一、电子认证业务规则的首要构成部分
电子认证业务规则是电子认证服务机构对所供应的认证及有关业务的全面描述。电子认证业务规则包含责任规模、作业操作规范和信息安全保障措施等内容，首要由下方几部分构成。
（一）概括性描述
（二）信息公布与信息管理
（三）身份标识与鉴别
（四）证书生命周期操作要求
（五）认证机构设施、管理和操作控制
（六）认证系统技术安全控制
（七）证书、证书吊销列表和在线证书状态协议
（八）认证机构审计和其余评估
（九）法律责任和其余业务条款
二、首要构成部分的内容表明
（一） 概括性描述
对电子认证业务规则执行概要性表述，给出文档的名称和标识，表示电子认证活动的参与者及证书应用规模，并表明对电子认证业务规则的管理，最后给出电子认证业务规则中运用的定义和缩写。
1、简述
对电子认证业务规则供应一个概要性介绍，也可用于对电子认证服务机构的概要性描述。比如，可以设定所供应证书的不同保证等级，也可以用图形的方式来表达电子认证服务机构的结构。
2、文档名称与标识
有关电子认证业务规则的任何适用名称或标识符，包含ASN.1对象标识符的表明。
3、电子认证活动参与者
* 电子认证服务机构，也就是证书认证机构，是颁发证书的实体。
* 注册机构，也就是为最终证书申请者建立注册过程的实体，对证书申请者执行身份标识和鉴别，发起或传递证书吊销请求，代表电子认证服务机构准许更新证书或更新密钥的申请。
* 订户，从电子认证服务机构接收证书的实体。在电子签名应用中，订户即为电子签名人。
* 依靠方，依靠于证书真实性的实体。在电子签名应用中，即为电子签名依靠方。依靠方可以是、也可以不是一个订户。
* 其余参与者，如证书制造机构、证书库服务供应者、以及其余供应电子认证有关服务的实体。
4、证书应用
* 所颁发证书适用的证书应用列表或者类型，如电子邮件、零售交易、合同、旅行订单等。
* 所颁发证书禁止的证书应用列表或者类型。
5、策略管理
描述负责起草、注册、维护和更新目前电子认证业务规则的组织名称和邮件地址，联系人姓名、电子邮件地址、电话号码和传真号码。作为一种替代方案，可不指定真实人，而是定义一个称谓或角色、一个电子邮件别名或其余通用的联系信息。
主管部分也或许会策划专门的证书策略，并可指定某个电子认证服务机构的电子认证业务规则符合某种证书策略。假使如此，则需要在此声明准许电子认证业务规则的人或机构，包含名称、电子邮件、电话、传真以及其余常用信息，并表明准许流程。
6、定义和缩写
文档中所运用术语的定义汇总表，还包含缩略语及其含义的汇总表。比如：
电子认证服务机构（CA）
注册机构（RA）
证书策略（CP）
电子认证业务规则（CPS）
证书吊销列表（CRL）
在线证书状态协议（OCSP）
电子签名认证证书（证书）
电子签名人（证书持有者、订户）
电子签名依靠方（证书运用者、依靠方）
私钥（电子签名制作报告）
公钥（电子签名验证报告）
（二）信息公布与信息管理
描述任何与认证信息公布有关的内容，包含信息库的经营者、经营者的职责、信息公布的频率以及对所公布信息的访问控制等。
1、经营信息库的实体标识，如电子认证服务机构、或独立信息库服务供应者。
2、经营者公布其业务实践、证书和证书目前状态的职责，标识出对公众可用和不可用的项、子项和元素。
3、信息公布的时间和频率。
4、对公布信息的访问控制，包含CP、CPS、证书、OCSP和CRL。
（三） 身份标识与鉴别
描述电子认证服务机构在颁发证书以前，对证书申请者的身份和其余属性执行鉴别的过程，以及标识和鉴别密钥更新请求者和吊销请求者的方法。表明命名规则，包含在某些名称中对商标权的承认困难。
1、命名
* 分配给实体的名称类型，如X.500甄别名、RFC-822位称、X.400位称。
* 名称能否一定要故意义。
* 订户能否能够运用匿名或假名，假使可以，订户可以运用恐会被分配给什么样的名称。
* 理解不同名称形式的规则，如X.500标准和RFC-822。
* 名称能否需要唯一。
* 对商标的承认、鉴别。
2、初始身份证实
* 对机构申请者的组织身份执行身份标识和鉴别的要求，如咨询供应组织身份识别服务的报告库、或检查组织的资质文件。
* 对于个人订户或代表组织订户的个人执行身份标识和鉴别的要求。
