社会保障卡互联网认证与安全应用

1引言

2015年10月召开的十八届五中全会提出了创新、协调、绿色、开放、共享的新发展理念，强调实施网络强国战略，实施“互联网+”行动计划，实施国家大数据战略。在此背景下，各行业积极探索互联网应用新需求、新形式、新业态，社会公众也期待更加方便、快捷的服务。2016年4月19日，在网络安全和信息化工作座谈会上发表重要讲话，指出网络安全和信息化是相辅相成的，安全是发展的前提，发展是安全的保障，安全和发展要同步推进，从世界范围看，网络安全威胁和风险日益突出，要加快构建关键信息基础设施安全保障体系。

2人社互联网应用的发展

近年来，随着智能手机、平板电脑等移动智能终端的快速普及，如何利用新技术更好地为企业和市民提供服务是提升人力资源与社会保障（以下简称人社）服务水平的关键。2014年以来，各地结合业务实际，在面向企业的网络申报、在线缴费等互联网业务系统的基础上，针对不同的服务需求率先进行了智能手机应用（APP）及微信服务平台的开发。如福建（厦门电子社保）、广东（广州智慧社保、深圳人社）、江苏（江苏人社）、陕西（西安高新社保）等地率先推出了社保APP及社保微信平台，主要面向参保人提供社保信息查询、医保信息查询、政策法规、办事指南、最新资讯及业务咨询等功能。从实际效果看，这些人社网上服务有以下几个特点：（1）以无卡服务为主，没有结合社保卡进行使用，对身份认证的重视程度不够或难以实现社保卡认证，多数地区也没有启用社保卡密码。（2）体系化不足，选择了若干零散的应用点进行，不具备完整的线上服务体系。（3）深度不足，大部分应用只涉及了相对简单的信息查询，由于身份认证的不严谨和卡片操作的缺失，难以进一步拓展复杂业务。（4）在移动互联网应用的新趋势下准备不足，还没有体系化地思考和解决大面积手机应用推广面临的信息安全问题，即如何实现对社保卡信息、金融账户信息和个人隐私信息的控制和保护。

3社保卡互联网应用的特点

社会保障卡（以下简称社保卡）是由人社部统一规划，由各地人社部门面向社会发行，主要用于人社业务办理的集成电路卡。社保卡是人社事业“记录一生、跟踪一生、服务一生、保障一生”的重要载体，是人社领域个人身份证明和办理各种业务、展开各项应用的基础。因此，社保卡互联网应用有以下几个重要特点：（1）应用范围广，公民一生的人社应用涉及很多方面，应用范围非常广阔，需要在各种业务办理过程中提供一种通用的方式。（2）持续时间长，公民一生的时间跨度很长，业务与应用的认证应该在长期变化的过程中提供一种相对不变的方式。（3）用户数量多，公民数量非常庞大，个体的文化、知识、智力水平和体能水平都千差万别，业务与应用的认证应该提供一种不同人群都能无障碍使用的方式。（4）相关流程严，人社是服务于全体公民，事关国计民生的基础功能，具有很高的严肃性，业务与应用的认证应该提供一种长期可靠、严谨的方式，用户应该明确知道自己的权利和义务，谨慎进行信息管理。（5）安全要求高，人社所涉及到公民信息丰富全面，社会保险更是与个体利益和国家统筹密切相关，事关国家金融安全和社会稳定，业务与应用应该是一种有很高安全保障的方式。

4社保卡互联网应用的安全问题

社保卡普遍加载有金融功能，具有健全的安全机制，不仅在人社部门的各种应用中可以通用，还可以应用于金融领域，实现便民、快捷、安全、高效的应用拓展。在人社应用和公共服务领域，社保卡是具有法律效力的身份认证证件，是办理业务、查询信息、费用结算与享受其它服务的基本条件。社保卡身份识别有着严谨的规划、系统的准备、高标准的安全水平和严密的管理手段，随着社保卡的大量发行，人社网络信任体系的逐渐完善，社保卡作为具备很高安全性、便携度、规模化、低成本、抗攻击、成熟的信息化智能设施用于身份识别，将起到越来越重要的作用，成为重要的实名认证和网络信任技术手段，并成为全国性的信息化可信基础设施之一。利用社保卡实现互联网应用的关键有两点：一是具备可靠的身份认证识别，确保持卡人在互联网应用中的身份合法性；二是具备安全便捷的网络支付方式。针对社保卡互联网应用与服务的身份认证采用有卡模式还是无卡模式,主要存在两种观点：一是利用社保卡本身的基于集成电路（IC）的安全认证体系，实现社保卡的有卡网络应用，确保应用安全的同时可以考虑线上远程读写卡操作的可能性；二是弱化社保卡实体卡概念，通过社保卡账号联机密码、手机短信验证、动态口令等方式实现网络身份认证。

5社保卡的认证内涵分析

社保卡认证是基于智能卡技术的，包含身份认证、密钥认证、应用数字证书等方式在内的综合性信息鉴别和确认过程。社保卡认证不能等同于身份认证，不能简单地认为与用户名加密码的功能等同，它不是无卡应用方式能比拟和替代的，社保卡认证的完整实现必须依托有卡模式才能完成。

6社保卡的互联网认证方式选择

人社应用的个人身份证方式选取，应该遵循的原则为：（1）安全，确保个人信息安全、金融数据安全、金融应用安全和人社应用的安全。（2）便捷，要给每一个持卡人的每次操作带来便捷，而不是麻烦。（3）规范，身份认证的每一步操作都有据可循，有章可循。（4）统一，为不同的地区、不同的领域、不同的应用、在不同的时候、面向不同的个体提供统一的认证形式。（5）经济，平均到每一个持卡人，或平均到每个地区，所采用的认证形式不应当带来较大的初始投入和长期使用成本，要在可以接受的范围内实现。（6）面向未来，要具有扩展性，能够应对一定时期内的扩展需要和发展需要。因此，建议采取的主认证方式（或关键环节认证）是社保卡有卡认证。在各种应用场景下，均应统一要求社保卡的机器读取认证作为权威的认证方式，应用可自选辅助方式，如卡密码和短信密码。以此方式为主，在特定应用中，可以增强（如增加人脸识别、二代身份证信息）或减弱（如利用社保卡绑定一个用户名和密码）认证的形式。

