李達

摘要：介紹電子認證行業(yè)20年的發(fā)展歷程以及金融領域電子認證應用現(xiàn)狀，提出了電子認證機構(gòu)在金融領域結(jié)合ISO 21188對認證業(yè)務實施有效的管理與控制的方法與建議，旨在打造強大的電子認證業(yè)務和基礎服務設施來滿足金融領域日益強烈的認證需求。

關(guān)鍵詞：電子認證 證書策略 金融服務

Abstract： In this paper， the electronic certification industry 20 years of development and the financial sector electronic certification application situation， proposed the electronic certification bodies according to ISO 21188 certification in the field of financial business implement effective management and control method and the suggestion， aims to build powerful electronic certification services and infrastructure services to meet the demand of the financial sector is increasingly strong authentication.

Key words：? electronic certification， certificate policies， financial services

1 電子認證發(fā)展20年

電子認證機構(gòu)在中國已經(jīng)生存了20年，20年前我們國家建設了一批“電子化”產(chǎn)業(yè)，電子政務、電子商務初具模樣，那時，電子認證機構(gòu)大多只負責發(fā)放數(shù)字證書。5年前，國務院印發(fā)《國務院關(guān)于積極推進“互聯(lián)網(wǎng)+”行動的指導意見》，同期，隨著金融領域“無紙化”的建設，各個行業(yè)紛紛跟進，除了線上業(yè)務的拓展和創(chuàng)新外，一部分線下業(yè)務也開始線上化，同時結(jié)合信息技術(shù)特點，開始對線下業(yè)務進行流程再造，那時，電子認證機構(gòu)開始深入業(yè)務，進行方案創(chuàng)新、產(chǎn)品創(chuàng)新。也就是在5年前，電子認證機構(gòu)設計并研發(fā)了基于本地化的無紙化電子合同與簽章系統(tǒng)、基于SAAS服務的電子合同簽署平臺、基于移動端的數(shù)字證書應用產(chǎn)品，以及基于場景化認證的場景型數(shù)字證書等一系列創(chuàng)新產(chǎn)品和創(chuàng)新證書應用，推廣和應用效果十分顯著。

當下，中國正式進入了“數(shù)字化”時代，所謂數(shù)字化，不僅僅是某個企業(yè)、某個行業(yè)、某個區(qū)域的個體數(shù)字化，而是在新一代信息技術(shù)的支撐和引領下，以數(shù)據(jù)為核心，以創(chuàng)造價值鏈為目標，依托數(shù)據(jù)賦能產(chǎn)業(yè)、產(chǎn)業(yè)促進數(shù)據(jù)價值升級的形式，對產(chǎn)業(yè)鏈上下游進行數(shù)字化升級、轉(zhuǎn)型和再造，此為：數(shù)字化產(chǎn)業(yè)和產(chǎn)業(yè)數(shù)字化。于是，數(shù)字化造就了生態(tài)，數(shù)字生態(tài)同樣離不開電子認證，針對網(wǎng)絡可信身份認證、網(wǎng)上電子簽約、電子數(shù)據(jù)保全認證與司法實踐的需求快速增長，尤其是網(wǎng)絡身份已經(jīng)成為互聯(lián)網(wǎng)數(shù)字生態(tài)下重要的戰(zhàn)略資源，依托于電子認證服務的業(yè)務合法合規(guī)建設愈發(fā)重要。此外，生物特征識別、云計算、大數(shù)據(jù)、區(qū)塊鏈、人工智能、5G等技術(shù)融合發(fā)展，極大地豐富了電子認證業(yè)務的內(nèi)涵，促進了電子認證業(yè)務在金融、政務、醫(yī)療等各領域數(shù)字生態(tài)中的應用?？傊娮诱J證行業(yè)歷經(jīng)20年的洗禮，終于迎來了發(fā)展的黃金時代，這一黃金時代，既是電子認證行業(yè)的機遇也是電子認證行業(yè)的挑戰(zhàn)，如何正確把握機遇、迎接挑戰(zhàn)、解決問題、研究創(chuàng)新、開拓市場、做好產(chǎn)品、做好服務、輔助司法，是各電子認證機構(gòu)當下面臨的最為嚴峻的問題。