* 在初始注册中没有验证的订户信息列表。
* 对机构的验证涉及确定一个人能否具有特定的权力恐怕可，包含代表组织获取证书的许可。
3、密钥更新请求中的标识与鉴别
针对于密钥更新中对每个实体身份标识和鉴别过程，表明下列元素。
* 常规密钥更新中对身份标识和鉴别的要求，如运用目前有效密钥对包含新密钥的密钥更新请求执行签名。
* 证书被吊销后密钥更新中对身份标识和鉴别的要求，如运用原始身份验证相同的流程。
4、吊销请求中的标识与鉴别
描述对每个实体类型（电子认证服务机构、注册机构、订户或其余参与者）吊销请求的身份标识和鉴别过程。
（四）证书生命周期操作要求
表明在证书生命周期方面对电子认证服务机构及有关实体的要求，注册机构、订户或其余参与者的要求，在每个子项中或许需要对电子认证服务机构、注册机构、订户或其余参与者给予分别考虑。
1、证书申请
* 提交证书申请的实体，如证书申请者或注册机构。
* 实体在提交证书申请时所运用的注册过程，以及在此过程中各方的责任。为了接收证书申请，电子认证服务机构或注册机构或许负有建立注册过程的责任。同样，证书申请者或许负有在其证书申请中供应精准信息的责任。
2、证书申请处理
描述处理证书申请的过程。比如，为了验证证书申请，电子认证服务机构或注册机构或许要实施身份标识和鉴别流程，依据这些步骤，电子认证服务机构或注册机构将或许依照某些准则或者准许或者婉拒该证书申请。最后，要设置电子认证服务机构或注册机构务必受理并处理证书申请的时间期限。
3、证书签发
* 在证书签发过程中电子认证服务机构的举动，如电子认证服务机构验证注册机构签名和证实注册机构的权限、并生成证书的过程。
* 电子认证服务机构签发证书时对订户的通告机制，如电子认证服务机构用电子邮件将证书发送给订户或注册机构，或者用电子邮件将允许订户到网站下载证书的信息告知用户。
4、证书接受
* 组成申请者接受证书的举动。该种举动可以包含表明接受的证实步骤、示意接受的操作、没能成功反对证书或其内容。
* 电子认证服务机构对证书的公布方式，比如电子认证服务机构可以将证书公布到X.500或LDAP证书库。
* 电子认证服务机构在颁发证书时对其余实体的通告，比如，电子认证服务机构或许发送证书到注册机构。
5、密钥对和证书的运用
描述与密钥对和证书运用有关的责任。
* 与订户运用其私钥和证书有关的订户责任。比如，订户或许被要求只能在恰当的应用规模内运用私钥和证书，这些应用在CP中设置，而且与相关的证书内容相统一（如密钥用途字段）。
* 与运用订户公钥和证书有关的依靠方责任。比如，依靠方只能在恰当的应用规模内依靠于证书，这些应用在CP中设置，而且与相关的证书内容相统一（如密钥用途扩展）。
6、证书更新
证书更新指在不更改证书中订户的公钥或其余任何信息的情形下，为订户签发一张新证书。
* 执行证书更新的情形，如证书已到期，但策略允许继续运用相同的密钥对。
* 请求更新的实体，如订户、注册机构或电子认证服务机构可以自动更新订户证书。
* 为签发新证书，电子认证服务机构或注册机构处理更新请求的过程，如运用令牌，比如口令，来从新鉴别订户、或运用与原始签发证书相同的过程。
* 颁发新证书给订户时的通告。
* 组成接受更新证书的举动。
* 电子认证服务机构对更新证书的公布。
* 电子认证服务机构在颁发证书时对其余实体的通告。
7、证书密钥更新
证书密钥更新指订户或其余参与者生成一对新密钥并申请为新公钥签发一个新证书。
* 证书密钥更新的情形，如因私钥泄漏而吊销证书之后、或者证书到期而且密钥对的运用期也到期之后。
* 可以请求证书密钥更新的实体，如订户。
* 为签发新证书，电子认证服务机构或注册机构处理密钥更新请求的过程。
* 颁发新证书给订户时的通告。
* 组成接受密钥更新证书的举动。
* 电子认证服务机构对密钥更新证书的公布。
* 电子认证服务机构在颁发证书时对其余实体的通告。
8、证书变更
证书变更指更改证书中除订户公钥之外的信息而签发新证书的情形。
* 证书变更的情形，如名称更改等而产生的实体身份更改。
* 可以请求证书变更的实体，如订户或注册机构。
* 为签发新证书，电子认证服务机构或注册机构处理证书变更请求的过程，如采取与原始证书签发相同的过程。
* 颁发新证书给订户时的通告。
