您的位置: 首页 » 法律资料网 » 法律法规 »

基于DOS的信息安全产品评级准则

作者:法律资料网 时间:2024-05-17 13:22:23  浏览:8273   来源:法律资料网
下载地址: 点击此处下载

基于DOS的信息安全产品评级准则

公安部


基于DOS的信息安全产品评级准则

公安部

1998/06/01



  【题注】(GA174-1998 Evaluation Criteria for DOS-based Information Security Products)

  前言

  为了贯彻《中华人民共和国计算机信息系统安全保护条例》的精神,并配合计算机信息系统安全专用产品的销售许可证制度的实施,公安部计算机管理监察司委托天津市公安局计算机管理监察处和海军计算技术研究所共同编写《基于DOS的信息安全产品评级准则》。

  本标准在技术上参照了美国DOD5200.28-STD可信计算机系统评估准则。

  本标准由公安部计算机管理监察司提出;

  本标准由公安部信息标准化技术委员会归口;

  本标准起草单位:天津市公安局计算机管理监察处

  海军计算技术研究所

  本标准主要起草人:张健,周瑞平,王学海,张双桥,高新宇

  1.范围

  本标准的适用对象为基于DOS操作系统的信息安全产品。基于DOS的信息安全产品是指保护DOS操作系统环境下的信息免受故意的或偶然的非授权的泄漏、篡改和破坏的软件、硬件或软硬件结合产品,以及用于产品安装、执行、恢复的相关设施。在本标准中,对安全产品的评级等同于对加装了该安全产品的DOS操作系统的安全性能的评级。

  标准根据安全产品的性能将其分为三个等级。从最低级d到最高级b,其安全保护性能逐级增加。

  2.引用标准

  美国DOD5200.28-STD可信计算机系统评估准则。

  3.术语

  3.1 客体 Object

  含有或接收信息的被动实体。客体的例子如:文件、记录、显示器、键盘等。

  3.2 主体 Subject

  引起信息在客体之间流动的人、进程或装置等。

  3.3 安全策略 Security policy

  有关管理、保护和发布敏感信息的法律、规章和技术标准。

  3.4 可信计算基 Trusted ComPuting Base-TCB

  操作系统中用于实现安全策略的一个集合体(包含软件、固件和硬件),该集合体根据安全策略来处理主体对客体的访问,并满足以下特征:

  a.TCB实施主体对客体的安全访问;

  b.TCB是抗篡改的;

  C.TCB的结构易于分析和测试。

  3.5 安全策略模型 Security Policy Model

  用于实施系统安全策略的模型,它表明信息的访问控制方式,以及信息的流程。

  3.6 敏感标记 Sensitivity Label

  表明一个客体的安全级并描述该客体中数据的敏感度(例如:密级)的一条信息。TCB依据敏感标记进行强制性访问控制。

  3.7 用户访问级 User's Clearance

  用户访问敏感信息的级别。

  3.8 最小特权原理 Least Provilege Theorem

  系统中的每个主体执行授权任务时,仅被授予完成任务所必需的最小访问权。

  3.9 关键保护元素 Protection Critical Element

  有TCB中,用来处理主体和客体间的访问控制的关键元素。

  3.10 审计踪迹 Audit Trail

  能提供客观证明的一组记录,用于从原始事务追踪到有关的记录,或从记录追踪到其原始事务。

  3.11 信道 Channel

  系统内的信息传输路径。

  3.12 可信信道 Trusted Channel

  符合系统安全策略的信道。

  3.13 隐蔽信道 Covert Channel

  违反系统安全策略的信道。

  3.14 自主访问控制 Discretionary Access Control

  根据主体身份或者主体所属组的身份或者二者的结合,对客体访问进行限制的一种方法。具有某种访问权的主体能够自行决定将其访问权直接或间接地转授给其它主体。

  3.15 强制访问控制 Mandatory Access Control

  根据客体中信息的敏感标记和访问敏感信息的主体的访问级对客体访问实行限制的一种方法。

  4.评级等级

  本标准将安全产品分为局部保护级、自主保护级、强制保护级三个等级。为便于和可信计算机系统评估准则互为参照,又表示有别于该标准,用d,c,b表示。

  4.1 局部保护级(d)

  提供一种或几种安全功能,但又未能达到c级标准的产品。

  4.1.1 安全功能

  必须明确定义每项安全功能预期达到的目标,描述为达到此目标而采用的TCB的安全机制及实现技术。

  4.1.2 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。

  4.1.3 文档

  安全特征用户指南文档要清楚地描述产品的保护原理、使用方法、使用限制及适用范围。

  要提供一个测试文档,描述该产品的测试计划、安全机制的测试过程及安全功能测试的结果。

  4.2 自主保护级(c)

  c级主要提供自主访问控制功能,并通过审计手段,能对主体行为进行审查。

  4.2.1 安全策略

  4.2.1.1 自主访问控制

  TCB需定义并控制系统中主体对客体的访问机制,所采用的机制(如访问控制表)要明确规定特定主体对其它主体控制下的信息的访问类型。系统和用户设定的自主访问控制机制,能保证受保护的客体不会被未经授权的用户访问。对客体没有访问权限的用户,只有对该客体有授权能力的用户才能为其指定访问权限。

