犐犆犛３５．２４０．８０

犆０７

中華人民共和國國家標(biāo)準(zhǔn)化指導(dǎo)性技術(shù)文件

犌犅／犣２１７１６．２—２００８

健康信息學(xué)公鑰基礎(chǔ)設(shè)施（犘犓犐）

第２部分：證書輪廓

犎犲犪犾狋犺犻狀犳狅狉犿犪狋犻犮狊—犘狌犫犾犻犮犓犲狔犐狀犳狉犪狊狋狉狌犮狋狌狉犲（犘犓犐）—

犘犪狉狋２：犆犲狉狋犻犳犻犮犪狋犲狆狉狅犳犻犾犲

２００８０４１１發(fā)布

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犣２１７１６．２—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５醫(yī)療保健證書策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５．１醫(yī)療保健證書類型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５．２ＣＡ證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３交叉／橋接證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．４端實(shí)體證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６一般證書要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．１證書的符合性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２各類證書的通用字段!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．３通用字段規(guī)范!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．４對各種醫(yī)療保健證書類型的要求!!!!!!!!!!!!!!!!!!!!!!!!!!８

７證書擴(kuò)展的使用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２一般擴(kuò)展!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．３專用主體目錄屬性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．４資格證書聲明擴(kuò)展!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．５對每種醫(yī)療行業(yè)證書類型的要求!!!!!!!!!!!!!!!!!!!!!!!!!!１４

附錄Ａ!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．１引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．２示例１：消費(fèi)者證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．３示例２：非正規(guī)健康專業(yè)人員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．４示例３：正規(guī)健康專業(yè)人員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!２０

Ａ．５示例４：受托醫(yī)療保健提供方證書輪廓!!!!!!!!!!!!!!!!!!!!!!!２１

Ａ．６示例５：支持組織雇員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!２２

Ａ．７示例６：組織證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

Ａ．８示例７：ＡＣ輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ａ．９示例８：ＣＡ證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ａ．１０示例９：橋接證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

Ⅰ

書

犌犅／犣２１７１６．２—２００８

前言

ＧＢ／Ｚ２１７１６《健康信息學(xué)公鑰基礎(chǔ)設(shè)施（ＰＫＩ）》分為３個部分：

———第１部分：數(shù)字證書服務(wù)綜述；

———第２部分：證書輪廓；

———第３部分：認(rèn)證機(jī)構(gòu)的策略管理。

本部分為ＧＢ／Ｚ２１７１６的第２部分。

本部分參照ＩＳＯ１７０９０２（ＤＩＳ）《健康信息學(xué)公鑰基礎(chǔ)設(shè)施（ＰＫＩ）第２部分：證書輪廓》制定，其

主要技術(shù)內(nèi)容與ＩＳＯ１７０９０２（ＤＩＳ）一致。相對原文而言，本部分僅進(jìn)行了少量修改，包括：

———根據(jù)中國國情，將正文中示例包括的國家名稱、單位名稱等修改為中國的中文名稱；

———不改變技術(shù)內(nèi)容的編輯性修改。

本部分的附錄Ａ為資料性附錄。

本部分由中國標(biāo)準(zhǔn)化研究院提出。

本部分由中國標(biāo)準(zhǔn)化研究院歸口。

本部分起草單位：中國標(biāo)準(zhǔn)化研究院。

本部分主要起草人：董連續(xù)、任冠華、陳煌、劉碧松。

Ⅲ

犌犅／犣２１７１６．２—２００８

引言

為了降低費(fèi)用和成本，衛(wèi)生行業(yè)正面臨著從紙質(zhì)處理向自動化電子處理轉(zhuǎn)變的挑戰(zhàn)。新的醫(yī)療保

健模式增加了對專業(yè)醫(yī)療保健提供者之間和突破傳統(tǒng)機(jī)構(gòu)界限來共享患者信息的需求。

一般來說，每個公民的健康信息都可以通過電子郵件、遠(yuǎn)程數(shù)據(jù)庫訪問、電子數(shù)據(jù)交換以及其他應(yīng)

用來進(jìn)行交換?；ヂ?lián)網(wǎng)提供了經(jīng)濟(jì)且便于訪問的信息交換方式，但它也是一個不安全的媒介，這就要求

采取一定的措施來保護(hù)信息的私密性和保密性。未經(jīng)授權(quán)的訪問，無論是有意的還是無意的，都會增加

對健康信息安全的威脅。醫(yī)療保健系統(tǒng)有必要使用可靠信息安全服務(wù)來降低未經(jīng)授權(quán)訪問的風(fēng)險。

衛(wèi)生行業(yè)如何以一種經(jīng)濟(jì)實(shí)用的方式來對互聯(lián)網(wǎng)中傳輸?shù)臄?shù)據(jù)進(jìn)行適當(dāng)?shù)谋Ｗo(hù)？針對這個問題，

目前人們正在嘗試?yán)霉€基礎(chǔ)設(shè)施（ＰＫＩ）和數(shù)字證書技術(shù)來應(yīng)對這一挑戰(zhàn)。

正確配置數(shù)字證書要求將技術(shù)、策略和管理過程綁定在一起，利用“公鑰密碼算法”來保護(hù)信息，利

用“證書”來確認(rèn)個人或?qū)嶓w的身份，從而實(shí)現(xiàn)在不安全的環(huán)境中對敏感數(shù)據(jù)的安全交換。在衛(wèi)生領(lǐng)域