2 金融領域電子認證應用現(xiàn)狀

自2013年互聯(lián)網(wǎng)金融興起后，金融領域的業(yè)務創(chuàng)新從來沒有停止過，金融機構(gòu)努力做好“互聯(lián)網(wǎng)+金融”，力爭以少量時間抓住大量客戶，以有限成本拓展無限市場;希望業(yè)務創(chuàng)新短、平、快，期待業(yè)務運營長、健、穩(wěn)，在致力于提升易用性的同時，又要滿足合法合規(guī)的要求，當然，也沒有說全部都做到了十全十美，司法敗訴的風險時常有之，監(jiān)管機構(gòu)的談話也時常有之，改正了風險問題、彌補了合規(guī)問題，業(yè)務就會得到健康的發(fā)展，中國金融行業(yè)在追求資本利益最大化的路上會永遠的“砥礪前行”下去。

電子認證行業(yè)在我國國家經(jīng)濟與金融發(fā)展歷程中發(fā)揮了不可替代的作用，不管是何種類型的金融機構(gòu)、不管是何種類型的金融業(yè)務，只要是數(shù)字化金融、無紙化金融展業(yè)模式，從技術(shù)上講，就會涉及技術(shù)安全范疇，例如：系統(tǒng)安全、網(wǎng)絡安全、數(shù)據(jù)安全等信息安全的問題。從業(yè)務上講，就會涉及業(yè)務安全范疇，例如：網(wǎng)絡可信身份認證、電子合同司法效力、電子證據(jù)的保全、驗證與可追溯問題。金融領域電子認證的發(fā)展現(xiàn)狀大體可以總結(jié)為以下幾個方面。

（1）植根業(yè)務、專注安全，大力促進電子認證與金融業(yè)務的深度融合

在傳統(tǒng)網(wǎng)銀時代，電子認證機構(gòu)只需要發(fā)證即可，不需要關(guān)注業(yè)務細節(jié)，只需要知道證書已經(jīng)發(fā)放出去，同時做好登記即可。但如今，電子認證機構(gòu)若想更好地服務于金融業(yè)務，發(fā)揮電子認證能力的最大價值，就必須深入了解業(yè)務細節(jié)，在做好行業(yè)細分的同時做好業(yè)務細分，根據(jù)業(yè)務的特點、面向的客戶群體、業(yè)務模型、流程框架，甚至業(yè)務系統(tǒng)信息架構(gòu)，以數(shù)字證書為核心、金融業(yè)務為基礎，提出能夠解決技術(shù)安全、業(yè)務安全切實可行、可實施1）、可實踐2）的解決方案。相比其他行業(yè)，金融領域業(yè)務安全屬性強，更加注重電子認證與業(yè)務結(jié)合后的實踐效果，沒有效果的方案、產(chǎn)品和服務很快就會被“降本增效”掉，金融領域不存在錦上添花的服務。

（2）發(fā)揮優(yōu)勢、自成閉環(huán)，積極建設電子認證服務生態(tài)

目前，金融領域電子認證業(yè)務已經(jīng)從單一化的數(shù)字證書服務轉(zhuǎn)變?yōu)槿鞒獭⑷轿坏纳鷳B(tài)型服務，從首次客戶注冊時的可信身份驗證，到交易過程中的業(yè)務數(shù)據(jù)電子簽名、電子合同簽章、事中保全，到業(yè)務辦結(jié)后的司法存證，最后到司法實踐時的電子簽名驗證、電子證據(jù)驗證以及在線司法訴訟，電子認證機構(gòu)圍繞自己的核心業(yè)務建立了全方位的生態(tài)化服務，致力于為各金融機構(gòu)提供一站式解決方案，依托數(shù)字證書實現(xiàn)了“起點即終點”。

（3）前抵用戶、后達司法，無比關(guān)注業(yè)務安全的“最后一公里”