  4.2.1.2 客体再用

  在将TCB的空闲存储客体池中客体初始指定、分配或再分配给一个主体之前,所有对于存储客体所含信息的授权都必须被撤销。当主体获得对一个已被释放的存储客体的访问权时,由原主体活动所产生的任何信息对当前主体都是不可获得的。

  4.2.2 责任核查

  4.2.2.1 身份鉴别

  用户在要求TCB执行任何动作之前,必须首先向TCB表明自己的身份;TCB要使用保护机制(如:口令)来鉴别用户身份。为了防止任何未经授权的用户对鉴别数据进行访问,TCB要对鉴别数据进行保护。TCB需提供唯一标识每个系统用户的机制,并将用户的所有可审计行为与用户的标识联系起来。

  4.2.2.2 审计

  TCB必须能创建、维护由主体实施的操作(例如:读、删和改等)的审计记录。TCB要记录下列类型的事件:使用身份鉴别机制;客体的引用;客体的删除;以及其它与安全有关的事件。对于每一个记录事件,审计记录需标识:事件发生的日期和时间、用户、事件类型及事件的成功和失败。由可信软件执行的单个操作,如果对用户是完全透明的,则不必进行审计。TCB要保护审计数据,使得只有授权用户才能访问。

  4.2.3 保证

  4.2.3.1 操作保证

  4.2.3.1.1 系统体系结构

  TCB要在封闭的域中运行,使其不受外部干扰或篡改(例如:代码或数据结构的修改)。TCB要隔离受保护资源,以满足访问控制和审计的需求。

  4.2.3.1.2 系统完整性

  要提供相应的硬件或软件,用于定期确认TCB中硬件或固件元素的正常运行。

  4.2.3.1.3 数据完整性

  TCB要提供控制机制,以保证多个主体对同一客体访问时客体中数据的正确性和完整性,并且不影响系统的正常运行。

  4.2.3.2 生命周期保证

  4.2.3.2.1 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。测试要证实未经授权的用户没有明显的办法可以绕过或攻破TCB的安全保护机制。测试还要搜索TCB中明显的缺陷,这些缺陷可能导致TCB中的外部主体能够违背资源隔离原则,或者对审计数据或鉴别数据进行未经授权的访问。

  4.2.4 文档

  4.2.4.1 安全特征用户指南

  安全特征用户指南要描述TCB提供的保护机制、使用指南、以及保护机制之间的配合方法,必须清楚地描述TCB中安全机制之间的交互作用。

  4.2.4.2 可信设施手册

  在可信设施手册中,要明确描述TCB所支持的任何预定义用户或主体(例如:系统管理员),要对运行安全功能时必须受到控制的功能和特权提出警告,并清楚地描述上述受控功能和特权之间的关系。如果存在TCB的安全操作的配置选项,应该予以标识。

  要提供用于检查和维护审计文件的规程。对每类审计事件,还要提供详细的审计记录结构。

  4.2.4.3 测试文档

  测试文档要描述安全保护机制的测试计划、测试步骤及其功能测试结果。

  4.2.4.4 设计文档

  设计文档要描述产品的保护原理,并解释该原理在TCB中的实现,如果TCB由多个不同的模块组成,还应描述各模块间的接口。

  4.3 强制保护级(b)

  b级的主要要求是:TCB能维护敏感标记及其完整性,并利用敏感标记来实施强制访问控制规则,b级的系统必须使系统中的主要数据结构带有敏感标记。系统开发者必须提供作为TCB基础的安全策略实现模型以及TCB的规约。

  4.3.1 安全策略

  4.3.1.1 自主访问控制

  TCB需定义并控制系统中主体对客体的访问控制,所采用的机制(如访问控制表)要明确规定特定主体对其它主体控制下的信息的访问类型。自主访问控制机制应限制访问权限的扩展。系统和用户设定的自主访问控制机制,能保证受保护的客体不会被未经授权的用户访问。对客体没有访问权限的用户,只有对客体有授权能力的用户才能为其指定访问权限。

  4.3.1.2 客体再用

  在将TCB的空闲存储客体池中客体初始指定、分配或再分配给一个主体之前,所有对于存储客体所含信息的授权都必须被撤销。当主体获得对一个已被释放的存储客体的访问权时,由原主体活动所产生的任何信息对当前主体都是不可获得的。

