通知第12/2011/TT-NHNN号关于国家银行数字签名、证书和数字签名验证服务的管理与使用规定

通知

关于国家银行数字签名、证书和数字签名验证服务的管理与使用的规定

__________________________________________

根据《中华人民共和国中国人民银行法》（第46号，2010年6月16日通过）；

根据《组织法》（第47/2010/QH12号，2010年6月16日颁布）；

根据《信息技术法》第67/2006/QH11号，二零零六年六月二十九日颁布；

根据《电子交易法》第51/2005/QH11号，2005年11月29日；

根据二零零八年八月二十六日政府第96/2008/NĐ-CP号法令关于国家银行职能、任务、权限和组织结构的规定；

根据2007年2月25日政府第26/2007/NĐ-CP号法令，就电子交易法关于数字签名和数字签名验证服务的具体实施规定；

实施政府关于简化属于国家银行职能范围内的行政程序的第60/NQ-CP号决议，
国家银行（以下简称“国家银行”）对国家银行的数字签名、证书和数字签名验证服务的管理与使用作出如下规定：

第一章

总则

第一条 调整范围

本通知规定国家银行在电子交易中数字签名、证书和数字签名验证服务的管理与使用。

第二条 适用对象

1. 属于国家银行、信贷组织；外国银行分行；国库。

2. 其他选择使用国家银行提供的数字签名验证服务的组织，在国家银行组织的电子交易活动中。

条3. 术语解释

在本通知中，下列术语定义如下：

1. “证书”是由国家银行提供的数字签名验证服务机构颁发的一种电子证书。

2. “数字签名验证服务”是国家银行提供的数字签名验证服务机构提供的服务类型。数字签名验证服务包括：

a) 为租户创建包含公钥和私钥的一对密钥；

b) 颁发、续期、暂停、恢复和撤销租户证书；

c) 维护在线证书数据库；

d) 法律规定的其他服务。

3. “租户”是指本通知第二条规定中的组织和个人；由国家银行提供的数字签名验证服务机构颁发证书；接受证书并持有与证书上记录的公钥相对应的私钥。

4. “租户管理机构”是指国家银行下属单位；信贷组织、国库或其他提出为所属组织和个人申请证书的组织，并根据法律规定对该组织和个人承担责任。

5. “国家银行的电子交易”是指国家银行通过电子方式开展的活动和业务。

6. “数字签名法令”是指2007年2月15日政府第26/2007/NĐ-CP号法令，就电子交易法关于数字签名和数字签名验证服务的具体实施规定。

第四条 国家银行数字签名验证服务提供机构

1. 国家银行数字签名验证服务提供机构（简称数字签名服务提供机构）由信息技术局管理运营，是国家银行唯一提供数字签名验证服务的机构。

地址：越南河内市东英区阮志尚街64号

电话：(04) 3835 4775 / (04) 3773 1386

传真：(04) 3835 8135 / 3834 5180

负责部门：信息安全管理和电子签名发放科（CA科）

2. 国家银行数字签名服务提供机构属于专用数字签名验证服务提供机构类型。

第五条 证书

1. 证书内容：

a) 数字签名服务提供机构名称；

b) 租户名称；

c) 租户管理机构名称；

d) 证书编号；

đ) 证书有效期；

e) 租户的公钥；

g) 数字签名服务提供机构的数字签名；

h) 证书使用的限制目的和范围；

i) 数字签名服务提供机构的责任限制；

k) 由数字签名服务提供机构规定的其他管理、使用、安全和保密信息。

2. 证书的有效期限：

a) 对于数字签名服务提供机构的证书不超过10年；

b) 对于租户的证书不超过5年。

条 6. 当事人的权利和义务

1. 组织提供数字签名服务的权利和义务：

a) 组织提供数字签名服务享有以下权利：

- 根据要求发放、续期、暂停、收回或恢复数字证书，并更换租户的密钥对；

- 在获得国家银行行长或其授权人员许可的情况下，保留租户加密密钥对的秘密备份，并仅在获得许可时使用该秘密备份；

b) 组织提供数字签名服务承担以下义务：

- 管理和运营国家银行提供的数字签名认证服务的技术设备系统；

- 制定确保国家银行提供的数字签名认证服务安全、连续运行的备用方案；

- 在数字证书有效期内，完整、准确并及时更新租户信息以支持数字证书管理；

- 向租户分发密钥和数字证书；

- 公布已发放、暂停或收回的数字证书清单；

- 在同意接受租户秘密备份密钥的保管委托时，确保租户秘密备份密钥的安全保密；

- 至少保存租户数字证书信息五年，自数字证书被收回之日起算；

- 按照本通知第19条的规定销毁已过保存期限的数字证书及相关数据，除非有国家主管机关的其他指定；

- 指导并为租户管理和租户提供便利，使其遵守本通知的规定。

c) 组织提供数字签名服务没有义务检查每个具体电子交易。

