GB/T 42971-2023 第三方电子合同服务平台信息安全技术要求
来源：GB/T 42971-2023 国家标准详情。 PDF SHA-256：bbab8d0628a2049c05d98a53146d8433d1aa384b3a6eb5ec4a5d20c0c36d551a。 发布日期：2023-09-07；实施日期：2024-04-01。依据官方公开文本的 12 页图像逐页核对，已去除分页和页眉页脚。
前言
本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国电子业务标准化技术委员会（SAC/TC 83）提出并归口。
本文件起草单位：杭州天谷信息科技有限公司、深圳惠农智光科技有限公司、广州执友信息科技有限公司、福州易伽科技有限公司、仙居好牛网络科技有限公司、江西泽山智能科技有限公司、深圳法大大网络科技有限公司、北京安证通信息科技股份有限公司、中国标准化研究院、北京声智科技有限公司、江西金虎保险设备集团有限公司、中移系统集成有限公司、杭州市消费者权益保护委员会秘书处（杭州国家电子商务产品质量监测处置中心）、杭州尚尚签网络科技有限公司、中国信息安全研究院有限公司、南京壹证通信息科技有限公司、北京中普至信标准化咨询事务所、山西科泰航天防务技术股份有限公司、杭州市质量技术监督检测院、福建工程学院、聊城卓群汽车部件有限公司、聊城市正丰电器有限公司、中关村新兴科技服务业产业联盟、中关村空间信息产业技术联盟、河南省信息咨询设计研究有限公司、福建省标准化研究院、中国轻工业信息中心、长城计算机软件与系统有限公司、中科标准（宁德）科技有限公司、中缆网信息科技（山东）有限公司、绿灯行电缆集团有限公司、东莞市衣电园实业投资有限公司、福州市宝尚信息科技有限公司、山东融托科技有限公司、江西金格科技股份有限公司、北京中科标准科技集团有限公司。
本文件主要起草人：王志民、张熙物、吴国坚、曾小凡、刘颖、金宏洲、程亮、苏臻、郭峰、梅臻、刘师学、孙聪、陈孝良、赵文清、赵钊林、黄忠虎、万敏、马建红、石丽娟、丁建军、赵宁、霍冬梅、熊树林、翟建飞、傅毅明、张隆裕、马圣东、张循、杨卫国、毛炜、马广浩、赵阳、孟慧敏、李月震、曹新九、孙广芝、熊波林、王伟、缪仙玉、王兵、邵强、咸传军、郑海林、辛倩倩、周润秋、罗贤娟、陈桂莲、李慈女、张伽敏。
1 范围
本文件规定了第三方电子合同服务平台的基本要求、订立过程安全、存储与应用安全和安全运维等要求。
本文件适用于第三方电子合同服务平台的设计、开发、运营和电子合同订立过程。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
-
GB/T 20520 信息安全技术 公钥基础设施 时间戳规范
-
GB/T 20988 信息安全技术 信息系统灾难恢复规范
-
GB/T 22239 信息安全技术 网络安全等级保护基本要求
-
GB/T 28448 信息安全技术 网络安全等级保护测评要求
-
GB/T 32918.2 信息安全技术 SM2椭圆曲线公钥密码算法 第2部分：数字签名算法
-
GB/T 35273 信息安全技术 个人信息安全规范
-
GB/T 37988 信息安全技术 数据安全能力成熟度模型
-
GB 50174 数据中心设计规范
-
JR/T 0118 金融电子认证规范
3 术语和定义
下列术语和定义适用于本文件。
3.1 电子合同 electronic contract
自然人、法人、其他组织之间以数据电文为载体，并利用电子通信手段设立、变更、终止民事权利义务关系的协议。
［来源：GB/T 36298—2018,3.1，有修改］
3.2 电子签名 electronic signature
数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。
3.3 电子认证 electronic certification
基于 PKI 的数字签名认证技术。