* 组成接受变更证书的举动。
* 电子认证服务机构对变更证书的公布。
* 电子认证服务机构在颁发证书时对其余实体的通告。
9、证书吊销和挂起
* 证书挂起的情形和证书务必吊销的情形，比如订户合同期满、密码令牌丢失或怀疑私钥泄漏。
* 可以请求吊销证书的实体，比如对最终用户证书来说，或许是订户、注册机构或电子认证服务机构。
* 证书吊销请求的流程，如由注册机构签署的消息、由订户签署的消息或由注册机构电话通知。
* 订户可用的宽限期，订户务必在此时期内提出吊销请求。
* 电子认证服务机构务必处理吊销请求的时间。
* 为检查其所依靠证书的状态，依靠方可以或务必运用的检查机制。
* 假使运用CRL，其公布频率是多少。
* 假使运用CRL，造成CRL并将其公布到证书库的最大推迟是多少（也就是在生成CRL之后，在将其公布到证书库中所用的处理和通信有关最长推迟）。
* 在线证书状态查询的可用性，比如OCSP和状态查询的Web网站。
* 依靠方实施在线吊销状态查询的要求。
* 吊销信息的其余可用公布形式。
* 当由于私钥损害而产生证书吊销或挂起时，上述规定的不同之处（与其余原因产生吊销或挂起对比）。
* 证书挂起的情形。
* 可以请求证书挂起的实体，比如对于最终用户证书来说，订户、订户的上级、或者注册机构。
* 请求证书挂起的过程，如由订户或注册机构签署的消息、或由注册机构电话请求。
* 证书挂起的最长时间。
10、证书状态服务
* 证书状态查询服务的操作特点。
* 查询服务的可用性，以及服务不可用时的适用策略。
* 查询服务的其余可选特质。
11、停止运用认证服务
表明订户停止运用电子认证服务时所运用的过程。
* 停止运用认证服务时的证书吊销（依靠于停止运用认证服务是由于证书到期，依旧由于服务终止，或许会有所不同）。
12、密钥生成、备份和复苏
表明与私钥生成、备份和复苏有关的策略和业务实践（通过电子认证服务机构或其余可信第三方）。
* 包含私钥生成、备份和复苏的策略和实践的文档标识，或此类策略和实践汇总表。
* 包含会话密钥封装和复苏的策略和实践的文档标识，或此类策略和实践汇总表。
（五）认证机构设施、管理和操作控制
描述物理环境、操作过程和人士的安全控制。电子认证服务机构运用这些控制手段来安全地达到密钥生成、实体鉴别、证书签发、证书吊销、审计和归档等功能。也可定义信息库、注册机构、订户或其余参与者的非技术安全控制。
1、物理控制
* 场所区域和建筑，如对高安全区的建筑要求，运用带锁的房间、屏蔽室、保险柜、橱柜。
* 物理访问，也就是从场所的一个区域到其他区域或进入安全区的访问控制机制。
* 电力和空调。
* 水患防治。
* 火灾预防和保护。
* 介质存储，比如需要在不同的场所利用备份介质执行存储，该场所在物理上是安全的，能够防止水灾和火灾的损坏。
* 废物处理。
* 异地备份。
2、操作过程控制
描述定义可信角色的要求，以及各个角色的责任。可信角色包含系统管理员、安全官员和系统审计员等。声明完成该项任务所需的每个角色人士数，定义对每个角色的身份标识和鉴别要求。依照角色而定义的责任分离，这些角色不能由相同的人承受。
3、人士控制
* 对于充当可信角色或其余重要角色的人士，其需要具备的资格、历经和无过失要求，比如对这些岗位的候选者所需具备的信任证明、工作历经和官方凭证。
* 在聘用求职充当可信角色或其余重要角色的人士时所需背景审查程序，这些角色或许要求调查其犯罪记录、档案。
* 聘用求职人士后对每个角色的培训要求和过程。
* 在完成原始培训后对每个角色的再培训周期和过程。
* 在不同角色间的工作轮换周期和顺序
* 对下列举动的处罚。未授权举动、未授予的权力运用和对系统的未授权运用等。
* 对独立签约者而非实体内部人士的控制。
* 在原始培训、再培训和其余过程中供应给雇员的文档。
4、审计日志程序
描述事件日志和审计系统，达到该系统的目的在于维护一个安全的环境。
* 记录事件的类型，如证书生命周期操作、对系统的访问企图和对系统的请求。
* 处理或归档日志的周期，如每星期、在报警或异常事件之后，或审计日志已满时。
* 审计日志的保存期。
* 审计日志保护。
* 审计日志备份程序。
* 审计日志收集系统是在实体的内部依旧外部。
