类业务工作密钥根密钥派生，存储于加密机或密钥母卡三级工作密钥消费、门禁、图书等具体业务认证主控密钥派生，下发至终端SAM卡3.2物理存储要求•加密机：必须部署在符合等保三级标准的中心机房，独立机柜上架，配备双路供电与独立环境监控（温湿度超限>35∘C•密钥母卡：必须存放在符合GA/T1433标准的防盗保险柜内。保险柜置于机房视频监控无死角区域，双锁设计，由A/B岗操作员分别持有一把钥匙。•SAM卡：终端SAM卡在安装至设备前，必须记录卡片序列号（CSN）并登记台账；拆卸或更换时必须双人到场，旧卡必须进行物理粉碎处理。3.3逻辑存储要求严禁在任何数据库、配置文件、代码库、日志文件中以明文形式存储任何层级的密钥。•因业务需要必须导出密钥时，必须采用硬件加密机进行密文封装，并使用国密SM4算法加密保护。•严禁通过微信、邮件、钉钉等互联网即时通讯工具传输密钥文件（即便是密文），必须使用内网专用安全摆渡通道，并记录传输时间、发送人、接收人、文件哈希值。四、密钥生命周期管理密钥生命周期管理是防范密钥泄露的核心环节，每个状态流转必须具备可追溯的操作日志与审批记录。4.1密钥生成•审批：生成前必须提交《密钥生成申请单》，经密钥管理委员会2/3委员签字批准。•执行：必须在加密机本地控制台执行。密钥操作员A与B同时到场，分别输入各自保管的口令组件（口令长度不少于16位，包含大小写字母、数字、特殊符号），激活加密机生成会话。•产生机制：根密钥必须由加密机内部硬件噪声源随机生成，严禁使用软件伪随机数生成器。生成后，密钥明文永远封存于加密机内部安全区域，不可导出。•双因子控制：生成过程中，安全保卫部门派员全程录像，录像文件保存期限不少于6个月。4.2密钥分发与注入•流程：终端设备入网前，必须先由操作员A和B联合启动加密机密钥分发服务，通过加密信道将工作密钥注入终端SAM卡。•防中间人攻击：注入前，必须核对终端设备证书指纹与系统登记指纹是否一致（允许误差为0）。若不一致，立即中止注入并触发安全告警。错误做法：跳过证书校验直接注入，会导致密钥被伪基站或中间人设备截获。•操作日志：系统必须自动记录分发时间、目标设备ID、操作员ID、密钥版本号。日志同步写入区块链或防篡改存储，防止事后删除。4.3密钥更新与轮换•定期轮换：工作密钥建议每12个月轮换一次；若发生安全事件（如密钥疑似泄露），必须立即启动应急轮换。•轮换流程：1.信息化部门提前7个工作日发布轮换计划，避开业务高峰期（如就餐高峰11:00-13:00、17:00-19:00）。2.生成新版本密钥，注入新卡或更新在线终端。3.采用双密钥并行期机制，旧密钥保留30天有效，确保离线设备（如脱机门禁）能够顺利完成密钥同步。4.并行期结束后，系统自动注销旧密钥，操作员在台账上登记作废。4.4密钥归档与销毁•归档：注销后的密钥版本号、生成时间、注销时间、操作人必须归档至纸质台账与电子审计系统，保存期限为系统报废后5年。•销毁：◦逻辑销毁：加密机执行擦除指令，覆写随机数据至少3遍，擦除后必须验证内存位是否全部清零。◦物理销毁：报废的SAM卡必须使用专用粉碎机粉碎至颗粒度≤2◦严禁直接丢弃废旧SAM卡或母卡，可能导致卡片被物理提取数据。五、密钥使用规范密钥使用过程中的访问控制与审计是防止内部越权与外部入侵的关键防线。5.1访问权限控制•最小权限：应用系统调用加密机API时，每个业务模块只能申请其对应业务工作密钥的使用权。例如，消费模块严禁请求门禁密钥的使用权限。•多因子认证：管理员登录加密机管理后台，必须采用“密码+动态令牌（OTP）”双因子认证。连续输错密码3次锁定账号30分钟，并触发短信告警至安全负责人。