市政府办公厅转发市信息办关于加快我市网络信任体系建设的实施意见的通知

各区县人民政府，市府各委办局，市各直属单位：

　　市信息办拟定的《关于加快我市网络信任体系建设的实施意见》已经市政府同意，现转发给你们，请遵照执行。

南京市人民政府办公厅

                            二○○八年十月二十二日

 
关于加快我市网络信任体系建设的实施意见
（市信息办  2008年10月）

　　近年来，随着全市国民经济和社会信息化建设的不断推进，特别是各类电子政务系统的应用拓展，我市的信息网络信任体系建设取得了较大进展，先后建成了南京市电子政务证书认证中心和全市党政机关电子公章系统，省电子商务证书认证中心也已延伸到我市，为全市信息化发展提供了安全保障。但我市网络信任体系建设还存在基础设施不完善、应用面不宽、授权管理和责任认定尚未开展等问题。为进一步规范和加强我市网络信任体系建设，促进信息技术应用，保障信息化健康发展，根据《***转发国家网络与信息安全协调小组关于网络信任体系建设若干意见的通知》（国办发〔2006〕11号）和《省政府办公厅转发省信息化领导小组办公室省国家密码管理局办公室关于在全省推广使用数字证书意见的通知》（苏政办发〔2005〕49号）精神，结合我市实际，提出以下实施意见。

　　一、充分认识网络信任体系建设的重要性

　　网络信任体系是以密码技术为基础，以法律法规、技术标准和基础设施为主要内容，以解决网络应用中身份认证、授权管理和责任认定等为目的的完整体系。其中，身份认证是一种通过公共密钥基础设施（PKI）的技术手段确认网络信息系统中主客体真实身份的过程和方法，主要以电子认证方式实现；授权管理是综合利用身份认证、访问控制、权限管理等技术措施解决访问者合理使用网络信息资源的过程和方法；责任认定是应用数据保留、证据保全、行为审计、取证分析等技术，记录、保留、审计网络事件，确定网络行为主体责任的过程和方法。

　　网络信任体系建设是实施国家信息化战略的重要保障，是建设诚信社会的必然要求，是信息安全保障体系建设的重要组成部分。加快网络信任体系建设，保障国家、企业和个人信息安全可控，维护网络活动中有关各方的合法权益，对于有效打击网络犯罪，增强网络信息系统的防泄密、抗侵入、拒***、识真伪、保安全能力，为信息化建设提供安全保障，具有十分重要的现实和长远意义。各区县、各部门要进一步提高认识，增强紧迫感，加强领导，各司其职，密切配合，共同做好这项工作。

　　二、网络信任体系建设的总体要求和基本原则

　　（一）总体要求：树立和落实科学发展观，健全管理机制，完善法律法规，统一技术标准，加强基础设施建设，促进技术研发，加快人才培养，提升应用支撑能力，形成布局合理、安全可控、经济适用、运行有序的网络信任体系，为信息化建设提供安全保障。

　　（二）基本原则：坚持统筹规划、统一标准、协调有序地推进，正确处理当前与长远、局部与全局的关系，坚持突出应用、保障安全、务求实效，坚持技术保障和依法管理相结合。

　　三、加快网络信任体系建设的任务和措施

　　（一）规范和加强电子认证工作。

　　1、建立规范有序的电子认证体系。

　　建立统一规范和权威公正的电子认证机构，有利于实现资源共享，避免重复建设，提高证书使用效率，最大程度地维护用户利益。我市电子政务证书认证中心是江苏省电子政务证书认证中心的南京分中心，各区县、各部门要按照有关规定，依法使用南京市电子政务证书认证中心和江苏省电子商务证书认证中心颁发的数字证书，实现省内统一认证，并为实现全国电子认证互通互认创造条件。除国家另有规定外，本市范围内不得再自建用于电子政务和面向社会发证的数字证书认证系统，已有的未经国家批准或简易的证书认证系统应尽快停止使用，确保数字证书认证的可靠性、权威性和公正性。

　　要合理规划使用电子政务数字证书和电子商务数字证书，严格划分两种证书的发放范围和应用边界，避免出现为同一用户交叉发放数字证书的情况。电子政务内、外网中的公务员和接受政府实施社会管理、提供公共服务的被授权机构和人员一律使用电子政务数字证书进行电子认证，社会公众和企事业单位原则上使用电子商务数字证书进行电子认证。

　　2、加快数字证书的发放和推广应用。

　　着重抓好电子政务证书的推广应用。市信息办、阳光办、公安、检察、法院等部门应积极创造条件，在内部办公等重要业务应用系统中应用数字证书，确保网络和信息安全。市信息办要加快内网综合政务平台的建设，通过安全可靠的工作平台进一步完善政务部门网上办公等系统应用。市阳光办要结合权力阳光运行的推进工作，利用数字证书技术在网上政务大厅开展行政许可、审批的网上在线申请，探索和尝试实行网上电子证照发放和查询服务。今后新建的应用系统必须采用电子认证技术，建立基于数字证书认证的强认证机制，原有的应用系统也应以电子认证逐步替换用户名+口令的认证方式。2008年底前要基本完成市电子政务内、外网各主要应用系统的电子认证改造，2009年底前基本完成各区县和各部门业务系统的电子认证改造，逐步实现全市电子政务网统一的身份认证。

