电子政务电子认证服务质量评估表

评估领域

评估项

评估子项

评估方法

考核记录

备注

是  否

基本要求

认证机构

事业法人或者取得电子认证服务许可的企业法人

检查认证机构是否属于事业法人或者取得电子认证服务许可的企业法人

□    □

面向企事业单位、社会团体等社会公众提供服务的电子认证服务机构，应具有国务院信息产业主管部门颁发的《电子认证服务许可证》。

检查认证机构是否属于面向企事业单位、社会团体等社会公众提供服务的电子认证服务机构，是否具有国务院信息产业主管部门颁发的《电子认证服务许可证》。

□    □

具有与提供电子认证服务相适应的资金保障和经营场所

检查认证机构是否具有与提供电子认证服务相适应的资金保障和经营场所

□    □

具有与提供电子认证服务相适应的专业技术人员和管理人员

检查认证机构是否具有与提供电子认证服务相适应的专业技术人员和管理人员

□    □

具有符合国家密码管理要求的电子认证服务基础设施

检查认证机构是否具有符合国家密码管理要求的电子认证服务基础设施

□    □

具有符合国家相关规范要求的电子政务电子认证服务业务规则

检查认证机构是否按照《电子政务电子认证服务业务规则规范》制定本机构《电子政务电子认证服务业务规则》

□    □

具有健全的安全管理制度

检查认证机构是否具有健全的安全管理制度

□    □

基础设施

由具有商用密码产品生产和密码服务能力的单位承建

检查基础设施是否由具有商用密码产品生产和密码服务能力的单位承建

□    □

采用国家密码管理局认定的商用密码产品

检查基础设施是否采用国家密码管理局认定的商用密码产品

□    □

符合国家密码管理相关标准规范

检查基础设施是否符合国家密码管理相关标准规范

□    □

采用国家密码管理局规划建设的密钥管理基础设施提供密钥管理服务

检查基础设施是否采用国家密码管理局规划建设的密钥管理基础设施提供密钥管理服务

□    □

通过国家密码管理局安全性审查

通过国家密码管理局安全性审查

□    □

电子认证业务规则管理

电子认证业务规则管理

建立CPS的管理制度

检查是否有固定的CPS管理制度或者流程

□    □

具有明确CPS管理组织

随机抽查一个该管理组织人员进行确认是否有明确的CPS管理组织

□    □

定期评估CPS的适用性

提供本年度CPS评估记录

□    □

及时发布更新CPS

检查最新的CPS发布记录是否一致

□    □

具有CPS备案记录

检查最新的CPS备案记录

□    □

验证CPS的符合性

定期检查验证CPS的符合性

□    □

数字证书服务

注册机构管理

具有注册机构管理制度

查看是否有清晰规范的RA/LRA管理制度，包括：运营业务管理规范、证书业务办理流程、身份鉴别、验证管理流程、用户档案管理规范等。

□    □

认证机构应建立RA/LRA权限分配机制

查看最新RA/LRA权限分配表

□    □

对代理机构的管理规范及相关记录

检查对代理机构的管理规范及相关记录

□    □

注册系统和证书受理操作的相关授权记录及管理记录

检查注册系统和证书受理操作的相关授权记录及管理记录

□    □

对注册机构的审计记录

抽查审计记录

□    □

业务流程

建立并公布证书业务咨询流程

检查是否有证书业务咨询流程

□    □

建立并公布证书受理流程

检查是否有证书受理流程，如存在在线受理，应说明在线受理的流程。

□    □

建立并公布证书签发流程

检查是否证书签发流程

□    □

建立并公布证书更新流程

检查是否有证书更新流程

□    □

建立并公布加密密钥恢复流程

