工信部查處CA機(jī)構(gòu)為行業(yè)敲響合規(guī)警鐘

近日，工業(yè)和信息化部依據(jù)《中華人民共和國(guó)電子簽名法》《電子認(rèn)證服務(wù)管理辦法》等法律法規(guī)，對(duì)沃通電子認(rèn)證服務(wù)有限公司提供電子認(rèn)證服務(wù)的相關(guān)情況開展了行政檢查，檢查指出該公司存在違反身份查驗(yàn)義務(wù)、告知與合同義務(wù)、系統(tǒng)安全合規(guī)義務(wù)三項(xiàng)違法違規(guī)行為。

一是未提供對(duì)電子簽名認(rèn)證證書申請(qǐng)人進(jìn)行身份查驗(yàn)和對(duì)有關(guān)材料進(jìn)行審查的有效證明材料。

電子認(rèn)證服務(wù)是依據(jù)行政許可、向全社會(huì)提供信任基礎(chǔ)服務(wù)的嚴(yán)肅活動(dòng)，身份查驗(yàn)是其中的核心環(huán)節(jié)。申請(qǐng)人負(fù)有真實(shí)陳述義務(wù)，但認(rèn)證機(jī)構(gòu)必須履行對(duì)申請(qǐng)人身份進(jìn)行查驗(yàn)和對(duì)有關(guān)材料進(jìn)行審查的義務(wù)，這是確保電子簽名認(rèn)證證書可信的基礎(chǔ)。沃通未能提供有效證明材料，意味著其無法證明已履行法定審查義務(wù)，可能導(dǎo)致虛假身份申請(qǐng)證書，破壞證書體系的公信力。

二是在受理證書申請(qǐng)前未對(duì)申請(qǐng)人進(jìn)行充分告知，未與申請(qǐng)人直接簽訂合同明確雙方權(quán)利義務(wù)。

告知義務(wù)與合同簽訂義務(wù)是保障用戶知情權(quán)、維護(hù)合同自由的關(guān)鍵程序。沃通未充分履行告知義務(wù)，用戶可能在不知情的情況下承受不利后果；未與用戶簽訂合同，導(dǎo)致用戶對(duì)服務(wù)條款的認(rèn)知不夠明確，相應(yīng)的法律保障也有所弱化。黨的二十大提出“六個(gè)必須堅(jiān)持”，其中首要原則是“必須堅(jiān)持人民至上”，這是新時(shí)代各項(xiàng)工作的根本價(jià)值遵循。在電子認(rèn)證服務(wù)領(lǐng)域，CA機(jī)構(gòu)作為技術(shù)供給方處于相對(duì)強(qiáng)勢(shì)地位，用戶屬于相對(duì)弱勢(shì)一方。法律法規(guī)明確設(shè)定CA機(jī)構(gòu)的告知義務(wù)、合同訂立和履行等相關(guān)義務(wù)，本質(zhì)上就是“人民至上”理念在電子認(rèn)證服務(wù)領(lǐng)域的落地體現(xiàn)。

三是未使用符合國(guó)家安全標(biāo)準(zhǔn)的技術(shù)和設(shè)備，未使用取得國(guó)家密碼管理機(jī)構(gòu)同意使用密碼的證明文件的電子認(rèn)證服務(wù)系統(tǒng)。

電子認(rèn)證服務(wù)是一項(xiàng)專業(yè)的技術(shù)服務(wù)，密碼安全、系統(tǒng)安全是電子認(rèn)證服務(wù)的安全底線。沃通未使用合規(guī)技術(shù)與系統(tǒng)，意味著其認(rèn)證服務(wù)可能存在密鑰泄露、證書偽造等重大安全風(fēng)險(xiǎn)，直接威脅證書的可信性和用戶數(shù)據(jù)安全，破壞了證書信任體系。

2022年，工信部開展電子認(rèn)證服務(wù)合規(guī)性專項(xiàng)整治工作，明確將“身份查驗(yàn)不規(guī)范”“告知不充分”等問題列為重點(diǎn)整治內(nèi)容。檢查結(jié)果說明部分CA機(jī)構(gòu)老問題重犯，還出了新問題，這反映出部分CA機(jī)構(gòu)合規(guī)紅線畫得不夠清晰，安全責(zé)任落不到實(shí)處。本次對(duì)沃通的查處，釋放了行業(yè)監(jiān)管嚴(yán)字當(dāng)頭、有責(zé)必問的強(qiáng)烈信號(hào)，必將對(duì)推動(dòng)全行業(yè)合規(guī)經(jīng)營(yíng)、實(shí)現(xiàn)高質(zhì)量發(fā)展產(chǎn)生深遠(yuǎn)且積極的影響，值得所有行業(yè)從業(yè)機(jī)構(gòu)和人員警醒。

隨著《電子認(rèn)證服務(wù)管理辦法》修訂工作的推進(jìn)，以及配套《電子認(rèn)證業(yè)務(wù)規(guī)則規(guī)范》要求的更新細(xì)化，將為電子認(rèn)證服務(wù)機(jī)構(gòu)提供更規(guī)范、更具體的運(yùn)營(yíng)要求，建議相關(guān)機(jī)構(gòu)及負(fù)責(zé)人強(qiáng)化規(guī)范服務(wù)的意識(shí)，加強(qiáng)從業(yè)人員的培訓(xùn)教育，加強(qiáng)認(rèn)證業(yè)務(wù)的合規(guī)審核，加強(qiáng)內(nèi)控制度的有效執(zhí)行，用可靠、優(yōu)質(zhì)的服務(wù)獲得用戶的認(rèn)可。