发布文号: 商办信函〔2006〕41号
信息产业部办公厅：
你部《关于征求对申请电子认证服务机构意见的函》收悉。依据《电子认证服务管理办法》的有关规定，经研究，我部对河北省电子商务认证有限公司电子认证申请有关材料提出如下意见： 一、对于客户的信息应该有相应的保密制度，用户纸质资料需要定期登记造册归档保存，并有专人负责管理，保存期为7年以上。
二、门禁系统监控应该实时进行，门禁系统分析不应每周仅一次，要做到及时发现问题，及时处理问题。
三、对于整体系统应制定相应的风险评估机制和策略。
四、从材料上看CA认证系统只有CA数据库，在管理区设备中并没有看到RA数据库。
五、网络管理员每日要对网络情况做连通性测试，通过入侵检测系统排查网络中存在的安全隐患。
六、LDAP管理员要制订安全控制策略，定期对数据进行备份、归档。
七、数据库是整个系统最为核心的设备，管理员需要提供数据的安全备份策略。
八、CA认证中心作为第三方的认证机构，需要提供7×24小时的认证服务，所以应该制订相应的容灾恢复方案，安全事故处理方案，网络、系统和人员的应急方案。
九、数字证书通过邮寄方式发放给用户时，应有切合实际的安全策略，最大化地保证数字证书的安全性。
特此函复 中华人民共和国商务部办公厅
二〇〇六年十二月四日