检查是否有加密密钥的恢复流程

□    □

建立并公布证书撤销流程

检查是否有证书撤销流程

□    □

业务咨询

业务咨询内容应包括证书应用、证书安全保管、存储介质使用、政策法规、技术服务、投诉处理、收费等方面内容

按照咨询流程随机抽取进行验证，验证内容可包括证书应用、证书安全保管、存储介质使用、政策法规、技术服务、投诉处理、收费等方面内容。

□    □

应明确告知证书业务相应的服务流程

提供明确告知证书业务相应的服务流程的相关证明

□    □

业务咨询受理应有相关记录

提供业务咨询受理相关记录样本

□    □

证书申请与受理

认证机构应提供多种证书申请受理方式

提供证书受理相关方式的证明，必要时检查多种证书受理方式。

□    □

受理申请时应告知证书用户相应的责任和权利

提供明确告知证书申请者和电子政务电子认证服务提供者的责任与义务的相关证明，比如协议等资料，或者在线同意的相关记录。

□    □

认证机构应验证证书申请者的授权有效性及证书持有者身份的真实性

提供验证证书申请者的授权有效性及证书持有者身份的证明材料

认证机构应保留对最终实体身份的证明和确认信息

提供相关信息的证明资料，随机进行抽查

□    □

认证机构应保证证书申请者和持有者信息不被篡改、隐私信息不被泄漏

提供相关管理机制或者安全措施等证明资料

□    □

注册过程必须保证所有证书申请者明确同意相关的证书申请协议

提供相关证明资料，比如抽查相关协议、视频等相关资料。

□    □

认证机构、注册机构应在鉴别的基础上，批准或拒绝申请。如果拒绝申请，应通过适当的方式、在2个工作日内通知证书申请者；如果批准申请，应为证书申请者办理证书签发服务。

抽查相关记录，从用户提交申请起检查相关批准记录。

□    □

认证机构处理证书请求的最长响应时间应不超过2个工作日

抽查相关记录，从用户提交申请起检查相关批准记录。

□    □

证书签发

用户证书应当是基于SM2密码算法的签名证书和加密证书

随机抽查通过实例检查证书是否是基于SM2密码算法的签名证书和加密证书

□    □

证书格式应符合GM/T 0015的要求

随机抽查通过实例检查证书密钥对用法是否正确，随机抽查通过实例检查证书证书的基本限制、密钥用法域是否是关键扩展等。

□    □

证书持有者的签名密钥对由证书持有者的密码设备（如智能密码钥匙或智能IC卡）或在符合GM/T 0028的密码模块中生成

检查证书存储介质是否有相关型号证书

□    □

认证机构应提供安全可靠的证书接受方式

提供能证明证书接受方式为安全可靠的证明材料，如采用快递方式，设备与密码应分开发送等。

□    □

对于证书申请者明确表示拒绝发布证书信息的，认证机构应不发布该证书申请者证书信息。没有明确表示拒绝的，认证机构可将证书信息发布到目录系统。

提供要求不发布的相关证明，并抽查证书发布的实际情况。

□    □

证书更新及密钥更新

密钥更新前应对原证书、申请的签名信息、身份信息进行验证和鉴别

检查密钥更新前是否对原证书、申请的签名信息、身份信息进行了验证和鉴别

□    □

应明确通知证书持有者新证书签发的方式及时间

抽查是否明确通知证书持有者新证书签发的方式及时间

□    □

应明确构成接受密钥更新的行为

检查构成接受密钥更新的行为是否明确

□    □

应明确对密钥更新的发布条件、方式及途径

检查对密钥更新的发布条件、方式及途径是否明确

□    □

应明确密钥更新后是否需要通知其他实体

检查是否明确密钥更新后通知其他实体

□    □

证书撤销

认证机构、注册机构在接到证书持有者的撤销请求后，应对其身份进行鉴别并确认其为证书持有者本人或得到了证书持有者的授权。