* 能否对致使事件的实体执行通告。
* 脆弱性评估，如审计报告的运行工具损坏系统安全性的潜在机会预期。
5、记录归档
描述通用的记录归档（或记录保留）策略。
* 归档记录的类型，比如所有审计报告、证书申请信息、支持证书申请的文档。
* 档案的保存期。
* 档案的保护。
* 档案备份程序。
* 对记录加盖时间戳的要求。
* 档案收集系统是内部依旧外部。
* 得到和验证档案信息的程序，如由两个人分别来保留归档报告的两个拷贝，而且为了保证档案信息的精准，需要对这两个拷贝执行比较。
6、电子认证服务机构密钥更替
描述电子认证服务机构造成新密钥，并将新的公钥供应给电子认证服务机构用户的过程。此过程可以与造成目前密钥的过程相同，而且可以用旧密钥为新密钥签发证书。
7、损害和灾难复苏
描述与密钥损害或灾难事件有关的通告和复苏过程要求。
* 适用事件和损害的列表，以及对事件的数据和处理过程。
* 对计算资源、软件和（或）报告被损坏或怀疑被损坏的复苏过程，此过程包含如何重建一个安全环境，哪些证书要吊销，实体的密钥能否被吊销，如何将新的实体公钥供应给用户，以及如何为实体从新发证。
* 对实体私钥泄漏的复苏过程，此过程包含如何重建一个安全环境，如何将新的实体公钥供应给用户，以及如何为实体从新发证。
* 自然或其余灾难后实体的业务接连性能力，此能力包含远程热备站点对经营的复苏，也可以包含在灾难发生后到重建安全环境前，或者在原始站点，或者在远程站点保护其设备的程序。
8、电子认证服务机构或注册机构终止
描述与电子认证服务机构或注册机构终止和终止通告有关的过程的要求，包含电子认证服务机构或注册机构档案记录管理者的身份困难。
（六）认证系统技术安全控制
阐述电子认证服务机构为保护其密钥和激活报告（如PIN码、口令字或手持密钥共享）而采取的安全措施。表明对证书库、订户和其余参与者执行的制约，以保护他们的私钥、私钥激活报告和核心安全参数。
描述电子认证服务机构运用的其余技术安全控制手段，用以安全地达到密钥生成，用户鉴别，证书注册，证书吊销，审计和归档等功能。技术控制包含生命周期安全控制（包含软件开发环境安全，可信的软件开发方法论）和操作安全控制。
1、密钥对的生成和安装
* 生成公、私钥对的实体。或许将是订户、注册机构或电子认证服务机构。密钥对的生成达到方式。
* 私钥安全的供应给实体的方式。或许的方法包含实体自己生成因此自动拥有、用物理的方式将私钥传递给实体、邮寄保存私钥的令牌、或是通过SSL会话传递。
* 实体公钥安全地供应给证书认证服务机构的方式。或许通过在线SSL会话或经注册机构签署的消息。
* 将电子认证服务机构公钥安全地供应给潜在的依靠方的方式。或许的方式包含用人工将公钥发送给依靠方、用物理方式邮寄一份拷贝给依靠方、或通过SSL会话传递。
* 密钥长度。如RSA的模长是1024比特、DSA的大素数是1024比特。
* 生成公钥参数的实体。生成密钥时能否对参数的质量执行检查。
* 密钥的运用目的，或者密钥的运用目的制约规模。对于X.509证书，这些目的需要映射到第三版证书的密钥用途标志位。
2、私钥保护和密码模块工程控制
* 用来造成密钥的模块标准。能否存在同密码模块有关的其余工程或控制。如密码模块边界的标定、输入/输出、角色和服务、有限状态机、物理安全、软件安全、操作系统安全、算法统一性、电磁兼容性和自检测等。
* 私钥能否由M选N多人控制。假使是，N和M是多少（两人控制是一个特殊的例子，其中N＝M＝2）。
* 私钥能否被托管。私钥托管的机构，密钥托管（如明文、密文、分割密钥）形式，托管系统的安全控制。
* 私钥能否备份。私钥备份机构，私钥备份（如明文、密文、分割密钥）形式，备份系统的安全控制。
* 私钥能否归档。私钥归档机构，私钥归档（如明文、密文、分割密钥）形式，归档系统的安全控制。
* 私钥可以被导入或导出密码模块的条件。实施此类操作的实体，导入/导出时私钥的形式（如明文、密文、分割密钥）。
* 私钥保存在模块中的形式（如明文、密文、分割密钥）。
* 激活（运用）私钥的实体。为激活私钥务必实施哪些操作（比如登录、上电、供应PIN、插入令牌/钥匙、自动等等）。一旦私钥被激活，私钥是活动无限长的时间、只活动一次、依旧活动于一个定义的时间段。
