智能卡COS產品強制性認證實施規則

     編者按：4月27日，中國國家認證認可監督管理委員會發布了編號為CNCA-11C-079:2009的《信息安全產品強制性認證實施規則——智能卡COS產品》文件，詳細說明了智能卡COS強制性認證的范圍、模式、申請受理程序等等，為了讀者更加詳細全面了解有關規則，本期特將該規則刊載如下，供讀者參考，該規則從2009年5月1日起正式實施。

    1．適用范圍 

    智能卡芯片操作系統(COS-Chip Operating System)是指在智能卡芯片中存儲和運行的、以保護存儲在非易失性存儲器中的應用數據或程序的機密性和完整性、控制智能卡芯片與外界信息交換為目的的嵌入式軟件。

    適用的產品范圍為：遵循GB/T 16649：2006（idt ISO/IEC 7816）標準指令集的

    （1）采用接觸或/和非接觸工作方式的智能卡COS；（2）其它集成或內置了的COS（如 USBKey等）。擬用于涉密信息系統的上述產品，按照國家有關保密規定和標準執行，不適用本規則。

    2．認證模式

    型式試驗 + 初始工廠檢查 + 獲證后監督

    3．認證的基本環節

    3.1認證申請及受理
    3.2型式試驗委托及實施
    3.3初始工廠檢查
    3.4認證結果評價與批準
    3.5獲證后監督

    4．認證實施

    4.1認證程序

    申請方可選擇集中受理或分段受理兩種方式中任意一種進行認證證書申請，兩種方式下獲得的證書是等效的。

    4.1.1集中受理流程

    申請方向指定的認證機構申請認證，認證機構對申請產品進行單元劃分并審查申請資料，確認合格后向實驗室（由申請方自主從指定實驗室名單中選取）安排檢測任務。實驗室依據相關產品強制性認證實施規則進行檢測，并在完成檢測后向認證機構提交完整的檢測報告。認證機構對檢測報告審查合格后，由認證機構進行初始工廠檢查。認證機構對型式試驗、初始工廠檢查結果進行綜合評價，評價合格后向申請方頒發認證證書。認證機構組織對獲證后的產品進行定期的監督。

    4.1.2分段受理流程

    申請方自主從指定實驗室名單中選取實驗室，并向實驗室提交相關申請材料。實驗室對申請產品進行單元劃分，審查并確認所需資料合格后，依據認證實施規則進行檢測，檢測通過后向認證機構提交檢測報告。檢測報告經認證機構確認合格后，申請方向認證機構提交認證所需資料。認證機構審查并確認所需資料合格后，由認證機構進行初始工廠檢查。認證機構對型式試驗、初始工廠檢查結果進行綜合評價，評價合格后向申請方頒發認證證書。認證機構組織對獲證后的產品進行定期的監督。

    4.2認證申請及受理

    4.2.1認證的單元劃分

    按產品型號/版本申請認證，若產品的信息安全關鍵件實現方式相同的可作為一個單元申請認證。

    以多于一個型號/版本的產品為同一認證單元申請認證時，申請方應提交同一認證單元中型號/版本間的差異說明及相關自測報告。

    4.2.2申請時需提交的文件資料

    申請方在申請產品認證時，提交的文件資料應至少包含以下內容：

    1.申請方情況：

    1）基本情況介紹；
    2）相關資質證明材料（復印件）；
    3）質量體系方面有關的文件；
    4）申請方聲明。

    2.產品相關說明：

    1）中文產品功能說明書和/或使用手冊；
    2）認證標準的適用性說明；
    3）產品研制主要技術人員情況表；
    4）產品測試技術人員情況表；
    5）產品測試使用的主要設備表（如適用）；
    6）中文銘牌和警告標記（如適用）；
    7）同一認證單元中型號/版本間的差異說明及相關自測報告（如適用）；
    8）產品密碼檢測證書。

    3.申請認證產品的安全保證要求說明，包括以下方面：

    1）安全目標；
    2）功能規范；
    3）高層設計；
    4）低層設計；
    5）對應性分析；
    6）安全策略模型；
    7）指導性文檔；
    8）脆弱性分析；
    9）開發者的測試報告；
    10）開發者的測試分析；
    11）開發安全；
    12）開發工具和技術；
    13）生命周期定義；
    14）交付和運行；
    15）配置管理文檔；
    16）實現表示。