提供证书撤销相关证据，验证证书撤销请求确为证书持有者本人或得到了证书持有者的授权。

□    □

认证机构、注册机构应在24小时内，撤销符合条件的证书并发布到证书撤销列表。

抽查系统执行证书撤销操作（从决定吊销到发布）是否在24小时内

□    □

证书撤销后，应通过有效方式及时告知证书持有者或依赖方证书撤销结果。

检查证书撤销后是否通过有效方式及时告知证书持有者或依赖方证书撤销结果

□    □

证书撤销信息发布有效

检查是否发布了证书撤销信息以及信息是否有效

□    □

密钥恢复

认证机构在接到证书持有者的加密密钥恢复请求后，应对其身份进行鉴别并确认其为证书持有者本人或得到了证书持有者的授权。

提供加密密钥恢复的证据，验证加密密钥恢复请求是否由证书持有者本人或得到了证书持有者的授权的人发起。

应明确构成接受密钥恢复的行为

检查对于接受密钥恢复的行为是否有明确规定

应用集成服务

证书应用接口程序

证书应用接口应符合GM/T 0020的要求

使用任意一张证书进行签名验证是否符合标准规范

□    □

具有并提供证书应用接口说明文档

检查接口说明文档提交记录

□    □

证书应用方案支持

有适应应用集成服务的专业人员

抽查访谈对应岗位的专业人员

□    □

有证书应用集成支持方案，包括集成方案、服务支持方案等。

抽查证书应用集成支持方案是否包括集成方案、服务支持方案等

□    □

实施集成服务

具有实施集成服务规范，包含实施人员调度、实施操作规范、实施确认等。

抽查实施集成服务规范是否满足需求

□    □

具有实施项目配套资源协调能力，为集成所需产品选型提供支持。

检查认证机构是否具有实施项目配套资源协调能力

□    □

对于已提供服务的认证机构，可提供本年度集成项目合同

提供本年度集成项目合同

□    □

提供客户对集成服务的评价

通过抽查任意一个项目客户验收报告评价客户对集成服务的认可度，查看验收报告。

□    □

信息服务

业务信息的发布

发布政务CPS、证书链、技术服务手册、业务办理流程、联系方式、业务开展相关资质、投诉电话等信息

检查官方网站是否存在所考察的内容

□    □

发布的信息具有有效性

检查证书链、联系方式、投诉电话等是否有效

□    □

CRL更新周期和备份周期不应超过24小时，备份保存时间至少10年。

检查CRL更新周期和备份周期是否超了24小时，检查1年前的CRL备份是否存在。

□    □

提供任何一种证书状态查询服务，且公布证书状态查询方式。

能提供任意一种证书状态查询服务，且公布了证书状态查询方式。

□    □

证书查询服务可用

公布的证书状态查询服务可以访问

□    □

应提供CRL、OCSP等方式的证书状态查询接口

通过检查认证中心的相关资料验证是否提供证书状态查询接口

□    □

其他相关控制

对司法程序需要的信息访问，应严格审核司法人员身份及授权文件，确认后方可提供信息访问。

查看是否有司法访问相关制度或流程

□    □

对监管部门需要的信息访问，应按照相关的管理规定和调取程序，为其提供信息访问。

查看是否存在信息访问控制流程

□    □

具有访问操作记录

查看是否具有访问操作记录

□    □

使用支持服务

热线服务

建立完善的坐席服务制度及流程

检查是否有相关制度及流程

□    □

至少提供5×8小时热线服务，自助及人工总体接听率不低于90%。

检查坐席服务和接通率是否按照要求设置并达标

□    □

具有坐席人员培训记录

检查本年度坐席人员培训记录

□    □

具有热线处理问题记录

检查热线处理问题记录

□    □

在线服务

建立完善的在线服务规范