7社保卡的互联网认证

实现社保卡的互联网认证实现，有三种硬件方式，分别是读写器加PSAM卡、个人终端加数字证书、移动个人终端加数字证书，能完成社保卡的全功能应用和服务；第四种是软件方式，通过对（以绑定方式实现身份认证的）应用（APP）进行授权，完成移动互联网上持卡人的轻量级的便捷应用。社保卡有卡应用要在各种网络环境中保持相对统一的业务流程和服务内容，努力使之达到同等的安全水平和服务水平。社保卡和读写器主要用于人社专网环境，对前往业务网点的参保人提供服务；社保卡和个人终端主要用于人社外网络环境，对通过互联网登录业务系统的参保人提供服务。

8社保卡的互联网安全应体系

社保卡以其“记录一生、跟踪一生、服务一生、保障一生”的定位，社会化程度最深、最广、最普遍，是最佳的社会化实名登录方式，具有最完善的个人实名信息，适合作为一卡多用的公共载体。社保卡的互联网应用与服务要逐步实现功能社会化，形成安全应用体系，人社部门建立省级平台面向互联网应用系统提供统一认证、单点登录和应用互联，远程提供社保卡的核心功能。这些核心功能可以被不同的应用系统整合使用，以完成具体的应用和服务。安全应用体系要注重五个环节的建设，分别是认证、授权、数据管理、应用管理和卡片读写，形成完整的安全保障环境，从而使各种应用可信、安全。可信应用的实现，很大程度上取决于认证方式中，坚持安全性较高的有卡认证，并在特定领域和未来发展方面，不排除使用其它更高安全级别的认证方式（如生物识别）。省级平台对应用（APP）应采取注册登记制度进行管理，对应用提供单位注册、应用注册、应用调试、应用上线、应用终止等环节加以管理，覆盖应用的整个生命周期。平台协调各个应用系统在对社保卡的读写过程中，保持统一的模式，并加以严格控制。要充分发挥社保卡在标准统一、功能兼容方面的优势，重点开发基于电子凭证、信息记录、自助查询、就医结算、缴费和待遇领取、金融支付等6项基本功能的各类可信应用，包含公共就业、社会保险、劳动关系、人事人才等人业务领域。除此之外，还可以在卫生、民政、园林、旅游、体育等关联领域创新发展，还可以纳入以企业应用为主的商业应用，采用多元化服务供给的方式进行可信应用体系建设。

9价值与意义

基于社保卡的互联网应用与服务不是简单地把服务大厅的社保卡发行管理业务挪到网上进行办理，而是对原有管理服务模式的根本性重构，人民群众的满意与否成为网上服务的最终目标和价值取向，要基于社保核心平台的现状，以群众的需求为中心，安全、有效、规范地服务个人和企业，提供快捷、安全、丰富的互联网应用的同时减轻各级社保经办机构的人员、资金和责任压力。社保卡应用的拓展，传统的依靠政府唱独角戏的管理模式、偏重硬件建设的服务供给模式已经越来越不能适应新形势要求，必须加强制度创新，扩大公众参与，最大限度地调动社会资源积极性，促进共建共享，注重服务内涵，逐步建立政府主导、市场引导、社会充分参与的公共服务供给机制，推动形成多元参与、公平竞争的格局。“社保卡+互联网+金融=全民可信应用基础环境”，这揭示了一个面向未来的安全应用体系的宏伟蓝图，为社保卡建立无处不在的安全受理环境，推动各行各业“互联网+”应用发展，将有助于政府公共服务均等化、社会化和网络化，有助于社会各界全方位互动，深入、持久地完善信息化，推动便民、利民应用体系发展。

作者:杜恩宽 邓华 单位:广东华大互联网股份有限公司 广东省劳动保障信息中心（省人力资源和社会保障厅信息中心

参考文献：

[1]中国共产党第十八届中央委员会第五次全体会议公报[EB/OL]．人民网，http：//cpc．people．com．cn/n/2015/1029/c399243-27755578.html，2015-10-29．

[2]：在网络安全和信息化工作座谈会上的讲话[EB/OL]．人民网，http：//cpc．people．com．cn/n1/2016/0426/c64094-28303771．html，2016-4-19．

[3]社会保障卡课题研究第一课题组．社会保障卡课题研究报告：社会保障卡发行管理难点问题解决方案研究[R]，2013．

[4]社会保障卡课题研究第二课题组．社会保障卡课题研究报告：社会保障卡跨地区应用解决方案研究》[R]，2013．

[5]社会保障卡课题研究第三课题组．社会保障卡课题研究报告：社会保障卡应用领域拓展方案研究[R]，2013．

[6]社会保障卡课题研究第一课题组．社会保障卡课题研究报告：基于互联网的社会保障卡应用于服务[R]，2014．

[7]人力资源社会保障部《关于加快推进社会保障卡应用的意见》（人学术探讨∙经验交流社部发〔2014〕52号）[R]，2014．

[8]国务院关于印发社会信用体系建设规划纲要（2014—2020年）的通知(国发〔2014〕21号)[R]，2014．

[9]国家金卡工程协调领导小组．关于印发〈国家金卡工程全国IC卡应用总体规划（2008-2013）〉的通知[R]，2008．