    4.3型式試驗委托及實施

    4.3.1型式試驗的送樣

    4.3.1.1型式試驗送樣的原則

    認證單元中只有一個型號/版本的，送該型號/版本的樣品。以多于一個型號/版本的產品作為同一認證單元申請認證時，應從中選取典型的型號/版本作為送樣產品。

    4.3.1.2送樣要求和數量

    型式試驗的樣品由申請方負責選送，并對選送樣品負責。一般每種產品送樣 40套。

    4.3.1.3型式試驗樣品及相關資料的處置

    認證結束后，申請方可向實驗室申請取回型式試驗樣品，相關申請資料由認證機構、實驗室妥善處置。

    4.3.2測評標準和項目

    測評依據的標準為：

    GB/T 20276《信息安全技術 智能卡嵌入式軟件安全技術要求（EAL4增強級）》（基于GB/T 18336《信息技術 安全技術 信息安全技術評估準則》的通用要求）。

    測評項目見附件 2、附件 3。

    4.3.3型式試驗報告的提交

    型式試驗完成后，實驗室出具型式試驗報告并提交給認證機構。

    4.4初始工廠檢查

    4.4.1檢查內容

    初始工廠檢查的內容為信息安全保證能力、質量保證能力和產品一致性檢查。

    4.4.1.1信息安全保證能力檢查

    由認證機構派檢查員對工廠按照《智能卡 COS強制性認證安全保證評估項目》（見附件 3）進行信息安全保證能力檢查。

    4.4.1.2質量保證能力檢查

    由認證機構派檢查員對工廠按照《質量保證能力基本要求》（附件5）及認證機構制定的補充檢查要求（適用時）進行檢查。

    4.4.1.3產品一致性檢查

    初始工廠檢查時，應在生產現場對申請認證的產品進行一致性檢查。 

    重點核實以下內容：

    1）認證產品的銘牌、包裝上所標明的及運行時所顯示的產品名稱、型號/版本號與型式試驗報告上所標明的內容是否一致；
    2）非認證的產品是否違規標貼了認證標識。

    4.4.2初始工廠檢查時間

    一般情況下，認證機構對 4.2.2中的資料進行審查并在型式試驗完成后，再進行初始工廠檢查。特殊情況時，型式試驗和初始工廠檢查也可以同時進行。

    初始工廠檢查時間根據所申請認證產品的單元數量確定，并適當考慮生產廠的規模，一般每個生產廠為 4至 6個人日。

    4.5認證結果評價與批準

    4.5.1認證結果評價與批準

    認證機構負責對型式試驗、初始工廠檢查結果進行綜合評價，評價合格的，由認證機構對申請方頒發認證證書（每一個認證單元頒發一個認證證書）。如認證決定過程中發現不符合認證要求項，允許限期（不超過 3個月）整改，如期完成整改后，認證機構采取適當方式對整改結果進行確認，重新執行認證決定過程。

    4.5.2認證時限

    認證時限是指自申請被正式受理之日起至頒發認證證書時止所實際發生的工作日，其中包括型式試驗時間、初始工廠檢查及提交報告時間、認證結論評定和批準時間以及證書制作時間。

    型式試驗時間一般不超過 120個工作日（因檢測項目不合格，進行整改和復試的時間不計算在內，整改時間一般不超過 6個月）。一般在型式試驗報告提交后 30個工作日內安排初始工廠檢查。初始工廠檢查時間根據所認證產品的單元數量確定，并適當考慮生產廠的生產規模，一般為 4至 6個人日。初始工廠檢查后提交報告時間一般為 5個工作日，以檢查員完成現場檢查，收到并確認工廠遞交的不合格糾正措施報告之日起計算。

    認證結論評定、批準時間以及證書制作時間共計不超過 5個工作日。

    4.6獲證后監督

    4.6.1監督的頻次

    4.6.1.1從獲證后第12個月起進行第一次獲證后監督，此后每 12個月進行一次獲證后監督。必要情況下，認證機構可采取事先不通知的方式對生產廠實施監督。

    4.6.1.2若發生下述情況之一可增加監督頻次：

    1）獲證產品出現嚴重質量問題時,或者用戶提出投訴并經查實為證書持有者責任時；
    2）認證機構有足夠理由對獲證產品與本規則中規定的標準要求的符合性提出質疑時；
    3）有足夠信息表明工廠因組織機構、生產條件、質量管理體系等發生變更，從而可能影響產品質量時。 