3.4 电子认证服务 electronic certification service
为电子签名相关各方提供真实性、可靠性验证的活动。
3.5 第三方电子合同服务平台 third-party service platform for electronic contract
独立于合同缔约人，具备身份认证、谈判磋商、电子签名、合同存储与调用等功能，能实现电子合同在线订立及处理的信息系统。
［来源：GB/T 36298—2018,3.8，有修改］
3.6 数字证书 digital certificate
由国家认可的，具有权威性、可信性和公正性的第三方电子认证服务机构（CA, Certificate Authority）进行数字签名的一个可信的数字化文件。
注：按类别可分为个人证书、机构证书和设备证书；按用途可分为签名证书和加密证书。
［来源：GB/T 20518—2018,3.7，有修改］
3.7 可信时间戳 trusted time stamp
能证明数据电文（电子文件）在一个时间点是已经存在的、完整的、可验证的，具备法律效力的电子凭证。
注1：可信时间戳由权威时间戳服务中心机构签发。
注2：可信时间戳主要用于电子文件防篡改和事后抵赖，确定电子文件产生的准确时间。
4 基本要求
4.1 资质要求
第三方电子合同服务平台资质应符合但不限于以下要求之一：
a） 网络安全等级保护应为 GB/T 22239 中第三级要求或更高级别；
b） 部署在境内的公有云、互联网数据中心（IDC,Internet Data Center）或自建机房；
c） 云服务通过通信主管部门的可信云服务认证；
d） 获得相关的信息安全、隐私保护、业务连续性管理体系的权威认证。
4.2 真实身份标识
第三方电子合同服务平台应使用组织验证（OV, Organization Validation） 或扩展验证（EV，Extended Validation）的传输层安全（SSL,Secure Sockets Layer）网站认证证书等手段标识网站的真实性，并有效保护交易信息的安全。
4.3 业务持续性保障
业务持续性保障应符合但不限于以下要求：
a） 部署在符合GB 50174要求的A级数据中心机房；
b） 建立或使用与其业务规模相匹配的灾备系统设施，系统的灾难恢复能力满足 GB/T 20988 的第三级及以上等级要求，具备实时数据传输及完整设备支持，保证业务持续性及应急响应；
c） 提供 7×24 h 服务，并提供 7×24 h 服务热线，全年服务可用率≥99.95%。
4.4 通信安全
数据在公网传输时应采用数据加密技术实现机密性保护，保证数据传输的安全性，安全网络传输协议（TLS, Transport Layer Security）版本应≥1.2。
4.5 安全评估与监管
第三方电子合同服务平台应依据GB/T 28448定期开展等级保护测评，测评应由具备等级保护测评资质的信息安全测评认证机构进行。
第三方电子合同服务平台应向监管部门或行业自律组织完成报备等合规工作。
4.6 数据安全
第三方电子合同服务平台数据安全主要包括身份认证、授权访问控制、可审计、存储保护和隐私保护，应符合但不限于以下要求：
a） 采取身份认证，确保具备访问权限；
b） 具有授权访问控制功能，用户通过实名核验后，才可查看、下载本人已订立或被授予权限的电子合同；
c） 完整记录用户操作日志以备审计；
d） 具有安全措施，确保电子合同不泄露，对电子合同进行加密存储；
e） 具有隐私保护措施，确保用户隐私安全，符合GB/T 35273要求。
4.7 电子签名
4.7.1 基本要求
电子签名应符合但不限于以下要求：
a） 在可靠电子签名体系中，标识电子签名人真实身份的数字证书由电子认证服务机构颁发；
b）第三方电子合同服务平台所合作的电子认证服务机构要取得主管部门颁发的“电子认证服务许可证”，并符合主管部门的各项管理要求和在主管部门备案的电子认证业务规则。