检查是否建立完善的在线服务规范

□    □

提供包括Email、远程协助、即时通讯等网络服务任意一种形式的在线服务

抽查考察项的任何一项

□    □

提供在线服务的相关记录，包括投诉记录

抽查记录是否存在

□    □

现场服务

根据项目服务特点，制定有现场应急服务方案

抽查现场服务是否根据不同的紧急程度，制定相应的应急服务机制。

□    □

具有可提供现场服务的技术人员

抽查现场服务的技术人员名单

□    □

具有现场人员服务规范及相关记录

检查是否存在现场服务相关规范和记录

□    □

投诉处理

具有投诉处理机制，且对外公布投诉受理方式

检查是否存在投诉处理相关制度

□    □

投诉处理应有相应记录

提供投诉处理应有相应记录

□    □

证书使用培训服务

具有证书使用相关文档、演示教程等

检查相关文档

□    □

具有培训记录、培训计划

检查培训计划及培训记录

□    □

服务改进监督措施

具有内部监督和顾客满意度评价机制

检查是否有内部监督和顾客满意度评价机制

□    □

具有顾客满意度调查记录、服务报告记录

检查是否存在满意度调查记录

□    □

安全管理

安全管理组织结构

具有清晰的安全管理组织结构

核查是否具有安全组织结构，记录了负责安全管理的组织的相关职责描述。

□    □

具有清晰的部门职责

核查部门职责

□    □

具有信息安全的人员职责说明

检查岗位职责是否对执行信息安全管理活动的相关部门人员职责进行了清晰的定义

□    □

具有关键岗位的人员授权与记录

抽查关键岗位的人员授权与记录

□    □

安全运营管理制度

建立安全运营管理制度审批与监督评估机制

检查是否建立安全运营管理制度审批与监督评估机制

□    □

具有安全运营管理制度的审批流程

检查是否有安全运营管理制度的审批流程

□    □

具有安全运营管理制度的审批、发布记录

抽查本年度安全管理制度的审批、发布记录

□    □

具有安全运营管理制度落实情况的监督检查机制与监督检查记录

抽查安全运营管理制度落实情况的监督检查机制与监督检查记录

□    □

具有安全运营管理制度定期评估机制与评估记录

抽查安全运营管理制度定期评估机制与评估记录

□    □

具有机房运维管理制度与规范

检查机房运维管理制度与规范

□    □

具有系统网络备份策略及管理办法

检查是否具有备份策略及管理办法

□    □

具有系统网络应急处理及应急预案

检查是否具有应急处理及应急预案

□    □

具有安全审计监测管理制度

检查是否具有安全审计监测管理制度

□    □

具有财务安全管理制度

检查是否具有财务安全管理制度

□    □

具有人员安全管理制度

检查是否具有人员安全管理制度

□    □

具有客户资料安全管理制度

检查是否具有客户资料安全管理制度，并定期评价客户隐私保护措施。

□    □

具有风险评估管理制度

检查是否具有风险评估管理制度

□    □

对外包服务方的安全管理

对外包服务方权限的管理

检查对外包服务方权限管理的相关制度

□    □

对外包服务方的合同管理

检查与外包服务方合同签署情况

□    □

具有外包服务方管理制度

抽查一次本年度外包管理记录

□    □

人力资源管理

关键岗位或角色

认证机构应配备与从事电子认证业务相适应的岗位或者角色，至少包括：操作系统管理员、数据库管理员、应用系统管理员、网络管理员、机房管理员、密钥管理员、审计员。其中数据库管理员与应用系统管理员和操作系统管理员不可互相兼任、操作员与审计员不可互相兼任、RA业务操作员的录入员和审核员不可兼任。