　　积极推进电子商务数字证书的推广应用。质监、税务、工商、交通、劳动保障等信息化建设基础较好的部门，应带头在面向社会开展的网上年检、网上纳税、网上审批、网上监管、网上征缴等公共服务业务中应用数字证书，并在这些业务应用系统中做到电子政务和电子商务两种数字证书的有机结合，引导社会用户使用电子商务数字证书，并努力实现一证多用，为用户提供更加安全可靠、便捷实惠的政务服务。市信息办和市商贸局、外经贸局等单位要利用数字证书开展电子签名应用，逐步建设统一的以电子认证为基础的电子商务安全平台，实现安全可控、互联互通的电子商务认证系统，保障网上交易和支付安全。市、区县两级政府要发挥引导示范作用，率先在网上招标、网上采购和网上拨付等活动中使用数字证书，推动电子认证的广泛应用。

　　3、抓紧完善电子认证基础设施。

　　目前我市电子政务证书认证中心建在电子政务内网，要尽快在外网建设相应的电子认证设施，形成电子政务内、外网两个电子认证平台，满足内外网电子政务安全认证的需要；要进一步提高电子政务数字证书的查询认证效率，完善证书使用和管理。市信息办要会同有关部门研究制定我市电子商务数字证书的发放、管理办法及认证平台建设方案并抓紧实施。在此之前，各单位可直接到江苏省电子商务证书认证中心申领证书，并通过江苏省电子商务电子认证平台进行认证。

　　要建立电子政务网络授时服务系统，为电子政务提供可信、统一的时间源和时间标准，为电子政务系统各项业务有序运转和实现责任认定提供保证。

　　（二）切实做好授权管理和责任认定工作。

　　有关部门和信息资源开发利用单位要加强对电子政务网络各种行为主体访问、利用、处理信息资源权限的管理。在信息资源开发利用和应用系统建设中，综合利用身份认证、访问控制、权限管理等技术措施解决授权管理问题，逐步建成市域范围内统一的授权管理系统（PMI），促进信息资源合理利用。

　　要加强系统日志、审计数据的管理，利用数字签名、行为审计、取证分析等技术，通过记录、保留、审计网络事件来确定网络行为主体的责任，实现网络行为可核查和网络事件责任可追究。市级机关各应用系统特别是实施政府行政管理职能的业务应用系统，应积极采用基于数字证书的电子签名进行责任认定，争取用一两年时间完成电子签名在各类业务系统中的应用。与全市经济运行、社会稳定密切相关的重要电子商务系统也应采取相同的安全措施。公安部门要组织相关单位，深入研究证据保全、行为审计、取证分析等责任认定技术，建设相应的技术平台，完善打击网络犯罪的方法和手段。市信息办、发改委、科技局等部门要组织、引导和支持我市企业引进、开发网络信任体系建设急需的技术和产品，重点发展具有自主知识产权的关键产品，带动全市信息安全产业发展，为网络信任体系建设提供技术支持和保障。

　　（三）建立促进网络信任体系建设的有效机制。

　　各部门、各单位要把网络信任体系建设作为各类信息系统建设的前提和必要条件，加强对电子政务系统和重要电子商务系统的规划设计、建设和运行维护的监督管理。信息化项目主管单位要按有关要求编制方案，搞好与网络信任体系建设规划的衔接，项目审批单位要对建设方案中的身份认证、授权管理、责任认定等功能进行审核，项目投入运行前要对信任体系相关功能进行验收，系统运行后要定期检验信任机制的有效性。

　　要抓紧制定全市电子政务数字证书的发放和管理办法，并依照国家有关规定和技术标准，研究制定电子认证的规范性技术文件，明确协议标准，统一应用接口，规范服务模式，实现电子政务电子认证的安全可控、互通互认。在电子政务内网只对电子政务数字证书进行认证，在电子政务外网和电子商务网络可使用两种证书实现认证。

　　实行电子政务数字证书集中发放。2008年底前，由市信息办和密码管理局负责，完成市级机关全部国家公务人员个人数字证书的发放工作，所需经费由市财政统一解决；各区县也应抓紧完成所属国家公务人员的个人数字证书发放工作，所需经费由本级财政解决。

　　四、加强组织领导，有序推进网络信任体系建设

　　市信息化领导小组负责全市网络信任体系建设的统筹规划、统一管理和统一领导。市信息办负责会同有关部门制订网络信任体系建设规划，审核项目建设方案，研究制订相关的管理办法，协调解决建设中的重大问题。南京市电子政务证书认证中心负责为全市电子政务内、外网提供电子政务数字证书认证服务。市信息办、密码管理局要加强管理和指导，提高认证服务质量，鼓励资源和服务共享，防止盲目重复建设。市科技局要加大对网络信任体系基础性和关键性技术研究开发项目的支持。市人事局要注意对信息安全专业人才的引进和培养。市信息中心负责在全市各类信息共享工程建设中搞好网络信任体系建设。各区县、市各部门要抓好各自业务应用系统的网络信任体系建设。