* 消除私钥激活状态的实体以及方式。消除私钥激活状态的方式包含退出、切断电源、移开令牌/钥匙，自动冻结或者有效期届满。
* 销毁私钥以及方式。销毁密钥的方式包含交出令牌、销毁令牌或者重写密钥。
* 密码模块在下列方面的内容及性能：边界的标定、输入/输出、角色和服务、有限状态机、物理安全、软件安全、操作系统安全、算法统一性、电磁兼容性和自检测。
3、密钥对管理的其余方面
* 公钥能否归档，归档机构实体以及归档系统的安全控制。
* 颁发给订户的证书的操作期，订户密钥对的运用期或生命期。
4、激活报告
表明激活报告的构成和生命周期。
5、计算机安全控制
描述计算机安全控制，计算机系统的安全级别，评估分析和试探。
6、生命周期安全控制
描述系统开发控制、安全管理控制和生命周期安全等级，系统开发控制包含开发环境安全、开发人士安全、产品维护期的配置管理安全、软件工程实行、软件开发方法论、模块化、层次化、运用容错设计和达到技术（如防御性编程）、以及开发工具安全。
安全管理控制包含实施工具和程序，保证操作系统和网络符合设置的安全标准。
7、网络安全控制
表明与网络安全有关的控制，如防火墙、防病毒、入侵检测等。
8、时间戳
表明与对不同报告运用时间戳有关的要求或业务实践，还可声明时间戳应用能否需要运用可信时间源。
（七）证书、证书吊销列表和在线证书状态协议
表明证书、证书吊销列表和在线证书状态协议的格式，包含描述、版本号和扩展项的运用。
1、证书
* 支持的版本号。
* 证书的扩展项及其核心性。
* 密码算法对象标识符。
* 电子认证服务机构、注册机构和订户所运用的名称形式。
* 名称制约及其形式。
* 证书策略对象标识符。
* 策略约束扩展项的运用。
* 策略限定符的语法和语义。
* 对核心证书策略扩展项的处理规则。
2、证书吊销列表
* CRL支持的版本号。
* CRL和CRL入口扩展项及其核心性。
3、在线证书状态协议
* OCSP版本号。
* OCSP扩展项及其核心性。
（八）认证机构审计和其余评估
表明对电子认证服务机构执行审计或评估有关的内容，包含评估所涵盖的主题、评估频率、评估者的资质、评估者与被评估者的资质、对困难所采取的措施以及结果的公告等。
1、评估所涵盖的主题和（或）评估的方法列表。
2、依照某一CP或CPS，对每个实体执行统一性审计或其余评估的频率，或者是导致评估事件的条件。或许的情形如每年一次的年审，经营前评估，或一个疑似或真实安全泄密后的调查。
3、有关实施审计或其余评估的人士的身份和资质。
4、评估者与被评估实体之间的关系，包含评估者的独立程度。
5、对评估中显现的不足所采取的措施，比如暂停经营直到错误得到改正，吊销被评估实体的证书，变换人士，触发特殊调查或增长后续统一性评估频率，宣称被评估实体的损失等。
6、察看审计结果的权限（如被评估实体、其余参与者、公众），供应评估结果的实体（评估者或被评估实体）。
（九）法律责任和其余业务条款
涵盖了一般性的业务和法律困难。在业务条款中称明不同服务的费用困难，和各参与者为了保证资源保持经营，针对参与者的诉讼和审判供应支付所需承受的财务责任。法律责任条款则与通用的技术协定标题相近，涉及保密、隐私、知识产权、担保及免责等内容。
1、费用
* 证书颁发或更新费用。
* 证书访问费用。
* 吊销或状态信息访问费用。
* 其余服务的费用，如对有关CP或CPS供应访问服务。
* 退款规定。
2、财务责任
* 电子认证服务机构所负有的责任保险规模声明。
* 电子认证服务机构利用其余资源来支持其经营和对潜在责任执行赔付的声明，可以以认证业务正常经营和处理或许无意中事件所需的最少财产级别的方式表达，如组织收支平衡表上的财产、保证书、信用证明、在某种条件下要求赔偿的权力契约。
* 电子认证服务机构对其余参与者供应首方责任险或担保保护的程序的声明。
3、业务信息保密
* 被觉得是保密信息的规模。
* 被觉得在保密信息规模之外的信息类型。
* 接收到保密信息的参与者防止其泄漏、避免运用和公布给第三方的责任。
4、个人隐私保密
* 依据相关法律或政策的需要，指定并公开适用于参与者活动的隐私方案。
* 电子认证活动中觉得或者不觉得是隐私的信息。
* 接收到隐私信息的参与者保证其安全、避免运用和泄漏给第三方的责任。
