犐犆犛３５．２４０．８０

犆０７

中華人民共和國國家標準化指導性技術文件

犌犅／犣２１７１６．２—２００８

健康信息學公鑰基礎設施（犘犓犐）

第２部分：證書輪廓

犎犲犪犾狋犺犻狀犳狅狉犿犪狋犻犮狊—犘狌犫犾犻犮犓犲狔犐狀犳狉犪狊狋狉狌犮狋狌狉犲（犘犓犐）—

犘犪狉狋２：犆犲狉狋犻犳犻犮犪狋犲狆狉狅犳犻犾犲

２００８０４１１發布

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犣２１７１６．２—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５醫療保健證書策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５．１醫療保健證書類型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５．２ＣＡ證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３交叉／橋接證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．４端實體證書!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６一般證書要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．１證書的符合性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２各類證書的通用字段!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．３通用字段規范!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．４對各種醫療保健證書類型的要求!!!!!!!!!!!!!!!!!!!!!!!!!!８

７證書擴展的使用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２一般擴展!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．３專用主體目錄屬性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．４資格證書聲明擴展!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．５對每種醫療行業證書類型的要求!!!!!!!!!!!!!!!!!!!!!!!!!!１４

附錄Ａ!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．１引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．２示例１：消費者證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ａ．３示例２：非正規健康專業人員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．４示例３：正規健康專業人員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!２０

Ａ．５示例４：受托醫療保健提供方證書輪廓!!!!!!!!!!!!!!!!!!!!!!!２１

Ａ．６示例５：支持組織雇員證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!２２

Ａ．７示例６：組織證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

Ａ．８示例７：ＡＣ輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ａ．９示例８：ＣＡ證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ａ．１０示例９：橋接證書輪廓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