5.2日志与审计•日志内容：必须包含时间戳、操作人员、源IP、调用API名称、密钥索引、返回状态。日志写入延迟不得超过5秒。•异常监控：系统应配置实时规则，当同一密钥在1分钟内调用次数超过500次，或非业务时段（如凌晨2:00-5:00）出现调用时，自动切断该调用源的IP，并生成工单流转至安全运营组。•定期审计：安全审计员每月5日前完成上月密钥日志的核查，提取调用趋势报表，对比业务实际发生量。偏差率超过5%六、应急响应预案密钥安全事件具有突发性与破坏性，必须建立分级响应机制，确保在极端情况下能迅速止损并恢复业务。6.1事件分级•一级（重大）：根密钥或主控密钥确认泄露；加密机被物理盗取或被植入后门。•二级（较大）：工作密钥泄露；终端SAM卡被非法复制；密钥操作员账号被盗用。•三级（一般）：密钥操作违规未造成实际泄露；单台终端密钥同步失败导致无法交易。6.2一级事件应急处置•启动条件：确有证据表明根密钥泄露（如暗网出现兜售记录，或系统发现未知非法卡片的交易成功率异常达100%•启动权限：密钥管理委员会主任或其授权的副主任。•处置原则：1.断网隔离（30分钟内）：安全保卫部门切断一卡通核心服务器与外部网络的所有连接，仅保留内网管理通道。错误做法：继续联网排查，可能导致攻击者利用已获取的密钥持续渗透其他业务系统。2.密钥重置（24小时内）：启用备用加密机（或清空原加密机并重置），执行新的根密钥生成流程。3.全网换卡（72小时内启动）：发布全网通告，要求所有持卡人分批次到指定网点进行卡片重新初始化。换卡期间，设置单笔消费上限为50元，防止恶意透支。4.追溯定责：配合公安机关与网信部门进行取证溯源，形成事件调查报告并上报上级主管单位。6.3二级事件应急处置•启动条件：发现伪卡在特定区域消费，或审计发现某终端密钥同步请求来自未授权IP。•启动权限：信息化部门负责人。•处置原则：立即冻结涉事终端的工作密钥版本，通过远程下发指令使该SAM卡失效；排查最近30天该终端交易流水，标记可疑交易；48小时内完成新工作密钥的分发与替换。6.4三级事件应急处置•启动条件：操作员未按双人原则擅自尝试注入密钥，或终端密钥版本号未及时更新导致认证失败。•启动权限：一卡通运营主管。•处置原则：立即中止违规操作，吊销操作员权限30天并组织复训；对故障终端进行人工现场排障，重新执行规范化密钥同步流程。七、附则7.1生效与解释本规范自发布之日起生效，由信息化部门负责解释与修订。修订需经密钥管理委员会审议通过。7.2培训与考核•信息化部门需在每年3月底前组织针对所有密钥操作人员、审计人员的专项培训，培训时长不少于8学时。•新入职操作员必须通过本规范考核（闭卷考试，80分及格）后方可申请密钥操作权限。7.3违规处罚违反本规范导致密钥泄露或系统瘫痪的，视情节轻重给予通报批评、降级降职处分；涉嫌违法犯罪的，依法移送司法机关追究刑事责任。八、附录8.1附录A：密钥生成/更新申请单（模板）申请部门申请日期申请事由\multicolumn{3}{l}{（如：初次生成、到期轮换、应急重置）}密钥类型目标范围操作员A操作员B监督员审批委员1审批委员2审批委员3执行时间执行结果8.2附录B：密钥操作登记台账（样表）日期操作类型密钥版本号涉及设备ID操作员A操作员B监督员备注2023-10-01注入V1.2POS-001张三李四王五新机具入网2023-10-02轮换V1.3全网门禁张三李四王五定期轮换8.3附录C：密钥安全应急联络通讯录角色姓名职务联系电话备用联系方式决策总指挥张某某分管副总138******微信/内部钉钉技术执行组李某某信息化负责人139******微信/内部钉钉安全保卫组王某某保卫处负责人137******对讲机频道X外部支援厂商技术加密机厂商400