  4.3.1.3 标记

  TCB要维护与每一主体及其可能访问的系统资源相关的敏感标记,以此作为强制访问控制决策的基础。系统必须明确规定需要标记的客体(如文件、外部设备等)与不需要标记的客体(如:用户不可见的内部资源)。对于需要标记的客体,系统要明确定义客体标记的粒度。除了不需要标记的客体外,所有其它客体从TCB外部观点看都要有明显标记。在输入未标记数据时,必须由授权用户向TCB提供这些数据的安全级别,而且所有这些行为都可以由TCB进行审计。

  4.3.1.3.1 标记完整性

  敏感标记必须准确地表示出与其相关的具体主体或客体的安全级别。当TCB输出敏感标记时,输出标记的外部表示要与其内部标记一致,并与输出的信息相关联。

  4.3.1.3.2 标记信息的输出

  TCB要能维护并审计与通信信道或I/O设备相关联的安全级别的任何变动。

  4.3.1.3.3 主体标记

  在TCB与用户交互期间,如果与用户有关的安全级发生任何变化,TCB应立刻通知用户。

  4.3.1.3.4 设备标记

  TCB应能对所辖的物理设备指定最小和最大安全级。TCB要使用这些安全级,在设备所处的物理环境中对设备的使用施加约束。

  4.3.1.4 强制访问控制

  TCB必须对所有可被TCB外部主体直接或间接访问的资源(例如:主体、存储客体、物理设备等)实施强制访问控制策略。必须为这些主体和资源指定敏感标记(它们是级别和类别的组合),这些标记将作为强制访问控制决策的基础。所有由TCB所控制的主体对客体的访问必须遵循以下规则:仅当主体的级别高于或等于客体的级别,且主体安全等级中的类别包含客体安全等级中的所有类别时,主体才能读客体;仅当主体的级别低于或等于客体的级别,且主体安全等级中的所有类别包含于客体安全等级中的类别时,主体才能写客体。TCB要使用标识和鉴别数据来鉴别用户的身份,并确保用户的访问级和授权高于或等于代表该用户的TCB外部主体的安全等级和授权。

  4.3.2 责任核查

  4.3.2.1 身份鉴别

  用户在要求TCB执行任何动作之前,必须首先向TCB表明自己的身份。TCB要使用保护机制(如:口令)来鉴别用户身份。TCB必须保护鉴别数据,该数据不仅包含验证用户身份的信息(例如:口令),也包含确定用户访问级与授权的信息。TCB要使用这些数据来鉴别用户的身份,并确保用户的访问级和授权高于或等于代表该用户的TCB外部主体的安全等级和授权。为了防止任何未经授权的用户对鉴别数据进行访问,TCB必须对鉴别数据进行保护。TCB需提供唯一标识每个操作系统用户的机制,并将用户的所有可审计行为与用户的标识联系起来。

  4.3.2.2 可信路径

  在对初始登录的用户进行鉴别时,TCB要在它和用户之间维持一条可信信道。经由该路径的通信必须由专门用户或TCB进行初始化。

  4.3.2.3 审计

  TCB必须能创建、维护由主体实施的操作(例如:读、删和改等)的审计记录。TCB要记录下列类型的事件:使用身份鉴别机制;客体的引用;客体的删除;安全管理员的操作;以及其它与安全有关的事件。对于每一个记录事件,审计记录要标识:事件发生的日期和时间、主体、事件类型及事件的成功和失败。对于客体的引用及删除事件,审计记录还要包含客体名称。安全管理员应能够根据个体身份或个体安全等级有选择地审计一个或多个用户的行为。由可信软件执行的单个操作,如果对用户是完全透明的,则不必进行审计。TCB必须保护审计数据,使得只有授权用户才能对它进行读访问。当发生与安全有关的事件时,TCB要做到:(1)检测事件的发生;(2)记录审计踪迹条目;(3)通知安全管理员。

  4.3.3 保证

  4.3.3.1 操作保证

  4.3.3.1.1 系统体系结构

  TCB要在封闭的域中运行,使其不受外部干扰或篡改(例如:代码或数据结构的修改)。由TCB控制的资源可以是系统中主体和客体的一个子集。TCB要隔离受保护资源,以满足访问控制和审计的需求。TCB要通过不同的地址空间来维护进程隔离。TCB的内部要构造成定义良好的独立模块。TCB的模块设计要保证使最小特权原理得以实现。TCB需完整定义其用户接口,并且标识TCB的所有元素。TCB要有效地利用相关硬件把关键保护元素和非关键保护元素分隔开。