4.7.2 电子签名验证
第三方电子合同服务平台应对电子签名人提交的电子签名进行验证，以保证电子合同的完整性和抗抵赖性，电子签名验证应符合但不限于以下要求：
a） 验证签订人数字证书的有效性；
b） 验证电子签名的有效性以及时间戳信息；
c） 验证电子签名所使用的电子签名算法符合 GB/T 32918.2要求；
d） 验证电子签名所使用的数据摘要算法符合 GB/T 32918.2要求；
e） 验证电子签名攻击，防止通用签名伪造（USF, Universal Signature Forgery）、增量保存攻击（ISA,Incremental Saving Attack） 和特征包裹攻击（SWA,Signature Wrapping Attack）攻击。
4.8 记录留存
第三方电子合同服务平台应记录并保存签订人的合同记录，客户有要求时，按客户要求对相关信息进行保留，无特殊要求时留存期限应至少为当事人数字证书失效后5年。
5 订立过程安全
5.1 基本要求
签订人应先通过实名核验，由电子认证服务机构为其签发数字证书，签订人使用数字证书对电子合同进行电子签名，第三方电子合同服务平台使用电子签名验证数据进行电子合同完整性验证，并且确认签订人的真实身份。
5.2 实名核验
5.2.1 基本要求
实名核验基本要求包括但不限于以下要求。
a） 实名核验应包含对签订人提供的有效证件真实性、一致性、意愿真实性三方面进行核验。第三方电子合同服务平台可根据平台自身的风控制度自主选择实名核验的方式。
b） 实名核验方式应不少于两种，不应规定单一校验方式。
c） 签订人登录第三方电子合同服务平台，应提交真实、完整和准确的个人或企业身份信息，第三方电子合同服务平台应对签订人的身份信息进行审核，只有实名核验通过的个人或企业，才能签订合同。
d） 实名核验需明示个人信息数据流向，个人信息处理方式应符合相关法律法规要求。
e） 应准确记录签订人实名核验操作时间、操作内容、操作结果、操作来源互联网协议（IP,Internet Protocol）便于审计。
5.2.2 自然人实名核验
第三方电子合同服务平台在对自然人进行实名核验时可采用以下方式。
a） 线下核验：包括对自然人有效证件的现场审核、自然人生物特征信息的采集和比对核验以及人证合一的确认。
b） 线上核验：核验信息包括姓名、身份证号码、手机号码或银行卡号。核验信息应利用政府权威部门的数据库或取得政府权威部门授权或认可的数据库等，并采用生物特征识别技术或其他安全有效的技术手段进行人证合一的确认，也可通过电子认证服务机构颁发的数字证书进行实名核验。
c） 其他经过认可的，可保证自然人有效证件真实性、一致性及意愿真实性的实名核验方式。
5.2.3 法人或其他组织实名核验
第三方电子合同服务平台在对法人或其他组织进行实名核验时可采用以下方式：
a） 线下核验：包括对法人或其他组织有效证件和经办人的合法授权文件的现场审核，以及经办人的个人实名核验；
b） 线上核验：核验信息包括名称、工商登记号或统一社会信用代码、法定代表人或负责人姓名和身份证号码，应采用经办人个人实名核验，以及核心隐私数据的核验，例如对公银行打款、开具指定金额发票等核验方式，也可通过电子认证服务机构颁发的数字证书进行实名核验；
c）其他经过认可的，可保证有效证件真实性、一致性及意愿真实性的实名核验方式。
5.2.4 核验隐私数据保护
第三方电子合同服务平台对核验信息的保护，应符合 GB/T 35273以及相关法律法规中对敏感信息要求。
5.3 数字证书申请
5.3.1 基本要求
签订人应在第三方电子合同服务平台上通过实名核验后才能申请数字证书。
5.3.2 个人数字证书申请的有效身份证件
在个人数字证书申请时对个人身份进行鉴别时，应符合JR/T 0118中有关个人有效身份证件的要求。
5.3.3 企业数字证书申请的有效证件
在企业数字证书申请时对机构身份进行鉴别时，应符合JR/T 0118中有关企业有效身份证件的要求。
