原標(biāo)題：法大大李琳：“最強(qiáng)合規(guī)”背后的安全底座

　　4月26日，國內(nèi)領(lǐng)先的電子合同和電子簽云服務(wù)平臺(tái)法大大舉辦了以“數(shù)智‘簽’引 萬物生長”為主題的春季產(chǎn)品發(fā)布會(huì)，并推出全新一代數(shù)智化簽約管理平臺(tái)。該平臺(tái)型產(chǎn)品經(jīng)過2年半的調(diào)研分析及打磨驗(yàn)證，聚焦新的市場(chǎng)環(huán)境下企業(yè)、組織、個(gè)人在簽約場(chǎng)景及管理需求上的變化，圍繞合同簽署的前、中、后全流程，融合AI、NLP、OCR等技術(shù)手段，實(shí)現(xiàn)了合同簽署、合同管理從“數(shù)字化”到“數(shù)智化”的突破性升級(jí)，是中國電子簽行業(yè)里程碑式的飛躍。

　　本文為法大大技術(shù)中心總經(jīng)理李琳在分享會(huì)上的發(fā)言精華，更多精彩內(nèi)容，歡迎關(guān)注法大大。

　　大家好，我是李琳，接下來由我為大家分享：法大大是如何打造安全、合規(guī)、無憂的新一代數(shù)智化簽約管理平臺(tái)的。

　　我們先來看一下大的背景：早在2014年，總書記就提出了要努力把我國建設(shè)成為網(wǎng)絡(luò)強(qiáng)國的目標(biāo)愿景。同時(shí)也提出了“沒有網(wǎng)絡(luò)安全就沒有國家安全”的重要理念。從2017年到2021年，國家陸續(xù)出臺(tái)了《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》。到了2019年的時(shí)候，國家又對(duì)《電子簽名法》進(jìn)行了修訂。

　　依照這四部法律，國家也制定了相應(yīng)的管理辦法和安全標(biāo)準(zhǔn)。由此可見，目前的監(jiān)管形勢(shì)是越來越嚴(yán)了。法大大一直嚴(yán)格以上述法律法規(guī)、國家標(biāo)準(zhǔn)作為安全合規(guī)建設(shè)的指引，致力于為大家打造一個(gè)安全、合規(guī)、無憂的電子簽約平臺(tái)，下面我將為大家介紹我們本次新發(fā)布的數(shù)智化簽約管理平臺(tái)在安全合規(guī)體系的三重安全保障機(jī)制上，都做了哪些升級(jí)：

　　第一重安全保障機(jī)制：業(yè)務(wù)合規(guī)升級(jí)

　　首先介紹法大大對(duì)《網(wǎng)絡(luò)安全法》的合規(guī)落地情況。依據(jù)網(wǎng)絡(luò)安全法以及網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求(即等保2.0國家標(biāo)準(zhǔn))，公司成立了以CEO為首的信息安全管理委員會(huì)，組建了專業(yè)的信息安全團(tuán)隊(duì)，致力于建立完善的防御感知體系與軟件開發(fā)全生命周期的安全審查流程。同時(shí)我們還依據(jù)等保2.0的技術(shù)要求，構(gòu)建了完整的安全技術(shù)框架。

　　法大大的安全技術(shù)框架覆蓋了物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)、業(yè)務(wù)等多個(gè)層面，形成了一套成熟的風(fēng)險(xiǎn)識(shí)別、防御、檢測(cè)、響應(yīng)、恢復(fù)體系，實(shí)現(xiàn)了“事前、事中、事后”的簽約場(chǎng)景全流程覆蓋。

　　接下來介紹法大大是如何合規(guī)落地《個(gè)人信息保護(hù)法》的。

　　早在2017年，我們組建了包含安全、法務(wù)、合規(guī)等各領(lǐng)域?qū)＜业碾[私保護(hù)團(tuán)隊(duì)，并依據(jù)PbD模型(privacy by design)，將保護(hù)個(gè)人數(shù)據(jù)與隱私的理念以技術(shù)手段運(yùn)用到產(chǎn)品和服務(wù)的各個(gè)環(huán)節(jié)。