電子認證服務能力要作用在兩極，一極是用戶3），保障用戶的合法權(quán)益，另一極則是司法機構(gòu)，某種程度上講，后者要比前者更加重要，因為司法機構(gòu)決定案件走向。因此，讓法官或仲裁員了解電子認證相關(guān)的方案、業(yè)務、原理，甚至產(chǎn)品、技術(shù)就變得至關(guān)重要，電子認證機構(gòu)有義務讓法官或仲裁員了解在案件中電子認證機構(gòu)能證明什么，不能證明什么，為什么能證明以及為什么不能證明。這樣結(jié)合其他證據(jù)以及法官或仲裁員的自由心證才能最大限度地判斷證據(jù)真?zhèn)?、接近案件事實，做出最終的審判或裁決。這些年來，電子認證機構(gòu)積極主動地推進與司法機構(gòu)的交流，努力融入司法圈的目的就在于此。業(yè)務安全的“最后一公里”就是司法是否認可，如果在大量的司法案件中，法官或仲裁員不認可業(yè)務中的電子認證服務能力和作用，電子認證機構(gòu)就不再有價值，電子認證產(chǎn)業(yè)就會被淘汰掉。

以上就是金融領域電子認證發(fā)展現(xiàn)狀以及它在金融業(yè)務中起到的重要作用。既然電子認證業(yè)務在金融領域的價值如此之大，那么我們有必要關(guān)注電子認證本身的實施和策略，打鐵還需自身硬，只有打好電子認證自身安全穩(wěn)定的業(yè)務基礎，方可賦能金融業(yè)務，在這方面，ISO 21188：2018標準，可以為電子認證機構(gòu)的業(yè)務安全實施提供很好的指導和借鑒。

3 電子認證業(yè)務的基礎：ISO 21188的應用與實踐

ISO 21188：2018《用于金融服務的公鑰基礎設施 實施和策略框架》（Public key infrastructure for financial services—Practices and policy framework）標準中包含了3大重要內(nèi)容，分別是證書策略（Certificate Policy，CP）、電子認證業(yè)務規(guī)則（Certification Practice Statement，CPS）和認證機構(gòu)控制程序（即電子認證業(yè)務模型），這些是電子認證業(yè)務開展的基礎，其中，證書策略是電子認證機構(gòu)制訂的一組策略，表明在電子認證機構(gòu)的PKI 體系中各個參與者的劃分與其義務，并包含電子認證機構(gòu)所頒發(fā)證書的基本策略。電子認證業(yè)務規(guī)則是關(guān)于電子認證機構(gòu)在全部數(shù)字證書服務生命周期（如簽發(fā)、吊銷、更新）中的業(yè)務實踐所遵循規(guī)范的詳細描述和聲明，是對相關(guān)業(yè)務、技術(shù)和法律責任方面細節(jié)的描述。認證機構(gòu)控制程序規(guī)定了電子認證機構(gòu)開展電子認證業(yè)務所需要遵循的基本框架、規(guī)程。三者的關(guān)系是：證書策略是總體綱領。電子認證業(yè)務規(guī)則是證書策略的細化和分解，根據(jù)電子認證機構(gòu)的證書體系劃分，電子認證業(yè)務規(guī)則或有多個，但最終都與同一個證書策略相映射。認證機構(gòu)控制程序則最終要在證書策略和電子認證業(yè)務規(guī)則中得以全面體現(xiàn)和落實。ISO 21188對電子認證業(yè)務的指導是全面化的，并應用于具體的實踐中，它主要體現(xiàn)在了以下幾個方面。

（1）關(guān)于制定證書策略的實踐指導意義

標準中闡述了證書策略文檔中應包含的基本內(nèi)容，具體包括：電子認證活動參與者各方的義務和責任、CA簽發(fā)證書的適用條件，證書策略文檔的管理和維護規(guī)程、明確適用的信任限制或證書使用的財務限制、公鑰證書規(guī)定的最小要求。

根據(jù)標準，在制定證書策略時，我們首先要定義電子認證活動參與者，例如：電子認證服務機構(gòu)、注冊機構(gòu)、訂戶、依賴方以及其他參與者，只有定義了電子認證活動參與者，才能夠進一步明確各方的義務和責任。針對CA簽發(fā)證書的適用條件，通常的設定為：證書支持在相應的合法合規(guī)的環(huán)境4）中使用，證書禁止在任何與國家或地方法律、法規(guī)規(guī)定相違背的環(huán)境中使用。針對證書策略文檔的管理和維護規(guī)程，應規(guī)定文檔的管理和維護機構(gòu)與部門，同時規(guī)定證書策略文檔的編制與審批程序和審批負責機構(gòu)“安全管理委員會”。在信任限制或財務限制方面，應規(guī)定證書的收費策略、財務責任、業(yè)務信息保密策略、個人信息保護策略以及知識產(chǎn)權(quán)有關(guān)內(nèi)容。在公鑰證書規(guī)定的最小要求中，應明確證書的版本號、證書擴展項、頒發(fā)機構(gòu)和主體密鑰標識符、密鑰用法、主題備用名稱等基礎字段。證書策略應包含認證機構(gòu)控制程序的有關(guān)要求。