5.3.4 数字证书安全
在使用数字证书签名时，应符合 GB/T 32918.2中的密码算法安全要求。
5.4 密码算法及密码产品
第三方电子合同服务平台所使用的密码算法可包括但不限于：杂凑算法、非对称密码算法和对称密码算法，所有算法应是国家密码主管部门认可的算法。
第三方电子合同服务平台采用的密码产品（模块）应取得国家密码主管部门颁发的商用密码产品认证证书。
注：密码产品（模块）是自研产品（模块）或第三方产品（模块）。
5.5 时间戳
电子合同采用的可信时间戳应符合以下要求：
a） 第三方电子合同服务平台确保合同具备可信时间戳要素，满足防篡改要求；
b） 权威时间戳服务机构应与国家授时中心保持时间同步；
c） 时间戳应符合 GB/T 20520 的要求。
5.6 存证可靠性
第三方电子合同服务平台将签名数据固化后，形成证据链条应符合以下要求。
a） 能够可靠地保证自最终形成时起，内容保持完整、未被更改。但是在数据电文上增加背书以及数据交换、储存和显示过程中发生的形式变化不影响数据电文的完整性。
b） 能够有效地表现所载内容并能够随时调取查用。
5.7 数据安全技术
第三方电子合同服务平台系统数据安全，应符合GB/T 37988 的要求，包括：
a） 数据采集安全；
b） 数据传输安全；
c） 数据存储安全；
d） 数据交换安全；
e） 数据销毁安全。
6 存储与应用安全
6.1 存储安全
第三方电子合同服务平台数据存储安全应符合但不限于以下要求。
a） 制定数据存储安全规则，包括但不限于：
1） 数据存储设备运行维护操作规则；
2） 数据存储系统安全管理规则；
3） 数据复制、备份与恢复的操作规则及定期检查或更新工作程序；
4） 数据归档存储制度及相应的安全审计与恢复制度；
5） 数据存储时效性管理规则。
b） 建立开放可伸缩的数据存储架构，以满足数据量持续增长、数据分类分级存储等需求。
c） 建立具备跨地域容错、容灾能力的数据存储架构。
d） 数据逻辑存储多租户隔离，分层分级保护，并授权管理。
e） 采用中间件/安全加密技术/安全设备实施实现数据资源的保护。
f） 数据访问审计的存储保护和管控。
g） 数据存储完整性、多副本一致性检测与恢复。
h） 在安全等级可接受的环境中再次使用存储介质之前应清除存储介质上已有的内部存储、缓存或其他可用的数据，以防对先前数据的访问。
i） 对存储介质进行标记，明确存储介质存储的数据对象，并对存储介质访问和使用行为进行记录和审计。
6.2 隐私保护安全
第三方电子合同服务平台数据隐私保护安全应符合但不限于以下要求：
a） 构建数据脱敏规范，数据使用正当性的内部责任制度，数据溯源策略和管理制度以及不同类型、级别数据的加密规则和保存期限；
b） 建立分布式处理节点间可信连接策略和规范，采用节点认证等机制确保节点接入的真实性；
c） 建立分布式处理节点和用户安全属性的周期性确认机制，确保预定义分布式安全策略一致性；
d） 建立分布式处理过程中数据文件鉴别和访问用户身份认证的策略和规范，确保分布式处理数据文件的可访问性；
e） 分析利用所掌握的信息资源，不应影响国家安全、经济运行、社会稳定，不应损害他人合法权益；
f） 若收到个人信息查询、更正、删除及用户注销账号请求，在合理时间和代价范围内予以查询、更正、删除或注销账号；
g） 因业务需求，需扩大个人信息使用范围的，征得个人信息主体同意，不应违反收集使用规则使用个人信息；
h） 制定可公开的隐私政策。
6.3 司法举证
第三方电子合同服务平台具有协助举证方进行举证的义务。证据证明包括但不限于：
a） 第三方电子合同服务平台提供订立的电子合同原文、签订人在平台的实名核验等证据，第三方电子合同服务平台依据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》对公民个人信息安全进行保护并告知义务的履行证明文件；
b） 第三方电子合同服务平台可与存证机构对接，有司法举证需求时，存证机构应出具存证证明文件；