提供能够体现关键岗位或者角色的相关证明或者记录，检查是否进行了职责分离。

□    □

人力资源政策

具有人力资源管理制度，考核关键岗位人员招聘及离职流程。

抽查不同岗位人员入职记录各1份；抽查可信人员离职记录不同岗位各1份，按照本公司的管理制度查看记录是否完整。

□    □

具有可信人员清单，并对可信人员进行背景调查（可信人员的背景调查应包括人员简历、教育水平、从业经历、征信证明、有无犯罪记录等）。

抽查不同岗位可信人员背景调查记录

□    □

签署保密协议

根据可信人员清单，随机抽查1份保密协议查看

□    □

人员培训、考核和档案管理

具有培训管理制度、培训计划、培训考核

各岗位随机抽查1人的培训记录

□    □

具有考核相关管理制度、考核记录

各岗位随机抽查1人的考核记录

□    □

具有人员档案管理制度和清晰的员工档案管理记录

检查是否有员工档案台账记录

□    □

资产管理

资产管理制度

具有资产分类管理制度

检查是否有相关制度描述了对资产的分类管理

□    □

具有密码设备管理制度

检查是否有对密码设备的管理制度

□    □

具有技术资料管理制度

检查是否有相关文档或制度描述了技术资料的管理要求

□    □

具有客户资料管理制度

检查是否有相关管理制度描述了对客户信息、客户资料的相关管理措施

□    □

具有固定资产采购管理制度

检查是否有采购管理制度

□    □

资产管理记录

提供电子认证服务的计算机软、硬件设备清单

检查是否存在这样的清单，随机抽查2-3台清单设备是否账实相符。

□    □

具有密码设备清单

核查是否存在密码设备清单，设备与清单列表要账实相符

□    □

具有技术资料记录

核查是否存在技术资料记录

□    □

具有客户资料记录

核查是否存在客户资料记录

□    □

具有采购相关管理记录

检查本年度采购管理相关记录

□    □

具有资产报废记录

检查本年度资产报废相关记录

□    □

物理及环境安全

物理区域划分及控制

根据不同职能划分办公区域。机房应有相关安全控制措施，比如访客登记、门禁控制等。

检查机房环境安全控制，抽取访客登记、工作人员进出登记与门禁记录保持一致。

□    □

对CA的分层访问：公共区、服务区、管理区、核心区，具有不同区域访问控制措施

抽查各区域不同时间段的进出登记记录与门禁记录保持一致

□    □

安全监控室是安全管理人员值班的地方，只有安全管理人员使用身份识别卡和人体特征鉴别才能进入，刷卡离开。

检查门禁系统的合规性，抽查不同时间段的进出登记与门禁记录保持一致。

□    □

配电室是放置所有供电设备的房间，只有相应授权人员使用身份识别卡和人体特征鉴别才能进入，刷卡离开。

检查门禁系统的合规性，抽查不同时间段的进出登记与门禁记录保持一致。

□    □

机房管理和环境控制

建立外来人员进出机房管理制度，制度中应明确进出人员审批、报备流程，记录完备。

核查制度是否建立，抽查不同日期的外来人员审批和登记记录。

□    □

建立机房设备管理规范：
1.对机房设备进行生命周期管理，保存购买、使用、维修、报废的记录；
2.具有机房设备分类清单，设备及厂商的相关资质；
3.具备对设备的巡检记录，明确巡检的周期。

1.核查有无机房设备管理规范，核查其机房设备的管理记录；
2.核查有无机房设备分类清单，安全设备软件版本或特征库是否为最新版本；
3.核查有无设备巡检记录。

□    □

机房应配备7×24小时视频监控，监控记录至少保存6个月

抽查6个月以内的监控记录是否存在，记录是否完备。

□    □

建立业务实时监控系统，能监控到真实业务系统的可用性、有效性

建立了7×24小时业务实时监控系统，并能有效监控并及时处理监控信息。

□    □

门禁系统应有进出时间记录和超时报警，门禁日志完备。
1）屏蔽机房应安装入侵检测报警系统，进入屏蔽机房应具备双人双因素验证；
2）建立了门禁卡管理措施，门禁卡管理记录完备。