　　我們?cè)诋a(chǎn)品設(shè)計(jì)之初就把隱私保護(hù)納入需求，使隱私保護(hù)的設(shè)計(jì)貫穿個(gè)人信息的采集、傳輸、存儲(chǔ)、使用、展示、注銷、刪除的全生命周期，而不是在產(chǎn)品成型后再尋求事后的補(bǔ)償措施和手段。

　　我們始終堅(jiān)持以用戶為主體來進(jìn)行權(quán)利保障設(shè)計(jì)，確保法大大用戶享有個(gè)人信息的訪問權(quán)、查閱復(fù)制權(quán)、選擇權(quán)、更正權(quán)和刪除權(quán)。

　　第二重安全保障機(jī)制：數(shù)據(jù)授權(quán)合規(guī)升級(jí)

　　根據(jù)《數(shù)據(jù)安全法》的要求，法大大建設(shè)了以數(shù)據(jù)為核心的動(dòng)態(tài)數(shù)據(jù)安全管理體系，重點(diǎn)識(shí)別和控制 數(shù)據(jù)采集、傳輸、存儲(chǔ)、處理、共享、銷毀等環(huán)節(jié)中的安全風(fēng)險(xiǎn)。針對(duì)識(shí)別到的風(fēng)險(xiǎn)以及對(duì)應(yīng)的合規(guī)要求，我們從組織建設(shè)、管理能力、技術(shù)能力三個(gè)方面出發(fā)，采用多種管理方法與技術(shù)手段相結(jié)合來確保數(shù)據(jù)全生命周期中的有效安全治理。

　　第三重安全保障機(jī)制：CA證書合規(guī)升級(jí)

　　現(xiàn)在重點(diǎn)介紹法大大針對(duì)《電子簽名法》的合規(guī)遵循。早在2005年，國家就已頒布了《電子簽名法》;2009年，工信部出臺(tái)了《電子認(rèn)證服務(wù)管理辦法》;2022年8月，為進(jìn)一步規(guī)范電子認(rèn)證服務(wù)行為,工信部發(fā)布了《關(guān)于開展電子認(rèn)證服務(wù)合規(guī)性專項(xiàng)整治工作的通知》，主要提到了以下問題：

　　1)身份查驗(yàn)流程不規(guī)范;

　　2)申請(qǐng)主體、接受主體和證書載明主體不一致;

　　3)受理證書申請(qǐng)前，向申請(qǐng)人告知有關(guān)事項(xiàng)不充分;

　　4)受理證書申請(qǐng)后，未與申請(qǐng)人簽訂合同明確雙方權(quán)利義務(wù);

　　5)未妥善保存與認(rèn)證相關(guān)的信息等。

　　這些不合規(guī)的問題可能會(huì)導(dǎo)致申請(qǐng)的數(shù)字證書無效，繼而導(dǎo)致其制作的電子簽名無效，并引發(fā)糾紛或涉訴案件。

　　這里想給大家看一個(gè)真實(shí)的涉訴案例：有用戶起訴某CA機(jī)構(gòu)與某電子簽名服務(wù)商冒用他的身份信息制作了他不知情的電子簽名證書，并以此簽署虛假借款合同，直接導(dǎo)致他遭受到了經(jīng)濟(jì)損失。從這個(gè)案例中我們可以看到，不合規(guī)帶來的風(fēng)險(xiǎn)絕不可小視。