  4.3.3.1.2 系统完整性

  要提供相应的硬件或软件,用于定期确认TCB中硬件或固件元素的正常运行。

  4.3.3.1.3 可信设施管理

  TCB能支持独立的操作员和管理员功能。

  4.3.3.1.4 可信恢复

  TCB要提供诸如转贮和日志文件等机制,以保证在系统失效或其它中断发生后的数据恢复过程中不会导致任何安全泄漏。

  4.3.3.1.5 数据完整性

  TCB要定义及验证完整性约束条件的功能,以维护客体及敏感标记的完整性。

  4.3.3.2 生命周期保证

  4.3.3.2.1 安全测试

  必须对产品文档所述的安全功能进行测试,以确认其功能与文档描述相一致。测试组应充分了解TCB的安全功能的实现,并彻底分析其测试设计文档、源码和目标码,其目标是:发现设计和实现中的所有缺陷,这些缺陷会引起TCB的外部主体能够实施违背强制或自主安全策略的某种操作;同时保证没有任何未授权主体能使TCB进入一种不能响应其它主体发起的通讯的状态。TCB应具有一定的抗渗透能力。必须消除所有被发现的缺陷,重新测试TCB要证实这些缺陷已不再存在且没有引入新的错误。

  4.3.3.2.2 设计规约和验证

  要证实TCB所支持的安全策略模型符合其安全策略,并在产品运行的整个生命周期中维护这一模型。

  4.3.3.2.3 配置管理

  在TCB的整个生命周期期间,即TCB的设计、开发和维护期间,要使用配置管理系统来控制对设计数据、实现文档、源代码、目标代码的运行版本、测试装置以及文档的任何更改。配置管理系统要保证与TCB当前版本相关联的所有文档和代码之间的一致映射。要提供从源代码生成TCB新版本的工具。要提供比较新版TCB和原版TCB的工具,只有在确定已按预期方案完成了修改后,才能启用新的TCB版本。

  4.3.4 文档

  4.3.4.1 安全特征用户指南

  安全特征用户指南要描述TCB提供的保护机制、使用指南、以及保护机制之间的配合方法,必须清楚地描述TCB中完全机制之间的交互作用。

  4.3.4.2 可信设施手册

  在可信设施手册中,必须明确描述TCB所支持的任何预定义用户或主体(例如:系统管理员),要对运行安全功能时必须受到控制的功能和特权提出警告,并清楚地描述上述受控功能和特权之间的关系。如果存在TCB的安全操作的配置选项,应该予以标识。

  要提供用于检查和维护审计文件的规程。对每类审计事件,还要提供详细的审计记录结构。

  手册必须描述与操作员和管理员有关的安全功能,包括修改用户安全特征的方法。手册还要提供以下信息:如何一致地、有效地使用产品安全功能,安全功能之间的相互作用,以及操作规程、警告和特权。

  4.3.4.3 测试文档

  测试文档要描述安全保护机制的测试计划、测试步骤及其功能测试结果。

  4.3.4.4 设计文档

  设计文档要描述产品的保护原理,并解释该原理在TCB中的实现方法,如果TCB由多个不同的模块组成,还应描述各模块间的接口。应该具有TCB所实施的安全策略模型的非形式化或形式化描述,并给出它足以实施该安全策略的理由。要标识特定的TCB保护机制,并给出一个解释以证明它们满足模型。

 

下载地址: 点击此处下载

广东省从化马属动物疫病区域化管理办法

广东省人民政府


第150号


  《广东省从化马属动物疫病区域化管理办法》已经2010年9月25日广东省人民政府第十一届61次常务会议通过,现予公布,自2010年11月1日起施行。



                         省  长  


                        二○一○年十月十四日





广东省从化马属动物疫病区域化管理办法


  第一条 为了规范从化马属动物疫病区域化管理,预防和控制马属动物疫病,保障公共卫生安全,根据《中华人民共和国动物防疫法》、《中华人民共和国进出境动植物检疫法》等有关法律、法规,结合本省实际,制定本办法。

  第二条 本办法适用于从化无规定马属动物疫病区、无规定马属动物疫病缓冲区以及马属动物运输生物安全通道(以下分别简称无疫区、缓冲区、生物安全通道)的管理,具体区划如下:

  (一)无疫区包括核心区和监控区,核心区为从化市良口镇热水村马术运动场周围半径5000米内的区域;监控区为除核心区以外的从化市行政区域。

  (二)缓冲区包括广州市白云区、萝岗区、花都区、增城市,清远市清城区和佛冈县,韶关市新丰县,惠州市龙门县等与从化市相邻的行政区域。

  (三)生物安全通道包括从化马术运动场到广州白云国际机场所经105国道、街北高速、机场高速和从化马术运动场到深圳皇岗口岸所经105国道、街北高速、北二环高速、广深高速的道路两侧各1200米范围内以及以广州白云国际机场为中心周围半径1200米内的区域。

  第三条 省人民政府兽医主管部门负责无疫区、缓冲区、生物安全通道的马属动物疫病的管理工作,并组织实施本办法。无疫区、缓冲区和生物安全通道所在地县级以上人民政府兽医主管部门负责相关区域马属动物疫病的具体管理工作。