（2）關(guān)于制定電子認證業(yè)務規(guī)則的實踐指導意義

根據(jù)標準，在制定電子認證業(yè)務規(guī)則時，要對應證書策略展開，細化規(guī)定，明確具體的流程和控制手段，因此，結(jié)合證書策略和標準中的認證機構(gòu)控制程序，電子認證業(yè)務規(guī)則應包含的內(nèi)容如下。

概括性描述。包括文檔的概述、文檔名稱與相關(guān)標識、電子認證活動參與者（電子認證服務機構(gòu)、注冊機構(gòu)、訂戶、依賴方、其他參與者、受益者及責任）、證書應用條件和禁止條件、CPS策略管理、有關(guān)定義和縮寫。

信息發(fā)布與信息管理。包括信息庫、認證信息的發(fā)布、發(fā)布的時間或頻率、信息庫訪問控制策略。

身份識別與鑒別。包括證書命名、訂戶的匿名或偽名、名稱的唯一性、初始身份確認、證明擁有私鑰的方法、訂戶身份的鑒別、沒有驗證的訂戶信息、授權(quán)確認、互操作準則、密鑰更新請求的標識與鑒別。

證書生命周期操作要求。包括證書申請、證書申請?zhí)幚?、證書簽發(fā)、證書接受、密鑰對和證書的使用、證書密鑰更新、證書變更、證書吊銷和掛起、證書狀態(tài)服務。

認證機構(gòu)設施、管理和操作控制。包括物理控制、程序控制、人員控制、審計日志程序、記錄歸檔、電子認證服務機構(gòu)密鑰更替、損壞與災難恢復、電子認證服務機構(gòu)或注冊機構(gòu)的終止。

認證系統(tǒng)技術(shù)安全控制，包括密鑰對的生成和安裝、私鑰保護和密碼模塊工程控制、密鑰對管理的其他方面、激活數(shù)據(jù)、數(shù)據(jù)安全控制、計算機安全控制、生命周期技術(shù)控制、網(wǎng)絡的安全控制。

證書、證書吊銷列表和在線證書狀態(tài)協(xié)議。包括公鑰證書格式、CRL格式、在線證書狀態(tài)協(xié)議。

認證機構(gòu)審計和其他評估。包括評估的頻率或情形、評估者的資質(zhì)、評估者與被評估者的關(guān)系、評估內(nèi)容、對問題與不足采取的措施、評估結(jié)果的傳達與發(fā)布、其他評估。

法律責任和其他業(yè)務條款。包括費用（證書簽發(fā)和更新費用、證書查詢費用、證書吊銷或狀態(tài)信息的查詢費用等）、退款策略、財務責任、對最終實體的保險或擔保范圍、業(yè)務信息保密、個人信息私密性、保護隱私的責任、知識產(chǎn)權(quán)、陳述與擔保、擔保免責、有限責任、電子認證機構(gòu)、爭議處理、管轄法律、 一般條款和其他條款。

（3）關(guān)于開展電子認證業(yè)務的實踐指導意義

標準中所述認證機構(gòu)控制程序，詳細列舉了CA環(huán)境控制中關(guān)于人員安全、物理和環(huán)境安全、運行管理、系統(tǒng)訪問管理、業(yè)務連續(xù)性管理、審計日志的控制目標和控制規(guī)程;列舉了CA密鑰、主體密鑰生命周期管理、CA證書（含從屬CA證書）和主體證書生命周期管理控制目標和控制規(guī)程。通過這些控制項、控制目標和控制規(guī)程，結(jié)合電子認證機構(gòu)自身特點和金融領域特殊環(huán)境，可以從以下幾方面來制定合法合規(guī)、安全有序的電子認證業(yè)務規(guī)則與模型。