2. 租户管理组织的权利和义务：

a) 租户管理组织享有以下权利：

- 获得关于数字证书发放、管理及使用的程序和手续的信息指导；

- 要求组织提供数字签名服务向其所管理的租户发放、续期、暂停、恢复或收回数字证书或更换密钥对。

b) 租户管理组织承担以下义务：

- 对其所管理租户的数字证书发放、续期、暂停、恢复、收回或更换密钥对申请表中的信息准确性负责；

- 负责通过邮政或直接向组织提供数字签名服务提交有关数字证书的文件；

- 指导、监督并为所管理租户使用数字证书和秘密密钥提供便利，使其符合本通知的规定；

- 及时书面通知组织提供数字签名服务暂停或收回租户的数字证书，在租户暂时离职、离职或转到其他组织；租户转新工作且不再使用已发放的数字证书或其他由租户管理组织需求产生的情况下。

3. 租户的权利和义务：

a) 租户享有以下权利：

- 获得关于数字证书发放、管理及使用的程序和手续的信息指导；

- 通过其租户管理组织提出发放、续期、暂停、恢复或收回数字证书或更换密钥对的请求；

- 在必要时，租户可以直接向组织提供数字签名服务提交暂停其数字证书的书面请求，并对其请求负法律责任。

b) 租户承担以下义务：

- 正确使用已登记目的的数字证书；

- 按照“机密”制度保管和使用秘密密钥及其存储设备中的数据；

- 发现或怀疑数字证书或秘密密钥不再安全时，及时通知组织提供数字签名服务和其租户管理组织；

- 遵守其他关于发放、管理和使用数字证书的规定。

第二章

租户和租户管理组织

条 7. 颁发数字证书

1. 个人、组织申请颁发数字证书必须满足以下条件：

a) 属于本通知第二条规定的对象；

b) 同意本通知中对用户的各项规定。

2. 申请颁发数字证书的文件包括：

管理用户组织向数字签名服务提供组织提交的颁发数字证书申请书（附录中的表格7），附上管理用户组织内各个人和组织的数字证书申请书（附录中的表格1）。

3. 自行生成密钥对的情况下，用户必须在数字证书颁发批准通知规定的时间范围内生成密钥对。如果用户无法在规定时间内生成密钥对，管理用户组织必须向数字签名服务提供组织提交书面请求，延长用户生成密钥对的时间。

4. 用户必须使用符合数字签名服务提供组织技术标准的密钥存储设备。

条 8. 延长数字证书有效期

1. 提交延长申请的数字证书必须保证至少还有30天的有效期。

2. 管理用户组织将用户（附录中的表格2）的延长申请书提交给数字签名服务提供组织。

3. 每个数字证书最多可延长三次，每次延长不超过五年。

条 9. 暂停数字证书

1. 用户的数字证书在以下情况下被暂停：

a) 根据用户（附录中的表格3）的书面要求，在以下情况：密钥泄露或怀疑泄露；密钥存储设备丢失、非法复制或其他安全问题；

b) 根据国家有权机关的书面要求；

c) 根据管理用户组织的书面要求；

d) 有足够的证据表明用户违反了本通知的规定；

e) 数字签名服务提供组织发现任何可能影响用户权益或系统安全的问题。

2. 暂停数字证书的最长期限为六个月。

条 10. 收回数字证书

1. 租户的数字证书在以下情况下被收回：

a) 数字证书到期；

b) 根据国家有权机关的书面要求；

c) 根据管理用户组织的书面要求；

d) 管理用户组织或用户根据法律规定解散或破产；

e) 有足够的证据表明用户违反了本通知关于密钥管理和密钥存储设备使用的规定；

2. 被收回的数字证书在存储期限结束后，如果没有国家有权机关的其他指示，则按照本通知第十九条的规定销毁。

条11. 更改密钥对

1. 用户要求更换密钥对时，必须确保数字证书剩余的有效期至少有30天。

2. 管理用户组织将用户（附录中的表格6）的更换密钥对申请书提交给数字签名服务提供组织。

条 12. 验证数字签名

1. 在接受签署人的数字签名之前，接收人必须检查以下信息：

a) 签署人的数字证书的有效性、使用范围和责任限制，以及提供数字签名服务的组织的数字签名；

b) 数字签名必须由签署人的秘密密钥生成，并与数字证书上的公钥相对应。

2. 接收人在下列情况下必须承担所有损失：

a) 不遵守本条款第一款的规定；

b) 已经知道或被告知数字证书和签名人的私钥不再可信。

第三章

数字签名服务提供组织

条 13. 发放和续展数字证书

提供数字签名服务的组织有责任：

1. 向申请发放数字证书的组织和个人提供以下信息：

a) 数字证书的使用范围、限制、安全要求及其他可能影响申请发放数字证书的组织和个人权益的信息；

b) 对于用户在生成、保存和使用私钥方面的规定；

c) 为确保数字签名服务系统安全而由提供数字签名服务的组织规定的其他内容。

2. 自收到完整有效的数字证书发放或续展申请之日起五个工作日内，提供数字签名服务的组织有责任检查并发放或续展数字证书给符合条件的用户，或者出具拒绝文书说明不符合条件的理由。