  无疫区、缓冲区和生物安全通道所在地县级以上动物卫生监督机构负责相关区域马属动物疫病检疫以及其他有关动物防疫的监督管理执法工作。

  无疫区、缓冲区和生物安全通道所在地县级以上动物疫病预防控制机构负责相关区域马属动物疫病监测、诊断、流行病学调查以及其他预防、控制等技术工作。

  无疫区、缓冲区和生物安全通道所在地出入境检验检疫机构和县级以上人民政府公安、交通、工商、林业等相关部门根据各自职责,配合做好相关区域马属动物疫病管理工作。

  第四条 无疫区、缓冲区和生物安全通道所在地各级人民政府应当根据各地的工作目标和任务,做好相关区域马属动物疫病管理的组织、协调工作,建立马属动物疫病联防联控机制,并在技术、设施、设备、人员及经费等方面予以保障。

  任何单位和个人不得阻碍有关部门开展马属动物疫病的监控、检测、控制和扑灭工作。

  第五条 省人民政府兽医主管部门负责制订无疫区、缓冲区、生物安全通道动物疫病防控计划,经省人民政府批准后组织实施。

  广州市、深圳市、韶关市、惠州市、东莞市和清远市人民政府兽医主管部门根据动物疫病防控计划,对马属动物和猪、牛、羊及野生动物、虫媒实施动物疫病监测、控制、净化和管理。

  第六条 无疫区、缓冲区和生物安全通道内的马属动物实行登记管理制度,由所在地县级动物疫病预防控制机构实施登记并加施标识。

  无疫区、缓冲区和生物安全通道内的马属动物应当限制在所登记的区域内饲养;如需迁离饲养区域的,其所有人应当提前3日向当地动物卫生监督机构申报检疫。

  第七条 输入无疫区的马属动物和猪、牛、羊等其他易感动物、动物产品,应当符合无疫区有关动物以及动物产品的卫生标准。具体卫生标准由省人民政府兽医主管部门会同省动物卫生监督机构制定。

  第八条 向无疫区输入马属动物和猪、牛、羊等其他易感动物、动物产品的,货主除按照规定报经输出地动物卫生监督机构检疫外,还应当在起运前3日向省动物卫生监督机构申报检疫。

  马属动物和猪、牛、羊等其他易感动物经隔离检疫合格或者相关易感动物产品经检疫合格,并经省动物卫生监督机构开具检疫合格证明后,方可按照指定时间从指定通道进入无疫区。

  隔离检疫场所设置在缓冲区,具体位置由省动物卫生监督机构按照国家规定确定。

  第九条 本办法第八条规定的指定通道所在地县级以上人民政府兽医主管部门以及动物卫生监督机构应当在相关路段设置动物防疫监督检查站,实施动物防疫监督检查。

  指定通道应当按照规定设置交通警示标志和检查站指示标志,标志格式由省人民政府交通运输行政主管部门按照有关规定统一设计。

  第十条 无疫区、缓冲区和生物安全通道内的马属动物和猪、牛、羊等其他易感动物,应当按照规定实施相关疫病强制免疫,建立免疫档案和加施免疫标识。

  强制免疫的病种名录按照《中华人民共和国动物防疫法》的有关规定执行。

  第十一条 无疫区、缓冲区和生物安全通道所在地县级以上人民政府兽医主管部门,应当根据无疫区管理的要求,按照合理布局的原则,设置动物和动物产品运载工具的清洗、消毒场所以及动物和动物产品无害化处理场所。

  第十二条 无疫区、缓冲区和生物安全通道内从事动物疫情监测、检验检疫、疫病研究与诊疗以及动物饲养、屠宰、经营、隔离、运输等活动的单位和个人,发现马属动物和猪、牛、羊等其他易感动物感染或者疑似感染本办法第十五条规定的疫病,应当立即向当地人民政府兽医主管部门、动物卫生监督机构或者动物疫病预防控制机构报告,并采取隔离等控制措施,防止动物疫情扩散。

  接到动物疫情报告的单位,应当及时采取必要的控制处理措施,并按照国家规定的程序上报。

  第十三条 无疫区、缓冲区和生物安全通道所在地县级以上人民政府在规定马属动物疫病预防、控制、扑灭过程中因强制扑杀动物,销毁动物产品和相关物品或者实施规定动物疫病强制免疫、监测采样引起动物应激反应给单位或者个人造成损失的,应当按照国家有关规定给予补偿;国家尚未制定相关补偿标准的,由所在地地级以上市人民政府制定,并报省人民政府备案。

  无疫区、缓冲区和生物安全通道内经检疫不合格的动物、动物产品,货主应当在动物卫生监督机构监督下,按照国务院兽医主管部门的规定处理,处理费用由货主承担。

  第十四条 违反本办法,有下列行为之一的,按照以下规定处理:

  (一)违反本办法第四条第二款规定,阻碍有关部门开展马属动物疫病的监控、检测、控制和扑灭工作,违反《中华人民共和国治安管理处罚法》的,由公安机关依法处理;构成犯罪的,依法追究刑事责任。

  (二)违反本办法第六条规定,对马属动物不申报登记,或者未经检疫擅自迁离饲养区域的,由动物卫生监督机构责令改正,并处1000元以上5000元以下罚款。

  (三)违反本办法第七条规定,向无疫区输入不符合相关卫生标准的动物、动物产品的,由动物卫生监督机构责令迁出无疫区或者予以无害化处理,并处1000元以上5000元以下罚款;情节严重的,并处1万元以上3万元以下罚款。

  (四)违反本办法第八条规定,未经检疫,向无疫区输入相关动物、动物产品的,由动物卫生监督机构依照《中华人民共和国动物防疫法》第七十七条的规定,责令改正,并处1000元以上1万元以下罚款;情节严重的,并处1万元以上10万元以下罚款。

  第十五条 本办法所称马属动物,包括马、驴、骡等动物。

  本办法所称规定马属动物疫病,包括非洲马瘟、马传染性贫血、马鼻疽、马脑髓炎(东方和西方)、马梨浆虫病、日本脑炎、马病毒性动脉炎、马媾疫、伊氏锥虫病、水泡性口炎、马流行性感冒、尼帕病、西尼罗河热、亨德拉病等动物疫病。

  第十六条 本办法自2010年11月1日起施行。

  




从两大法系代理法对比
浅谈我国商事代理制度的完善

作者:杜鹃

Abstract
This text firstly clarifies the definition of commercial agency and points out the characteristics which make commercial agency different from civil agency. As a result, the law which is going to be established for the commercial agency must be the suitable one to these characteristics.And then the author contracts the Civil Law Legal Systerm’s theory of separation and the Common Law Legal System’s theory of identity and illustrates that the theory of undisclosed agency fits the characteristics of commercial agency nicely. Besides, now the direction of agency systerm’s develop is amalgamation of the two legal systerms. The actual state of affairs in China of the agency systerm is not reasonable. The author advances some suggestions to these problems.

中文提要
本文首先明确了作者对商事代理概念的理解,指出商事代理不同于民事代理而独具广泛、多变、快捷、流转等特点,所以,调整商事代理的法律规范也应该根据商事代理的特点作相应规定。之后,本文从比较两大法系代理制度理论基础,即区别论与等同论的异同入手,指出区别论的特点在于严格区分委任合同与代理权限,而等同论的特点在于将代理人的行为等同于被代理人的行为。经过比较,英美法系不存在大陆法上的直接代理与间接代理的划分,大陆法系则缺乏英美法系中的隐名代理和不公开被代理人身份的代理制度。从某种意义上来说,英美法系显名代理、隐名代理及不公开被代理人身份的代理的分类,更适合商事代理迅捷、高效的特点。尤其不公开被代理人身份的代理的有关制度是比较先进的。而目前的发展趋势,则是两大法系代理制度规定在逐渐相互借鉴相互融合。本文分析了我国商事代理制度的现状,指出了法律实践与制度的脱节。本文主张,从巩固理论基础——民法通则及相关法律制度、改良引入英美法系代理制度、注重理论与实践的结合几个方面来完善我国商事代理制度。

关键词
代理 商事代理 国际商事代理 区别论 等同论

代理制度作为两大法系所共有的一项法律制度,并非从来就有,而是随着商品经济的发展而逐步产生、发展起来的。商事代理的历史可以溯源到罗马法上的代理概念,由于“非其本人不得订立契约”的原则,罗马法的代理制度产生较晚,在帝政时期才初见端倪,且仅限于民事代理,但为后来的商事代理奠定了理论基础。中世纪时期,随着地中海沿岸城市商业的繁荣,商事代理得到广泛发展,产生了关于代理的商事习惯法。
现今的国际贸易中,大量的商事行为都是依靠代理完成的。商事行为可由本人实施,也可通过代理人实施。商事代理人制度可以扩张商事主体的商事能力,扩大其经营活动的半径,对促进专业化分工、节约交易成本具有重要作用,对商事法律制度有重大意义。现今的商事代理业务范围极广,种类繁多。就其范围而言,既发生于国内贸易之中,更活跃于国际贸易领域;既以有形商品为客体,又可以无形商品为对象。可以说是商品经济世界内,无所不在。就其种类而言,依是否享有独占权,可分为独家代理与非独家代理;依是否享有订约权,可分为缔约代理与媒介代理;依权利来源,可分为一级代理与次级代理;依业务内容,可分为销售代理、采购代理、运输代理、广告代理、保险代理、出口代理、进口代理、证券代理、投标代理、旅行代理、保付代理等等。 这些代理构成了国际贸易实践中重要的环节。
代理制度在两大法系中的社会功能是相似的,即通过代理行为建立被代理人与第三人之间的法律关系,从而扩大当事人意思自治的空间、促进社会分工的细化、加速市场经济流转、拓宽投资和贸易活动的范围。 然而,由于两大法系的文化背景、法律传统以及思维方式等方面的不同,其代理制度于存在共性的同时,也存在着相异的特性。在我国面临着经济、科技各方面与世界接轨的今天,对两大法系的代理制度进行研究探讨、取其所长,对发展我国的商事代理制度有着深远的意义。