    4.6.2監督的內容

    獲證后監督的方式采用信息安全保證能力與質量保證能力的復查和認證產品一致性檢查。必要時可以抽取樣品送實驗室檢測，需要進行抽樣檢測時，抽樣檢測的樣品應在工廠生產的產品中（包括生產線、倉庫、市場）隨機抽取。產品抽樣檢測的數量為 30套。本認證實施規則中涉及的檢測項均可作為監督檢測項目，認證機構可要求針對不同產品的不同情況進行部分或全部項目的檢測。對抽取樣品的檢測由認證機構指定的實驗室在 30個工作日內完成。 

    認證機構根據《智能卡COS強制性認證安全保證評估項目》（見附件3）、《質量保證能力基本要求》（見附件 5）對工廠進行監督復查。《質量保證能力基本要求》規定的第1、2條是每次監督復查的必查項目，其他項目可以選查。每四年內至少覆蓋附件 3、附件 5中所包括的全部項目。另外，應對產品的變更情況進行核查。

    工廠監督檢查時間根據獲證產品的單元數量確定，并適當考慮工廠的生產規模，一般為 2至 4個人日。

    4.6.3獲證后監督結果的評價 

    監督復查合格后，可以繼續保持認證證書、使用認證標志。對監督復查時發現的不符合項應在 3個月內完成糾正措施。逾期將撤銷認證證書、停止使用認證標志，并對外公告。

    5．認證證書

    5.1認證證書的保持

    5.1.1證書的有效性

    本規則覆蓋產品的認證證書不規定截止日期。證書的有效性依賴認證機構定期的監督獲得保持。

    5.1.2認證產品的變更

    5.1.2.1變更的申請

    獲證后的產品，如果其產品的信息安全關鍵件未發生變化而型號/版本發生變化，或生產廠、證書持有者等發生變化時，應向認證機構提出變更申請。 

    由信息安全關鍵件的變化引起型號/版本變化時，應重新申請認證。

    5.1.2.2變更申請的評價與批準

    認證機構根據變更的內容和提供的資料進行評價，確定已獲證產品的變化屬于以下何種情況，并根據具體情況采取相應措施。

    1）由產品非信息安全關鍵件變化引起型號/版本變化，且不需補充型式試驗和/或工廠檢查時，經審核后予以變更；

    2）由產品非信息安全關鍵件變化引起型號/版本變化，且需補充型式試驗和/或工廠檢查時，應在完成型式試驗和/或工廠檢查并經認證評價合格后方予以變更；

    3）發生其它變化時，如生產廠、證書持有者等，經審核后予以變更。

    5.2認證證書覆蓋產品的擴展

    5.2.1認證證書覆蓋產品擴展的申請

    認證證書持有者需要增加已經獲得認證產品的認證范圍時，應向認證機構提出擴展申請。

    5.2.2認證證書覆蓋產品擴展的評價與批準

    認證機構應核查擴展產品與原認證產品的一致性,確認原認證結果對擴展產品的有效性，需要時應針對差異做補充型式試驗和/或工廠檢查，并根據認證證書持有者的要求單獨頒發認證證書或換發認證證書。

    5.3認證證書的暫停、注銷和撤消

    按《強制性產品認證證書注銷、暫停和撤銷實施規則》的要求執行。在認證證書暫停期間及認證證書注銷和撤銷后，企業不得繼續使用證書。

    6．強制性產品認證標志的使用

    證書持有者必須遵守《強制性產品認證標志管理辦法》的規定。

    6.1準許使用的標志樣式

    6.2變形認證標志的使用

    本規則覆蓋的產品不允許使用任何形式的變形認證標志。

    6.3加施方式

    可以采用國家統一印制的標準規格標志、模壓或銘牌印刷三種方式中的任何一種。

    采用模壓或銘牌印刷時，其使用方案應報國家認證認可監督管理委員會批準的強制性產品認證標志發放與管理機構核準。

    6.4標志位置

    軟件產品應在其軟件包裝/載體上加施認證標志，如該軟件產品不使用包裝/載體，則應在軟件使用的《許可協議》中的顯著位置明確該產品已獲中國強制性產品認證（CCC認證）。

    7．收費

    收費由認證機構、實驗室按國家有關規定統一收取。 

    附件1：