* 在运用或者公开其隐私信息时，通知个人或得到个人答应的方面的相应要求。
* 在个人或政府事务或其余任何法律事务中，参与者根据司法或管理程序授权或务必公开隐私信息的条件。
5、知识产权
表明知识产权困难，如版权、专利、商标、商业秘密等。
6、陈述和担保
表明电子认证活动中各种实体所作的陈述和担保。
7、担保免责
对有机会存在其余协议中的明示担保责任的否定描述，对受于适用法律引起的隐含担保责任的描述。在电子认证业务规则中可以直接运用这些担保免责规定，或者包含一项要求，规定担保免责条款要显现在有关协议当中，如订户或依靠方协议。
8、偿付责任制约
表明电子认证业务规则中的偿付责任制约，或者显现在其它有关协议中的偿付责任制约。
9、赔偿
表明一方对另一方遭受损失的赔偿条款，一般该种损失是由第一方的举动所致使的。
10、有效期和终止
包含电子认证业务规则的有效期，以及文档、文档的某一部分或对某一特定参与者的适用性终止的条件。
* 文档的有效期限，也就是文档生效和失效的时间，假使文档不提早终止。
* 终止规定，声明文档、文档的某一部分或对某一特定参与者的适用性停止有效的条件。
* 文档终止的任何或许结果，比如协议的某些条款在协议终止后继续有效，如知识产权承认和保密条款。此外，终止或许涉及到各参与者返还保密信息到其拥有者的责任。
11、对参与者的个别通告与沟通
表明电子认证活动中某一参与者与另一参与者执行通信时可以或务必遵循的方法，以使其通信过程在法律上有效。
12、修订
* 修订电子认证业务规则所应遵循的修订程序。
* 通告机制（将建议的变更通知所有受影响的对象，如订户和依靠方）和周期。
* 需要变更电子认证业务规则的条件。
13、争议处理
表明出自电子认证业务规则的争端的处理程序，比如要求争端需要通过某个机构处理，或者其余的争端处理机制。
14、管辖法律
表明对电子认证业务规则生效和解释起作用的相关法律、法规。
15、与适用法律的符合性
表明电子认证活动参与者所需遵守的适用法律，如与密码硬件和软件有关的法律，该法律或许还受控于给定司法管辖域下的出口控制法。
16、一般条款
* 完整协议条款，一般标识出组成这个协议的全部文档，并声明该协议替代所有先前或同期期的、与相同主题有关的书面或口头解释。
* 转让条款，在该协议下将一方的权利转让给另一方或授权其某种义务。
* 分割性条款，当法庭或其余仲裁机构判定协议中的某一条款受于某种原因无效或不具实施力时，不会显现由于某一条款的无效致使整个协议无效。
* 强制实施条款，可以声明在合同纠纷中有利的一方有权将代理费作为偿还要求的一部分，或者声明免除一方对合同某一项的违背应当承受的责任，但不代表着继续免除或将来免除这一方对合同其余项的违背应当承受的责任。
* 不可抗力条款，一般用于显现多出受影响方控制的事件的发生时，免除一方或多方对合同的实施责任。一般，免除实施的时间与事件所产生的推迟时间相当。此条款也可包含协议终止的环境和条件。组成不可抗力的事件包含战争、恐怖攻击、罢工、自然灾害、提供商或卖方实施失利、因特网或其余基础设施的瘫痪。不可抗力条款的起草应与框架的其余部分相统一，并高达适用的服务级别协议。比如，业务接连性和灾难复苏的责任和能力可以将某些事件置于组织的可控规模之内，如在停电时启用备份电源的义务。
17、其余条款
包含未在上述表明的其余有关内容条款。
三、 电子认证业务规则的标题结构参考模版
电子认证服务机构在编撰电子认证业务规则时，可以参考如下标题结构列表。
1. 概括性描述
1.1 简述
1.2 文档名称与标识
1.3 电子认证活动参与者
1.3.1 电子认证服务机构
1.3.2 注册机构
1.3.3 订户
1.3.4 依靠方
1.3.5 其余参与者
1.4 证书应用
1.4.1 适合的证书应用
1.4.2 制约的证书应用
1.5 策略管理
1.5.1 策略文档管理机构
1.5.2 联系人
1.5.3 决定CPS符合策略的机构
1.5.4 CPS准许程序
1.6 定义和缩写
2. 信息公布与信息管理
2.1 认证信息的公布
2.2 公布的时间或频率
2.3 信息库访问控制
3. 身份标识与鉴别
3.1 命名
3.1.1 名称类型
3.1.2 对名称意义化的要求