一、两大法系代理理论与立法状况

(一) 大陆法系代理法的立法理论:区别论
大陆法系代理法的立法理论基础是区别论(the theory of separation)。所谓区别论,是指把委任合同(mandate)与代理权限(authority)严格区别开来。其中委任合同即作为内部关系的被代理人与代理人之间的合同,代理权限即作为外部关系的代理人与第三人缔约的权力。区别论的核心是,尽管被代理人在委任合同中对代理人的权限予以限制,但是该限制原则上并不产生对第三人的拘束力。
大陆法系在初期并未区分代理权限与委任合同。但德国学者拉邦德(Laband)《代理权授予及其基础关系的区别》一文于1886年发表后,以德国为代表的大陆法系开始区分代理权限与委任合同及其他基础关系。 例如,在大陆法系的荷兰,被代理人和代理人之间的内部关系与外部关系被严格区分开来。内部关系在协议代理的场合,通常表现为合同关系。如委任合同(contract of mandate)、商事代理合同或者雇佣合同等。内部关系的主要内容涉及被代理人和代理人之间的权利义务关系。内部关系通常受合同法或者劳动法调整,而不属于代理法调整范围。相反,代理法主要调整代理人所拥有的拘束被代理人的权力。
根据代理人以被代理人的名义,还是以自己的名义与第三人订立合同,大陆法系将代理分为直接代理和间接代理。如果代理人以代表的身份,以被代理人的名义与第三人签约,则为直接代理。直接代理人通称为商业代理人。如果代理人以自己的名义与第三人签约,但实际上是为了被代理人的利益,则为间接代理。间接代理人又称行纪人。
在直接代理的情况下,代理人对第三人不承担个人责任,此项责任由被代理人承担。但在间接代理的情况下,由于代理人是以自己的名义同第三人签订合同的;尽管该合同的签订完全是为了被代理人的利益,代理人对此也应承担个人责任,而被代理人并不承担责任,除非代理人将合同项下的权利和义务转让给被代理人。在国际商事实践中,直接代理人往往是小本经营的商人,他们从不以自己的名义对外签约,他们服务于一个或一个以上的被代理人,代理往往是他们唯一的职业。 直接代理人通过他们的劳动,为被代理人逐步积累起具有相当价值的财富——商业信誉。许多国家的经验表明。个人一旦有了商业信誉,往往就会终止代理活动,从而借助于代理人已经建立起来的信誉自己经营,以节省向代理人支付的佣金这项开支。而间接代理人一般资雄厚,他们不同于直接代理人,把自己的命运束缚在一个或几个委托人的身上。间接代理人以自己的名义从事大规模的商业活动和与第三人订立合同,并且除承揽代理业务外还经营其它业务 。间接代理入与被代理人订立代理合同时,可以就合同的各项条件,包括合同期限、合同终止时是否提前通知及通知期限等,作出约定。
区别论是概念法学家拉邦德为代表的法学家抽象创造出来的。大陆法系国家为了解决抽象的理论与法律和商事实践相结合的问题,在民法典中详细列举商业实践中发展起来的各种不同的代理形式,并尽可能准确地界定每类代理形式中代理权限的范围。每类代理形式的特点取决于被代理人与代理人之间的内部关系。相比较之下,英美法上将等同论作为代理的一般理论基础,有着强大的包容性,避免了与各种复杂的代理形式相协调的困难。