检查门禁日志，测试是否有超时报警，核查门禁卡管理记录。

□    □

配备UPS等备用电源，保证系统不间断运行，其中门禁和物理侵入报警系统应自备有UPS，并应提供至少8小时的供电。

查看机房设备UPS供电情况、门禁和侵入报警提供至少8小时的供电。

□    □

建立消防管理制度，定期进行消防演练、消防检测，记录完备；机房设置火灾自动报警和灭火系统，机房配备人员安全设备。

核查制度是否建立，记录是否完备，核查是否定期进行消防检测，检测报告是否通过，查看自动报警和灭火系统。

□    □

机房温度和湿度控制符合国标A级机房要求

检查温湿度巡检记录

□    □

机房运维采用7×24小时现场值班或远程实时监控的方式

检查机房运维是否采用7×24小时值班值守，查看排班记录。

□    □

至少每五年进行一次屏蔽室检测，屏蔽效能应达到《处理涉密信息的电磁屏蔽室的技术要求和测试方法》（BMB3-1999）的C级水平，检测报告完备。

定期进行屏蔽室检测，检测报告在有效期之内，或者提供5年以内的检测报告。

□    □

系统开发与维护

开发环境

开发环境、测试环境、生产环境分离

提供三个环境物理或者逻辑分离的证据，包括：网络拓扑图和实际现场勘查。

□    □

开发相关制度

具备完善的系统开发相关制度和流程，实现开发过程的规范化及代码、资料的安全管理，具有系统版本的过程记录、产品测试通过标准及发布的相关流程。

检查是否具有开发相关的管理制度和流程，检查相关记录。

□    □

开发过程

具有项目需求分析文档

抽查本年度开发工作的需求分析文档

□    □

具有立项申请审批制度

检查本年度立项申请审批记录

□    □

具有测试管理相关制度

核查制度是否建立

□    □

系统上线管理

制定上线审批制度或者流程

核查相关流程是否建立

□    □

具有上线审批记录

核查最近一次上线审计记录是否完备

□    □

具有上线执行记录

核查最近1次执行上线操作记录

□    □

具有上线操作审计记录

最近一次上线操作审计记录

□    □

运维管理

机房运维管理制度

具有机房运维管理制度

检查是否具有机房运维管理相关制度

□    □

CA系统风险评估

具有风险评估记录，应涵盖物理环境、系统网络等安全评估方面,涉及内容包括漏洞扫描、基线扫描、渗透测试、源代码审计等。

提供风险评估报告

□    □

CA系统稳定性

CA系统至少提供99.9%系统可用性（年故障时间小于525.6分钟）。具有CA系统可用性监控数据统计。

具有系统可用性指标及相关证明材料

□    □

防病毒管理

1.建立病毒及恶意软件防范制度，定期升级防病毒软件病毒库、IDS、防火墙及网络设备固件等；
2.对防病毒软件应启动实时检测病毒和定时全盘扫描病毒等设置。

1.核查病毒及恶意软件防范相关文档，抽查升级防病毒软件病毒库、IDS、防火墙及网络设备固件等记录；
2.抽查防病毒软件设置是否合规。

□    □

事件管理

1、建立普通故障、应急事件等的管理职责和规程，以确保快速、有效和有序地响应；
2、具有事件报告记录。

根据事件处理管理规定，检查事件记录

□    □

备份管理

1.建立备份管理的相关管理制度和策略，包括操作系统、网络防火墙规则、应用程序、数据和硬件设备的备份策略；
2.具有备份验证记录；
3.建立备份介质存储管理制度，具备相应的记录。

1.核查有无备份管理的相关管理制度和策略，包括包括操作系统、网络防火墙规则、应用程序、数据和硬件设备的备份策略；抽查相关记录
2.核查有无备份验证记录；
3.核查有无备份介质存储管理制度及记录。

□    □

用户权限管理

1.建立用户权限管理制度，明确用户帐号及权限变更的申请审批权限；
2.具备管理员及用户权限分配情况的记录；
3.具备用户权限操作管理的审计记录
4.口令参数的设置应具有足够的安全强度；
5.运维操作人员采用双因素鉴别；
6.具有网络配置管理制度（申请、审批、配置执行）；                        
7.人员变动帐号及权限管理方法。

1.核查用户权限管理制度，以及权限变更审批记录；
2.核查管理员及用户权限分配记录；  
3.核查审计管理员的审计记录；  
4.核查密码参数设置安全机制；
5.核查运维操作人员是否采用双因素鉴别；
6.抽查网络配置审批记录；
7.核查最近1次人员变动帐号及权限管理处理记录。

□    □

网络管理

1.具有网络拓扑图；
2.具有服务器IP地址清单；
3.具有网络设备配置表（防火墙、路由器、交换机、入侵检测系统、漏洞扫描系统）；
4.具有入侵检测系统日志；
5.具有网络安全设备更新记录；
6.具有入侵检测更新记录。