3. 按照本通知第十八条的规定，在规定时间内公布新发放给用户的数字证书名单。

条 14. 暂停和收回数字证书

提供数字签名服务的组织有责任：

1. 确保接收暂停和收回数字证书请求的信息渠道每天24小时每周七天运行。

2. 至少保存与暂停或收回数字证书活动相关的信息五年，自数字证书被暂停或收回之日起算。

3. 当有足够的依据暂停或收回数字证书时，提供数字签名服务的组织必须立即执行暂停或收回操作，并同时通知用户，按照本通知第十八条的规定公布暂停和收回的名单。

条 15. 恢复数字证书

1. 提供数字签名服务的组织有责任在以下情况下考虑恢复用户的数字证书：

a) 根据有权国家机关的书面要求；

b) 根据用户或账户管理人（根据本通知附件四的格式）的恢复数字证书请求，如果用户或账户管理人之前曾提出暂停数字证书的要求；

c) 数字证书暂停期限已到期；

d) 根据本通知第九条第一款d项和f项的规定暂停的数字证书，且已纠正了导致暂停的违规行为、错误或事故。

2. 自收到符合规定的全部文件之日起五个工作日内，提供数字签名服务的组织有责任恢复符合条件的用户的数字证书，或者出具拒绝文书说明不符合恢复条件的理由。

条 16. 创建和提供密钥

1. 用户的一对密钥可以由以下方式创建：

a) 用户本人；

b) 根据用户或账户管理人的书面要求，由提供数字签名服务的组织创建。

2. 在自行创建密钥的情况下，用户必须遵循提供数字签名服务的组织的密钥创建规定。

3. 在提供数字签名服务的组织为用户创建密钥的情况下，私钥必须通过安全保密的方式传递给用户。

条 17. 更换用户密钥对

提供数字签名服务的组织有以下责任：

1. 确保接收更换密钥对请求的信息渠道每天24小时每周七天运行。

2. 自收到完整的有效更换密钥申请之日起五个工作日内，提供数字签名服务的组织检查并更换符合条件的用户的密钥对，并按本通知第十六条的规定分发密钥，或者出具拒绝文书说明不符合条件的理由。

3. 至少保存与更换密钥对活动相关的信息五年，自更换之日起算。

条 18. 更新和公布信息

1. 提供数字签名服务的组织有责任在其电子网站上每天24小时，每周7天维护以下信息：

a) 数字签名认证通知和数字证书；

b) 租户有效、暂停或撤销的数字证书清单；

c) 其他必要信息。

2. 数字证书数据库更新时间：

a) 自完成新签发数字证书手续之日起8个工作日内；

b) 完成暂停、撤销数字证书或更改密钥对工作后立即进行。

条 19. 销毁数字证书

1. 销毁原则：

a) 必须确保纸质和存储设备上的所有信息都被销毁；

b) 销毁委员会由租户管理组织的领导代表和其他与数字证书管理和使用相关的部门代表组成。委员会进行数字证书及相关数据的销毁，并记录销毁内容：已销毁的文件类型；销毁方法；结论及销毁委员会成员的签名。

2. 销毁方式：

a) 纸质文件通过粉碎无法恢复原状或完全焚烧的方式销毁；

b) 在存储设备上彻底删除无法恢复的所有数字证书及相关数据信息。

3. 销毁内容：

a) 数字证书数据，密钥对；

b) 与数字证书签发、管理和使用相关的其他数据。

第四章 实施细则

实施条款

条 20. 违规行为及其处理、申诉和争议解决

数字签名违规行为的确定和处理、申诉和争议解决，由提供数字签名服务的组织、租户和租户管理组织按照数字签名法令及其他相关法律规定执行。

条 21. 生效执行

本通知自2011年6月30日起生效，并取代国家银行于2008年2月21日发布的第04/2008/QĐ-NHNN号决定关于国家银行数字签名、数字证书的发放、管理和使用以及数字签名认证服务的规定。

条 22. 执行责任

1. 信息技术局负责：

a) 指导、监督和检查国家银行下属单位、金融机构、外国银行分行和其他使用国家银行数字签名认证服务的组织遵守本通知的情况。

b) 研究并实施将数字签名整合到国家银行电子银行业务中的措施。

2. 银行监管机构有责任与信息技术局合作，检查信贷机构和外国银行分行遵守本通知的情况。

3. 内部审计处负责对国家银行下属单位执行本通知的内部检查和内部审计活动。

4. 国家银行下属单位负责人、省（直辖市）国家银行分行行长、金融机构董事会主席、外国银行分行总经理（行长）、国库总局局长以及其他使用国家银行数字签名认证服务的组织负责人负责在各自单位内组织执行和检查本通知规定的遵守情况。/。