3.1.3 订户的匿名或伪名
3.1.4 理解不同名称形式的规则
3.1.5 名称的唯一性
3.1.6 商标的识别、鉴别和角色
3.2 初始身份证实
3.2.1 证明拥有私钥的方法
3.2.2 组织机构身份的鉴别
3.2.3 个人身份的鉴别
3.2.4 没有验证的订户信息
3.2.5 授权证实
3.2.6 互操作准则
3.3 密钥更新请求的标识与鉴别
3.3.1 常规密钥更新的标识与鉴别
3.3.2 吊销后密钥更新的标识与鉴别
3.4 吊销请求的标识与鉴别
4. 证书生命周期操作要求
4.1 证书申请
4.1.1 证书申请实体
4.1.2 注册过程与责任
4.2 证书申请处理
4.2.1 实施识别与鉴别功能
4.2.2 证书申请准许和婉拒
4.2.3 处理证书申请的时间
4.3 证书签发
4.3.1 证书签发中注册机构和电子认证服务机构的举动
4.3.2 电子认证服务机构和注册机构对订户的通告
4.4 证书接受
4.4.1 组成接受证书的举动
4.4.2 电子认证服务机构对证书的公布
4.4.3 电子认证服务机构对其余实体的通告
4.5 密钥对和证书的运用
4.5.1 订户私钥和证书的运用
4.5.2 信赖方公钥和证书的运用
4.6 证书更新
4.6.1 证书更新的情形
4.6.2 请求证书更新的实体
4.6.3 证书更新请求的处理
4.6.4 颁发新证书时对订户的通告
4.6.5 组成接受更新证书的举动
4.6.6 电子认证服务机构对更新证书的公布
4.6.7 电子认证服务机构对其余实体的通告
4.7 证书密钥更新
4.7.1 证书密钥更新的情形
4.7.2 请求证书密钥更新的实体
4.7.3 证书密钥更新请求的处理
4.7.4 颁发新证书时对订户的通告
4.7.5 组成接受密钥更新证书的举动
4.7.6 电子认证服务机构对密钥更新证书的公布
4.7.7 电子认证服务机构对其余实体的通告
4.8 证书变更
4.8.1 证书变更的情形
4.8.2 请求证书变更的实体
4.8.3 证书变更请求的处理
4.8.4 颁发新证书时对订户的通告
4.8.5 组成接受变更证书的举动
4.8.6 电子认证服务机构对变更证书的公布
4.8.7 电子认证服务机构对其余实体的通告
4.9 证书吊销和挂起
4.9.1 证书吊销的情形
4.9.2 请求证书吊销的实体
4.9.3 吊销请求的流程
4.9.4 吊销请求宽限期
4.9.5 电子认证服务机构处理吊销请求的时限
4.9.6 依靠方检查证书吊销的要求
4.9.7 CRL公布频率
4.9.8 CRL公布的最大落后时间
4.9.9 在线状态查询的可用性
4.9.10 在线状态查询要求
4.9.11 吊销信息的其余公布形式
4.9.12 密钥损害的特别要求
4.9.13 证书挂起的情形
4.9.14 请求证书挂起的实体
4.9.15 挂起请求的流程
4.9.16 挂起的期限制约
4.10 证书状态服务
4.10.1 操作特质
4.10.2 服务可用性
4.10.3 可选特质
4.11 订购终结
4.12 密钥生成、备份与复苏
4.12.1 密钥生成、备份与复苏的策略与举动
4.12.2 会话密钥的封装与复苏的策略与举动
5. 认证机构设施、管理和操作控制
5.1 物理控制
5.1.1 场地位置与建筑
5.1.2 物理访问
5.1.3 电力与空调
5.1.4 水患防治
5.1.5 火灾防护
5.1.6 介质存储
5.1.7 废物处理
5.1.8 异地备份
5.2 程序控制
5.2.1 可信角色
5.2.2 每项任务需要的人数
5.2.3 每个角色的识别与鉴别
5.2.4 需要职责分割的角色
5.3 人士控制
5.3.1 资格、历经和无过失要求
5.3.2 背景审查程序
5.3.3 培训要求
5.3.4 再培训周期和要求
5.3.5 就业岗位轮换周期和顺序
5.3.6 未授权举动的处罚
5.3.7 独立合约人的要求
5.3.8 供应给雇员的文档
5.4 审计日志程序
5.4.1 记录事件的类型
5.4.2 处理日志的周期
5.4.3 审计日志的保存期限
5.4.4 审计日志的保护
5.4.5 审计日志备份程序
5.4.6 审计收集系统
5.4.7 对致使事件实体的通告
5.4.8 脆弱性评估
5.5 记录归档