1.核查机房拓扑结构图符合标准规范要求；       
2.核查有无服务器IP地址清单；
3.核查有无网络设备配置表（防火墙、路由器、交换机、入侵检测系统、漏洞扫描系统）；       
4.核查入侵检测系统日志是否最新；            
5.核查网络安全设备更新记录 ；               6.查看入侵检测更新记录。

□    □

网络链路及带宽管理：
1、具有不同运营商的双网络链路接入；
2、记录网络故障紧急联系人方式。

1、检查网络链路是否双线路；
2、是否有网络故障紧急联系人。

□    □

操作系统管理

具有服务器操作系统安装配置规范

检查是否有操作系统安装配置相关规程

□    □

对操作系统补丁管理

查看是否有操作系统补丁管理相关规程，并检查相关记录。

□    □

应用系统管理

应用系统资源和安全监控

检查是否对应用系统（CA、KM、RA、OCSP）等的进程状态、资源状态、可访问状态进行监控。

□    □

应用系统安全响应

检查应用系统宕机情况下的安全响应机制及巡检记录

□    □

应用系统安全预警

检查是否设置应用系统的安全预警阈值

□    □

数据库管理

具有数据库操作系统用户权限配置

核查数据库操作系统用户配置

□    □

具有数据库用户权限配置

检查数据库用户权限配置

□    □

机房资产管理

具有机房资产管理制度

检查本年度机房资产变动记录

□    □

密码设备管理

具有密码设备生命周期管理制度及相关审批、操作记录

抽查两次本年度密码设备进出记录及配置、维修或报废记录

□    □

系统变更管理

建立系统变更相关制度规范和流程，保证系统变更风险的可控性。

检查是否有变更相关制度

□    □

建立系统变更的申请审批流程，并按照流程审批完成后方可进行系统变更。

随机抽查本年度变更审批记录，检查记录完整性。

□    □

根据变更的内容对系统进行测试，测试完成后编写测试报告。

检查系统变更的测试记录

□    □

具有系统变更实施记录

核查系统变更的实施记录，该记录应与审计记录配对。

□    □

系统日志参数设置

建立日志管理相关制度规定

查看日志管理相关制度是否建立

□    □

对密钥相关的操作进行记录

查看系统配置是否记录密钥相关操作记录

□    □

对证书相关的操作进行记录

查看系统配置是否记录证书相关操作记录

□    □

对操作系统、数据库、应用系统日志、网络设备和服务器时间同步参数设置

查看操作系统、数据库、应用系统日志、网络设备和服务器时间同步参数配置

□    □

日志访问权限

设置日志的物理接触权限

检查是否有物理访问权限控制

□    □

设置日志的逻辑接触权限

检查是否有逻辑访问权限控制

□    □

日志备份与归档

建立日志备份与归档的相关制度

查看是否有日志备份及归档的相关制度

□    □

具有日志备份与归档的记录

随机抽查1张CA系统建立后最早的政务部门证书的记录，包括申请记录、鉴别记录、发放记录、归档操作记录。

□    □

具有日志备份与归档的定期审阅记录

查看本年度的审阅记录，至少应每半年一次。

□    □

归档日志具有防篡改机制

检查归档日志是否具有防篡改机制

□    □

应与CPS内容保持一致

检查实际情况与CPS的一致性

□    □

密钥生命周期管理

CA密钥管理制度密钥生命周期管理

建立了根密钥管理制度,至少包括CA密钥的生成控制、存放管理、使用管理、销毁管理、归档管理等。

查看制度是否建立

□    □

CA密钥生成控制

1.具有CA密钥生成审批记录；
2.具有CA密钥生成计划及操作记录；
3.具有生成CA密钥的密码设备使用记录；
4.具有生成CA密钥的密码设备运维记录。

查看CA密钥的生成计划文档、CA密钥生成的操作记录、生成CA密钥的密码设备使用和运维记录。

□    □

CA密钥存储、备份和恢复控制

1.建立CA密钥的分割保存机制；
2.具有CA密钥的备份记录；
3.具有CA密钥的恢复记录；
4.具有CA密钥使用的审批记录。

1、CA密钥分割保存（n,m）机制，检查分管者清单；
2、查看密钥的备份记录；
3、查看本年度密钥的恢复记录（每年演练时应有使用的需要）；
4、查看本年度密钥的使用审批记录。