規(guī)范化認證機構(gòu)設施、管理和操作控制。一是實現(xiàn)物理控制，系統(tǒng)的物理安全和環(huán)境安全是整個CA系統(tǒng)安全的基礎，它包括基礎設施的管理、周邊環(huán)境的監(jiān)控、區(qū)域訪問控制、設備安全及災難預防等各方面。為保證CA系統(tǒng)物理環(huán)境的安全可靠，CA系統(tǒng)應被放置于安全穩(wěn)固的建筑物內(nèi)并具備獨立的軟硬件操作環(huán)境，充分考慮水患、火災、地震、電磁干擾與輻射、犯罪活動以及工業(yè)事故等的威脅。設置物理訪問制度、敏感文件資料管理和銷毀制度、建立同城和異地數(shù)據(jù)備份機制。二是實現(xiàn)程序控制，包括建立可信角色，規(guī)定每項任務需要的人數(shù)，嚴格控制任務和職責的分割，加強對每個角色的識別與鑒別，重要角色必須強制分割。三是實現(xiàn)人員控制，成為CA可信角色的人員必須提供相關(guān)的背景、資歷證明，并具有足以勝任其工作的相關(guān)經(jīng)驗，且沒有相關(guān)的不良記錄，在培訓后上崗工作。四是實現(xiàn)審計控制，明確定義記錄事件的類型，制定日志備份策略，做好日志備份，建立審計日志的保護機制，采取物理和邏輯的控制方法確保只有經(jīng)電子認證機構(gòu)授權(quán)的人員才能對審計日志進行操作。審計日志處于嚴格的保護狀態(tài)，嚴禁未經(jīng)授權(quán)的任何操作。五是實現(xiàn)業(yè)務連續(xù)性控制，包括定期開展脆弱性評估，并根據(jù)評估報告采取措施，制定損壞與災難恢復策略并定期演練，針對不同事件制定相應的應急處理機制。

規(guī)范化認證系統(tǒng)技術(shù)安全控制。一是規(guī)范化密鑰對的生成和安裝，針對CA簽名密鑰的生成、RA密鑰的生成和訂戶密鑰的生成制定不同的管理策略，電子認證機構(gòu)有義務指導訂戶按照正確的流程生成密鑰，用于驗證證書簽名的驗證公鑰（證書鏈）可從電子認證機構(gòu)的信息庫獲得。遵從國家法律法規(guī)、政府主管機構(gòu)等對密鑰長度的明確規(guī)定和要求生成密鑰，做好公鑰參數(shù)的生成和質(zhì)量檢查，明確和細分密鑰使用目的。二是做好私鑰保護和密碼模塊工程控制，制定專門的加密機管理辦法，從采購、驗收、進入機房、初始化、激活使用、備份、維護、銷毀等環(huán)節(jié)進行了規(guī)范化審批管理。

規(guī)范化證書生命周期控制。在證書申請階段要明確證書申請實體、注冊過程與責任，制定證書申請批準和拒絕的標準，設定處理證書申請的時間;在證書簽發(fā)階段要明確證書簽發(fā)中注冊機構(gòu)和電子認證服務機構(gòu)的行為，并對訂戶進行證書簽發(fā)結(jié)果通告;在密鑰對和證書的使用階段，明確訂戶私鑰和證書的使用以及依賴方對公鑰和證書的使用，同時針對證書密鑰更新、證書變更、證書吊銷和掛起、CA系統(tǒng)所提供的證書狀態(tài)服務進行詳細的規(guī)定和約束。

4 小結(jié)

ISO 21188在金融領域中規(guī)定了確保電子認證PKI基礎設施整體完整性的方法和實踐要求，隨著金融行業(yè)對互聯(lián)網(wǎng)技術(shù)應用的不斷擴大，金融行業(yè)對安全性、機密性和可信賴性交易的需求不斷增長，該標準越發(fā)的重要，電子認證機構(gòu)需要打造強大的電子認證業(yè)務和基礎服務設施來滿足金融領域日益強烈的需求，我們只有在不斷優(yōu)化中完善自我，才能伴隨著金融領域的業(yè)務長遠的走下去。