　　針對(duì)以上問題，法大大的產(chǎn)品高度對(duì)標(biāo)法律法規(guī)的要求，完成了全面的合規(guī)升級(jí)：

　　第一點(diǎn)，用戶需要與CA機(jī)構(gòu)簽訂一對(duì)一的證書服務(wù)協(xié)議。無論是個(gè)人用戶還是企業(yè)用戶，申請(qǐng)數(shù)字證書前，都必須同意相應(yīng)CA機(jī)構(gòu)的《證書服務(wù)協(xié)議》，閱讀并點(diǎn)擊同意即視為接受該協(xié)議的約束，以此確保在證書申請(qǐng)流程中，CA機(jī)構(gòu)向用戶充分告知了有關(guān)事項(xiàng)，并明確了雙方的權(quán)利義務(wù)。法大大也會(huì)留存用戶關(guān)于協(xié)議的確認(rèn)記錄。

　　第二點(diǎn)，在用戶身份鑒別方面。法大大作為CA機(jī)構(gòu)的授權(quán)RA機(jī)構(gòu)，提供多種身份認(rèn)證方式供用戶選擇，包括人臉核身、手機(jī)號(hào)認(rèn)證、銀行卡認(rèn)證以及人工審核，無論是哪種方式，用戶提供的信息均通過權(quán)威數(shù)據(jù)源進(jìn)行比對(duì)校驗(yàn)，確保身份信息真實(shí)有效且是用戶本人的真實(shí)意愿表達(dá)，避免了身份偽造、冒用、盜用等風(fēng)險(xiǎn)。

　　第三點(diǎn)，關(guān)于證書更新環(huán)節(jié)。當(dāng)證書過期時(shí)，我們會(huì)提醒用戶重新申請(qǐng)新的數(shù)字證書，這個(gè)過程需要用戶再次同意《證書服務(wù)協(xié)議》，同時(shí)我們也會(huì)留存用戶同意協(xié)議的記錄。

　　第四點(diǎn)，關(guān)于證書申請(qǐng)結(jié)果的通知。證書申請(qǐng)受理后，法大大會(huì)通過站內(nèi)信等方式，明確告知用戶申請(qǐng)結(jié)果及證書簽發(fā)CA機(jī)構(gòu)的名稱、序列號(hào)、有效期等信息。

　　第五點(diǎn)，用戶證書申請(qǐng)流程中的相關(guān)數(shù)據(jù)會(huì)在法大大證據(jù)中心存證，保存期限至少為證書失效后五年。

　　法大大可以為用戶提供技術(shù)報(bào)告 或 公證保全報(bào)告，整個(gè)證據(jù)留存過程受CA機(jī)構(gòu)監(jiān)管，確保其完整性和嚴(yán)肅性。

　　最后給大家展示一下我們的安全資質(zhì)大滿貫。

　　經(jīng)過多年的安全合規(guī)體系建設(shè)，法大大已經(jīng)取得了多項(xiàng)權(quán)威的安全資質(zhì)及認(rèn)證，包括由BSI英標(biāo)協(xié)會(huì)頒發(fā)的四個(gè)ISO國際管理體系認(rèn)證，覆蓋信息安全、隱私保護(hù)、業(yè)務(wù)連續(xù)性等領(lǐng)域。同時(shí)法大大簽約平臺(tái)也通過了網(wǎng)絡(luò)安全等級(jí)保護(hù)三級(jí)測(cè)評(píng)，并獲得了公安部頒發(fā)的安全專用產(chǎn)品銷售許可證、國家密碼管理局頒發(fā)的商用密碼產(chǎn)品認(rèn)證證書，以及工信部頒發(fā)的企業(yè)級(jí)SaaS服務(wù)“可信云”認(rèn)證。

　　未來，我們會(huì)持續(xù)以高標(biāo)準(zhǔn)、嚴(yán)要求來加固法大大的安全合規(guī)體系，不斷夯實(shí)安全壁壘, 為用戶的每一次簽約保駕護(hù)航，謝謝大家。

   投稿郵箱：chuanbeiol@163.com   詳情請(qǐng)?jiān)L問川北在線：http://dstuf.com/