□    □

CA公钥发布控制

1.CA证书具有可下载性；
2.CA证书具有合规性（密钥长度、算法标识、密钥算法域属性等符合相关规定）；
3.CA证书与国家根形成完整的证书链。

查看CA证书是否可下载、CA证书内容是否合规、抽查一张已发布的证书检查是否可以和国家根形成证书链

□    □

CA密钥使用控制

1.具有申请审批记录（激活、废止等操作）；
2.具有密钥操作记录。

查看制度是否建立，记录是否完善。

□    □

CA密钥销毁控制

1.具有申请审批记录（销毁等操作）；
2.具有密钥操作记录（销毁等操作）。

查看制度是否建立，记录是否完善。

□    □

CA密钥归档控制：

1.具有申请审批记录（归档等操作）；
2.具有密钥操作记录（归档等操作）。

查看制度是否建立，记录是否完善。

□    □

业务持续计划

业务持续计划

制定业务持续计划

检查是否存在业务持续计划

□    □

具有业务持续计划适用性定期评估结果

检查本年度业务持续性计划的评估记录

□    □

应急预案

1.明确安全事件的定义和划分，制定不同等级的安全事件预案，并对应急预案进行评估或者验证；
2.具有私钥泄露应急预案，并对预案进行评估或者验证。

1.检查管理制度是否有安全事件的分级，及对应处置措施；
2.核查应急预案（包含私钥泄露应急预案、是否建立，检查评审记录或者验证记录。

□    □

灾难备份与恢复系统方案

具有容灾备份与恢复策略的管理制度

检查备份记录

□    □

不具备容灾备份条件的，应在本地建有冷备系统或容错部署等机制。

检查是否在本地建有冷备系统或容错部署等机制

□    □

有条件的服务机构可以建立异地互备机制

检查是否建立异地互备机制

□    □

灾备演练

制定灾备演练计划

检查灾备演练计划的审批记录

□    □

具有灾备演练执行记录

检查灾备演练执行记录是否完备

□    □

监督与合规

合规管理

1.遵循的相关法律法规政策清单；
2.遵循的相关技术标准规范的清单；
3.对相关法律法规及技术标准规范遵循的证明。

检查对相关法律法规及技术标准规范遵循的证明

□    □

内部评估

建立内部评估机制

检查内部审计机制是否存在

□    □

定期进行内部评估，每年至少一次

检查内部审计机制是否存在

□    □

具有内部评估记录和报告

检查内部审计记录是否存在

□    □

主管部门的监督管理

积极主动配合主管部门监督检查，全面、准确提供相关情况。

检查配合主管部门监督检查，全面、准确提供相关记录

□    □

对存在的问题及时进行整改

检查整改记录

□    □

对电子认证服务系统进行技术改造或者搬迁，要按照相关要求及时向主管部门报备。

统进行技术改造或者进行系统搬迁的,需将有关情况书面报主管部门

□    □

根据主管部门要求按时提交年度报告、统计数据等相关材料

检查是否根据主管部门要求按时提交年度报告、统计数据等相关材料

□    □

风险管理

建立风险管理机制

有明确的风险管理机制

检查是否存在风险管理相关规定

□    □

内部风险评估记录

具有内部风险评估记录

检查本年度风险评估相关记录

□    □

财务风险能力

建立并公布赔付机制

检查是否存在已公开的赔付机制

□    □

财务保障能力

是否具有足够的财务能力确保服务正常

提供最近一年的财务审计报告及最近一期的财务报表，并出具银行资信证明。

□    □

法律风险控制能力

具有法律相关专业人员或者外聘法务团队，控制法律风险

检查相关人员是否具有法务相关资质，或者检查外聘法务的协议。

□    □