(二) 英美法系代理法的立法理论:等同论
与大陆法系不同,英美法系不区分代理与委任合同,其立法基础是被代理人与代理人的等同论(the theory of identity)。所谓等同论,是指代理人的行为等同于被代理人的行为,即“通过他人实施的行为视同自己亲自实施的行为”(qui facit per alterum facit per se)。 因为作为我的代理人(alter ego),他已经得到了相应授权,并在代理权限范围内实施法律行为。
英美法系的观点与大陆法系的区别论泾渭分明。据施米托夫考证,等同论与拉邦德理论问世之前出台的大陆法系民法典的主流观点“代理是委任的法律效果”是相同的,两者都源于教会法。然而,由于大陆法系接受了拉邦德的理论,使等同论的发展受到很大阻碍;这一理论便在没有明显阻碍的英美法系为人们所接受,并发展起来,避免了对不同代理形式进行繁琐的肢解和分割。因此,代理的一般概念可以作为实践中出现的各类代理关系的理论基础,甚至成为合伙法的理论基础。
英美法系所关心的并不是代理人究竟以代表的身份还是以本人的名义与第三人签约的形式。它的分类所涉及的是商事交易的实质内容,即由谁来承担代理人与第三人所签订合同的责任。
在国际商事交易实践上,从第三人的角度看。根据代理人在交易中是否披露本人的姓名和身份,英美法上的本人可以分为以下三种情况:
1、显名代理。
即代理人在交易中既公开被代理人的存在,又公开被代理人的姓名,在合同中注明代表被代理人签订本合同和被代理人姓名。
2、隐名代理。
即代理人在交易中公开被代理人的存在,但不公开被代理人的姓名,在合同中注明代表被代理人签订合同。
3、不公开被代理人身份的代理。
即代理人在交易中不公开被代理人的存在,以自己的名义作为合同当事人的一方,对外签订合同。
在上述三种分类中,前两种情况类似于大陆法系的直接代理,第三种情况类似于间接代理。
应该指出,第三种情况下被代理人的法律地位与前两种情况下有很大的不同。未公开身份的被代理人原则上与第三人没有直接的法律关系,他们之间的商事联系建立在两个连续性的合同基础上,即第三人与代理人之间的合同和代理人与本人之间的合同。 在这种情况下,尽管代理人以自己的名义与第三人签约,但却是为了被代理人的利益。按照英美法,不公开身份的被代理人一般也可以直接介入代理人与第三人的合同,向第三人提出请求权,如有必要,还可直接向第三人起诉 。假如不公开身份的被代理人行使了介入权,就应向第三人承担责任。另一方面,第三人如果发现了被代理人的存在,他对根据其与代理人签订的合同享有的请求权,既可以向代理人提出,也可以向被代理人提出,在代理人与被代理人之间作出选择 。第三人一旦在这两者之间作出明示选择,就不得再向另一方提出请求权。

(三) 区别论与等同论的不同之处
区别论强调代理三方(被代理人、代理人、第三人)关系中的两个不同侧面的区别,即被代理人与代理人之间的内部关系;被代理人和代理人与第三人之间的外部关系。代理权限的授予可以被视为一种由被代理人向第三人所作的单方法律行为;而且对内部关系的限制并不必然地限制外部关系。与英美法系相比,大陆法系更加强调代理关系对外的一面。因此,第三人有权信赖代理的表象,尽管第三人知道、或者有理由知道代理人事实上没有得到授权、或者被代理人限制了代理人的代理权限,被代理人也不得通过对代理人授权的限制来减轻自己的责任。可见,除非援引其他校正性理论,大陆法系的这种外在化思路容易导致过分地保护第三人。
与区别论不同,由于英美法系不强调区分被代理人与代理人之间的内部关系和代理人与第三人之间的外部关系,等同论将代理人行为等同于被代理人行为。代理人行为产生的结果与被代理人亲自所为相同。因此,代理人和被代理人之间谁和第三人交易并不重要。
等同论与区别论同样有着抽象理论的局限性,那就是无法完全覆盖实践中存在的各种纷繁复杂的代理形式。等同论与区别论相比较具有较强的灵活性,所以与代理实践的冲突程度较小。

(四) 大陆法上的间接代理与英美法上不公开被代理人身份的代理的异同
由于英美法系不存在大陆法上直接代理与间接代理的划分,大陆法系则缺乏英美法系中的隐名代理和不公开被代理人身份的代理制度。英美法系中身份和姓名都不公开的被代理人,能够依法直接介入代理人与第三人签订的合同当中,这在大陆法系的代理制度中是不可思议的。诚然,英美代理法虽然承认代理人有权在被代理人与第三人之间以自己的名义创设直接合同关系,但区分代理人是否以自己名义实施法律行为对于理顺不同情形下被代理人、代理人与第三人之间的利益关系还是十分重要的。例如,在不公开被代理人身份的代理中,代理人自己要对其所签合同负责;而在显明代理中,代理人一般要退出其所签合同,因而代理人与第三人之间不存在所谓“合同上的相互关系”。这也是英美代理法把代理分为显名代理、隐名代理和不公开被代理人身份的代理的原因所在。
英美法上不公开被代理人身份的代理与大陆法上的间接代理有相似之处,但两者的区别也是不容忽视的。按照大陆法,间接代理关系中的委托人不能直接介入代理人与第三人订立的合同。只有当代理人将其与第三人所订合同移转给委托人,委托人才能对第三人主张权力。而按照英美法,未公开身份的被代理人无须经过代理人的权利转移,就可以直接行使合同介入权、对第三人主张权力。而第三人一经发现被代理人的存在,也可以直接对被代理人行使请求权或诉权。即代理人同第三人所订立的合同,就能使身份不公开的被代理人直接与第三人发生法律关系,而不需要借助另外一个合同或者合同的转移。