示例：存证证明文件包括公证书、司法鉴定书等。
c） 电子认证服务机构出具数字证书及电子签名的验证报告，证明证书及电子签名的有效性；
d） 电子签名人委托他人代为实施签名行为时，电子签名的制作数据应由签名人控制，第三方电子合同服务平台提供调用电子签名制作数据的时间和方式、IP地址、授权及认证方式、授权及认证记录等证明；
e） 有司法举证要求时使用解密密钥解密原文；
f） 司法机构要求配合提供的其他相关证据。
7 安全运维
7.1 日志管理
日志管理满足以下要求。
a） 应全面收集第三方电子合同服务平台系统的运行日志，并进行归一化预处理，以便后续存储和处理。
b） 原始日志信息和归一化处理后的日志信息应分别进行存储。原始日志信息应防篡改，以便可作为司法证据；已归一化的日志应进行结构化存储，以便检索和深度处理。
c） 对日志信息应进行多种分析，包括：
1） 攻击线索查找分析：在第三方电子合同服务平台系统受到攻击后，通过日志分析找到攻击源和攻击路径，以便清除木马和病毒，并恢复系统正常运行；
2） 日志交叉深度分析：通过定期的交叉分析，发现并阻断潜在攻击；
3） 对攻击日志进行历史分析，发现攻击趋势，以实现早期防御。
7.2 漏洞管理
应建立漏洞应急机制，可通过以下两种方式获取第三方电子合同服务平台系统及其支撑软硬件系统存在的脆弱性或漏洞。
a） 借助漏洞扫描工具对第三方电子合同服务平台系统及其软硬件系统存在的漏洞进行扫描，以发现存在的脆弱性。
b）通过多种渠道及时了解第三方电子合同服务平台系统及其支撑软硬件系统存在的脆弱性。及时更新第三方电子合同服务平台系统和相应的支撑软硬件设备，以保持系统处于安全状态。
7.3 备份管理
可根据业务数据的重要程度设定相应的备份策略。可选择的备份方式包括完全备份、差异备份或增量备份；可选择的备份地点包括同城备份或异地备份等。
对已备份的数据的恢复演练频次不应低于每季度一次，以保证备份的可用性和灾难恢复系统的可靠性。
7.4 安全事件管理
第三方电子合同服务平台系统安全事件管理责任和规程应符合以下要求。
a） 建立管理责任以确保以下规程被制定并在组织内得到充分的交流：
1） 规划和准备事件响应的规程；
2） 监视、发现、分析和报告信息安全事态和事件的规程；
3） 记录事件管理活动的规程；
4） 处理司法证据的规程；
5） 评估和决断第三方电子合同服务平台系统安全事态以及评估安全弱点的规程；
6） 包括升级、事件的受控恢复、与内外部人员或组织沟通在内的响应的规程。
b） 所建立的规程确保：
1） 配置胜任的人员处理组织内的第三方电子合同服务平台系统安全事件相关问题；
2） 建立安全事件发现和报告的联络机制。
c） 报告规程包括：
1） 准备第三方电子合同服务平台系统安全事态报告表格，以便在第三方电子合同服务平台系统安全事态发生时支持报告行动和帮助人员在报告时记住所有必要的行动；
2） 在信息安全事态发生时所采取的规程，例如一旦注意到所有细节（诸如不合规或违规的类型、发生的故障、屏幕上的消息），立刻向联络点报告并采取协调行动；
3） 适宜的反馈过程，以确保第三方电子合同服务平台系统安全事态报告人员在问题被处理并关闭后得到结果的通知。
参考文献
-
［1］ GB/T 20518—2018 信息安全技术 公钥基础设施 数字证书格式
-
［2］ GB/T 36298—2018 电子合同订立流程规范
-
［3］ 国务院〔2023〕第760号 商用密码管理条例
-
［4］ 中华人民共和国主席令（第五十三号）中华人民共和国网络安全法
-
［5］ 中华人民共和国主席令（第九十一号）中华人民共和国个人信息保护法
-
［6］ 国密局字〔2018〕572号 电子政务电子认证服务业务规则规范
-
［7］ 工业和信息化部令 第29号 电子认证服务管理办法
-
［8］ 国家密码管理局公告 第17号 电子认证服务密码管理办法
-
［9］ 公通字〔2007〕43号 信息安全等级保护管理办法