Ⅰ

書

犌犅／犣２１７１６．２—２００８

前言

ＧＢ／Ｚ２１７１６《健康信息學公鑰基礎設施（ＰＫＩ）》分為３個部分：

———第１部分：數字證書服務綜述；

———第２部分：證書輪廓；

———第３部分：認證機構的策略管理。

本部分為ＧＢ／Ｚ２１７１６的第２部分。

本部分參照ＩＳＯ１７０９０２（ＤＩＳ）《健康信息學公鑰基礎設施（ＰＫＩ）第２部分：證書輪廓》制定，其

主要技術內容與ＩＳＯ１７０９０２（ＤＩＳ）一致。相對原文而言，本部分僅進行了少量修改，包括：

———根據中國國情，將正文中示例包括的國家名稱、單位名稱等修改為中國的中文名稱；

———不改變技術內容的編輯性修改。

本部分的附錄Ａ為資料性附錄。

本部分由中國標準化研究院提出。

本部分由中國標準化研究院歸口。

本部分起草單位：中國標準化研究院。

本部分主要起草人：董連續、任冠華、陳煌、劉碧松。

Ⅲ

犌犅／犣２１７１６．２—２００８

引言

為了降低費用和成本，衛生行業正面臨著從紙質處理向自動化電子處理轉變的挑戰。新的醫療保

健模式增加了對專業醫療保健提供者之間和突破傳統機構界限來共享患者信息的需求。

一般來說，每個公民的健康信息都可以通過電子郵件、遠程數據庫訪問、電子數據交換以及其他應

用來進行交換。互聯網提供了經濟且便于訪問的信息交換方式，但它也是一個不安全的媒介，這就要求

采取一定的措施來保護信息的私密性和保密性。未經授權的訪問，無論是有意的還是無意的，都會增加

對健康信息安全的威脅。醫療保健系統有必要使用可靠信息安全服務來降低未經授權訪問的風險。

衛生行業如何以一種經濟實用的方式來對互聯網中傳輸的數據進行適當的保護？針對這個問題，

目前人們正在嘗試利用公鑰基礎設施（ＰＫＩ）和數字證書技術來應對這一挑戰。

正確配置數字證書要求將技術、策略和管理過程綁定在一起，利用“公鑰密碼算法”來保護信息，利

用“證書”來確認個人或實體的身份，從而實現在不安全的環境中對敏感數據的安全交換。在衛生領域

中，這種技術使用鑒別、加密和數字簽名等方法來保證對個人健康記錄的安全訪問和傳輸，以滿足臨床

和管理方面的需要。通過數字證書配置所提供的服務（包括加密、信息完整性和數字簽名）能夠解決很

多安全問題。為此，世界上許多組織已經開始使用數字證書。比較典型的一種情況就是將數字證書與

一個公認的信息安全標準聯合使用。

如果在不同組織或不同轄區之間（如為同一個患者提供服務的醫院和社區醫生之間）需要交換健康

信息，則數字證書技術及其支撐策略、程序、操作的互操作性是最重要的。

實現不同數字證書實施之間的互操作性需要建立一個信任框架。在這個框架下，負責保護個人信

息權利的各方要依賴于具體的策略和操作，甚至還要依賴于由其他已有機構發行的數字證書的有效性。

許多國家正在采用數字證書來支持國內的安全通信。如果標準的制定活動僅僅局限于國家內部，

則不同國家之間的認證機構（ＣＡ）和注冊機構（ＲＡ）在策略和程序上將產生不一致甚至矛盾的地方。

數字證書有很多方面并不專門用于醫療保健，它們目前仍處于發展階段。此外，一些重要的標準化

工作以及立法支持工作也正在進行當中。另一方面，很多國家的醫療保健提供者正在使用或準備使用

數字證書。因此，本指導性技術文件的目的是為這些迅速發展的國際應用提供指導。

本指導性技術文件描述了一般性技術、操作以及策略方面的需求，以便能夠使用數字證書來保護健

康信息在領域內部、不同領域之間以及不同轄區之間進行交換。本指導性技術文件的最終目的是要建

立一個能夠實現全球互操作的平臺。本指導性技術文件主要支持使用數字證書的跨國通信，但也為配

置國家性或區域性的醫療保健數字證書提供指導。互聯網作為傳輸媒介正越來越多地被用于在醫療保

健組織間傳遞健康數據，它也是實現跨國通信的唯一選擇。

本指導性技術文件的三個部分作為一個整體定義了在衛生行業中如何使用數字證書提供安全服

務，包括鑒別、保密性、數據完整性以及支持數字簽名質量的技術能力。

本指導性技術文件第１部分規定了衛生領域中使用數字證書的基本概念，并給出了使用數字證書

進行健康信息安全通信所需的互操作方案。

本指導性技術文件第２部分給出了基于國際標準Ｘ．５０９的數字證書的健康專用輪廓以及用于不

同證書類型的ＩＥＴＦ／ＲＦＣ３２８０中規定的醫療保健輪廓。

本指導性技術文件第３部分用于解決與實施和使用醫療保健數字證書相關的管理問題，規定了證

書策略（ＣＰ）的結構和最低要求以及關聯認證操作聲明的結構。該部分以ＩＥＴＦ／ＲＦＣ３６４７的相關建議

為基礎，確定了在健康信息跨國通信的安全策略中所需的原則，還規定了健康方面所需的最低級別的安

全性。

Ⅳ

犌犅／犣２１７１６．２—２００８

健康信息學公鑰基礎設施（犘犓犐）

第２部分：證書輪廓

１范圍

本部分規定了在單獨組織內部、不同組織之間和跨越管轄界限時醫療保健信息交換所需要的證書

輪廓。本部分還詳述了公鑰基礎設施（ＰＫＩ）數字證書在醫療行業中形成的應用，并側重描述了其中與

證書輪廓相關的醫療保健問題。

２規范性引用文件

下列文件中的條款通過ＧＢ／Ｚ２１７１６的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本部分，然而，鼓勵根據本部分達成

協議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本

部分。

ＧＢ／Ｚ２１７１６．１—２００８健康信息學公鑰基礎設施（ＰＫＩ）第１部分：數字證書服務綜述

ＧＢ／Ｚ２１７１６．３—２００８健康信息學公鑰基礎設施（ＰＫＩ）第３部分：認證機構的策略管理

ＩＥＴＦ／ＲＦＣ３２８０ＩｎｔｅｒｎｅｔＸ．５０９公鑰基礎設施證書和