5.5.1 归档记录的类型
5.5.2 归档记录的保存期限
5.5.3 归档文件的保护
5.5.4 归档文件的备份程序
5.5.5 记录时间戳要求
5.5.6 归档收集系统
5.5.7 得到和检验归档信息的程序
5.6 电子认证服务机构密钥更替
5.7 损害与灾难复苏
5.7.1 事故和损害处理程序
5.7.2 计算资源、软件和/或报告的损坏
5.7.3 实体私钥损害处理程序
5.7.4 灾难后的业务接连性能力
5.8 电子认证服务机构或注册机构的终止
6. 认证系统技术安全控制
6.1 密钥对的生成和安装
6.1.1 密钥对的生成
6.1.2 私钥传送给订户
6.1.3 公钥传送给证书签发机构
6.1.4 电子认证服务机构公钥传送给依靠方
6.1.5 密钥的长度
6.1.6 公钥参数的生成和质量检查
6.1.7 密钥运用目的
6.2 私钥保护和密码模块工程控制
6.2.1 密码模块的标准和控制
6.2.2 私钥多人控制（m选n）
6.2.3 私钥托管
6.2.4 私钥备份
6.2.5 私钥归档
6.2.6 私钥导入、导出密码模块
6.2.7 私钥在密码模块的存储
6.2.8 激活私钥的方法
6.2.9 消除私钥激活状态的方法
6.2.10 销毁私钥的方法
6.2.11 密码模块的评估
6.3 密钥对管理的其余方面
6.3.1 公钥归档
6.3.2 证书操作期和密钥对运用期限
6.4 激活报告
6.4.1 激活报告的造成和安装
6.4.2 激活报告的保护
6.4.3 激活报告的其余方面
6.5 计算机安全控制
6.5.1 特别的计算机安全技术要求
6.5.2 计算机安全评估
6.6 生命周期技术控制
6.6.1 系统开发控制
6.6.2 安全管理控制
6.6.3 生命期的安全控制
6.7 网络的安全控制
6.8 时间戳
7. 证书、证书吊销列表和在线证书状态协议
7.1 证书
7.1.1 版本号
7.1.2 证书扩展项
7.1.3 算法对象标识符
7.1.4 名称形式
7.1.5 名称制约
7.1.6 证书策略对象标识符
7.1.7 策略制约扩展项的用法
7.1.8 策略限定符的语法和语义
7.1.9 核心证书策略扩展项的处理规则
7.2 证书吊销列表
7.2.1 版本号
7.2.2 CRL 和CRL条目扩展项
7.3 在线证书状态协议
7.3.1 版本号
7.3.2 OCSP扩展项
8. 认证机构审计和其余评估
8.1 评估的频率或情形
8.2 评估者的资质
8.3 评估者与被评估者之间的关系
8.4 评估内容
8.5 对困难与不足采取的措施
8.6 评估结果的传达与公布
9. 法律责任和其余业务条款
9.1 费用
9.1.1 证书签发和更新费用
9.1.2 证书查询费用
9.1.3 证书吊销或状态信息的查询费用
9.1.4 其余服务费用
9.1.5 退款策略
9.2 财务责任
9.2.1 保险规模
9.2.2 其余资产
9.2.3 对最终实体的保险或担保
9.3 业务信息保密
9.3.1 保密信息规模
9.3.2 不属于保密的信息
9.3.3 保护保密信息的责任
9.4 个人隐私保密
9.4.1 隐私保密方案
9.4.2 作为隐私处理的信息
9.4.3 不被看为隐私的信息
9.4.4 保护隐私的责任
9.4.5 运用隐私信息的告知与答应
9.4.6 依法律或行政程序的信息披露
9.4.7 其余信息披露情形
9.5 知识产权
9.6 陈述与担保
9.6.1 电子认证服务机构的陈述与担保
9.6.2 注册机构的陈述与担保
9.6.3 订户的陈述与担保
9.6.4 依靠方的陈述与担保
9.6.5 其余参与者的陈述与担保
9.7 担保免责
9.8 有限责任
9.9 赔偿
9.10 有效期限与终止
9.10.1 有效期限
9.10.2 终止
9.10.3 效力的终止与保留
9.11 对参与者的个别通告与沟通
9.12 修订
9.12.1 修订程序
9.12.2 通知机制和期限
9.12.3 务必修改业务规则的情形
9.13 争议处理
9.14 管辖法律
9.15 与适用法律的符合性
9.16 一般条款
9.16.1 完整协议
9.16.2 转让
9.16.3 分割性
9.16.4 强制实施
9.16.5 不可抗力
9.17 其余条款