中，這種技術(shù)使用鑒別、加密和數(shù)字簽名等方法來保證對個人健康記錄的安全訪問和傳輸，以滿足臨床

和管理方面的需要。通過數(shù)字證書配置所提供的服務(wù)（包括加密、信息完整性和數(shù)字簽名）能夠解決很

多安全問題。為此，世界上許多組織已經(jīng)開始使用數(shù)字證書。比較典型的一種情況就是將數(shù)字證書與

一個公認(rèn)的信息安全標(biāo)準(zhǔn)聯(lián)合使用。

如果在不同組織或不同轄區(qū)之間（如為同一個患者提供服務(wù)的醫(yī)院和社區(qū)醫(yī)生之間）需要交換健康

信息，則數(shù)字證書技術(shù)及其支撐策略、程序、操作的互操作性是最重要的。

實(shí)現(xiàn)不同數(shù)字證書實(shí)施之間的互操作性需要建立一個信任框架。在這個框架下，負(fù)責(zé)保護(hù)個人信

息權(quán)利的各方要依賴于具體的策略和操作，甚至還要依賴于由其他已有機(jī)構(gòu)發(fā)行的數(shù)字證書的有效性。

許多國家正在采用數(shù)字證書來支持國內(nèi)的安全通信。如果標(biāo)準(zhǔn)的制定活動僅僅局限于國家內(nèi)部，

則不同國家之間的認(rèn)證機(jī)構(gòu)（ＣＡ）和注冊機(jī)構(gòu)（ＲＡ）在策略和程序上將產(chǎn)生不一致甚至矛盾的地方。

數(shù)字證書有很多方面并不專門用于醫(yī)療保健，它們目前仍處于發(fā)展階段。此外，一些重要的標(biāo)準(zhǔn)化

工作以及立法支持工作也正在進(jìn)行當(dāng)中。另一方面，很多國家的醫(yī)療保健提供者正在使用或準(zhǔn)備使用

數(shù)字證書。因此，本指導(dǎo)性技術(shù)文件的目的是為這些迅速發(fā)展的國際應(yīng)用提供指導(dǎo)。

本指導(dǎo)性技術(shù)文件描述了一般性技術(shù)、操作以及策略方面的需求，以便能夠使用數(shù)字證書來保護(hù)健

康信息在領(lǐng)域內(nèi)部、不同領(lǐng)域之間以及不同轄區(qū)之間進(jìn)行交換。本指導(dǎo)性技術(shù)文件的最終目的是要建

立一個能夠?qū)崿F(xiàn)全球互操作的平臺。本指導(dǎo)性技術(shù)文件主要支持使用數(shù)字證書的跨國通信，但也為配

置國家性或區(qū)域性的醫(yī)療保健數(shù)字證書提供指導(dǎo)。互聯(lián)網(wǎng)作為傳輸媒介正越來越多地被用于在醫(yī)療保

健組織間傳遞健康數(shù)據(jù)，它也是實(shí)現(xiàn)跨國通信的唯一選擇。

本指導(dǎo)性技術(shù)文件的三個部分作為一個整體定義了在衛(wèi)生行業(yè)中如何使用數(shù)字證書提供安全服

務(wù)，包括鑒別、保密性、數(shù)據(jù)完整性以及支持?jǐn)?shù)字簽名質(zhì)量的技術(shù)能力。

本指導(dǎo)性技術(shù)文件第１部分規(guī)定了衛(wèi)生領(lǐng)域中使用數(shù)字證書的基本概念，并給出了使用數(shù)字證書

進(jìn)行健康信息安全通信所需的互操作方案。

本指導(dǎo)性技術(shù)文件第２部分給出了基于國際標(biāo)準(zhǔn)Ｘ．５０９的數(shù)字證書的健康專用輪廓以及用于不

同證書類型的ＩＥＴＦ／ＲＦＣ３２８０中規(guī)定的醫(yī)療保健輪廓。

本指導(dǎo)性技術(shù)文件第３部分用于解決與實(shí)施和使用醫(yī)療保健數(shù)字證書相關(guān)的管理問題，規(guī)定了證

書策略（ＣＰ）的結(jié)構(gòu)和最低要求以及關(guān)聯(lián)認(rèn)證操作聲明的結(jié)構(gòu)。該部分以ＩＥＴＦ／ＲＦＣ３６４７的相關(guān)建議

為基礎(chǔ)，確定了在健康信息跨國通信的安全策略中所需的原則，還規(guī)定了健康方面所需的最低級別的安

全性。

Ⅳ

犌犅／犣２１７１６．２—２００８

健康信息學(xué)公鑰基礎(chǔ)設(shè)施（犘犓犐）

第２部分：證書輪廓

１范圍

本部分規(guī)定了在單獨(dú)組織內(nèi)部、不同組織之間和跨越管轄界限時醫(yī)療保健信息交換所需要的證書

輪廓。本部分還詳述了公鑰基礎(chǔ)設(shè)施（ＰＫＩ）數(shù)字證書在醫(yī)療行業(yè)中形成的應(yīng)用，并側(cè)重描述了其中與

證書輪廓相關(guān)的醫(yī)療保健問題。

２規(guī)范性引用文件

下列文件中的條款通過ＧＢ／Ｚ２１７１６的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本部分，然而，鼓勵根據(jù)本部分達(dá)成

協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本

部分。

ＧＢ／Ｚ２１７１６．１—２００８健康信息學(xué)公鑰基礎(chǔ)設(shè)施（ＰＫＩ）第１部分：數(shù)字證書服務(wù)綜述

ＧＢ／Ｚ２１７１６．３—２００８健康信息學(xué)公鑰基礎(chǔ)設(shè)施（ＰＫＩ）第３部分：認(rèn)證機(jī)構(gòu)的策略管理

ＩＥＴＦ／ＲＦＣ３２８０ＩｎｔｅｒｎｅｔＸ．５０９公鑰基礎(chǔ)設(shè)施證書和