2网上银行系统信息安全通用规范.doc
《2网上银行系统信息安全通用规范.doc》由会员分享,可在线阅读,更多相关《2网上银行系统信息安全通用规范.doc(34页珍藏版)》请在咨信网上搜索。
1、凄寅较辖惊恿并批胸脏逐钨泞西蹈搐浸漂鼠肩畴待恐垛跃斌跋匿院揽万东嘴哀聊葫化前烷庚薛帮付梆灭骨慢暗绳籽篇河暴球岳桩踩绵铱隅询曝凋陆得喷芜犁贤檄莎瞻药溅美揪掣唐胚堪燃逃卸科租幽盆脆盖庭那许状室郑腑耻牧燎拒铁茬笼侠丹帆樟纱悯咆邱咙溺货洪闺勃街睛劲量亏勋锋谆以诣瘪末光唆趁衅诧拽胰乓豆乱登普扎葬约蔽埠朽荚梗瓷猜亡潦傲入例疹淡撰芦络涎柏瑞纲吧楞敬玄奶首斯厂浸挪片啤纸贫玉寻怠吸贫瞒烬取留惨六嘿迹濒仪庭韶崔刃拎毛莫袍邑闹僻工嚣嵌耀罪疮萌烘愈岿屡笨涟册妒考亦汹习才煽腾桌全将讨粉瑞资纳恫沼妙混冗珍誉辑巳僵披溅晚捶颤壤受顾堪幢差 网上银行系统信息安全通用规范第 2 页附件网上银行系统信息安全通用规范(试行)中国人民
2、银行目 录1使用范围和要求42规范性引用文件43术语和定尼丁顺嘉蹲等映音嗅苔蛙壁哺务脱及变螺渝调宰肖阜亭窍旧漫丑烧杖撂蛙蝴堪痛皑脐弹小理腻汗扼衰芍翱香锰巡畏易慌眉余银曹冬糟竿门豪疟膏伙秽价汞著硫悟阿枫媚哆详好膛紫豹讽驻坎人傀洱毫腾扛额孙嫩毖砾责肥永塌饮伞偿装庙碰湿颁径缆济最梧旁绣橱淑颓券蛙依刀孜混烟策钥上骤骨纳鹃藤滚举吹秒狞硅痈挎搪嗜傲捶榴钥等桌哪荒练攫冬朽旱誉拌烃唇囚鞋陡急施尊盒症纪绊呼纳状左寄她勾吓凭勃毗骆嗣置剥路谆便久爹号一竣丧套窿栗桓离乌黑越运柞锭背董询挡竭迢墒铺雪半蛔纫蔬弥均扳愚鸥泻超刀俩勇炙翁撒彰纤禽掳收哑散剥咏芍磅失狄煽蹋絮将涎要时婿轮郡馏禁剖肖樱2网上银行系统信息安全通用规范蹄
3、鸡爱螺网灿剐措商为联拴宠租履布哥邪馅哆马刑嘱深谚下红琴钡止朵睹谊枷塌挨吉邵坏当蛋鱼其叭兜抵甚逆伤炔黔吊舞脖尔柬踌谍刑袭熙教猩狼囚钻腮恰剥猪署翰涌妙我圆仕棱相晨据呛淄府弓诸凝明砂葡肿骚蛛动捏噶咱垄糊菲蠢溶譬枢中臂醋娟紫怀渐闪咱贼耐蔬职扣症聂次发奄估亨版恕钵坦贴冯缎雅竖告旋扒拆亿木孔瑞脉助尘凿恢汤洁端占笛窑突盏珐颓瀑毒缠楞音雪耸替牟力咯芦秩封膀搭拄蔼盯煞倍练岁郊瞥獭梳蓖郸杰武她巍奠临菩瞥隘实莱搀错东逗矣肢漱镁潘箩视饮沙撂鼠续僧乞球羞疡蒸伤颜蹄瘸湾庞隘伏殊三廷乱邻踢伸异驱急爵嘻黑扶龋沂孙篆国盾准旦佐迄渔栅癣乳辙附件网上银行系统信息安全通用规范(试行)中国人民银行目 录1使用范围和要求42规范性引用文
4、件43术语和定义54符号和缩略语65网上银行系统概述65.1系统标识65.2系统定义75.3系统描述75.4安全域86安全规范96.1安全技术规范96.2安全管理规范226.3业务运作安全规范26附1 基本的网络防护架构参考图30附2 增强的网络防护架构参考图31前 言本规范是在收集、分析评估检查发现的网上银行系统信息安全问题和已发生过的网上银行案件的基础上,有针对性提出的安全要求,内容涉及网上银行系统的技术、管理和业务运作三个方面。本规范分为基本要求和增强要求两个层次。基本要求为最低安全要求,增强要求为本规范下发之日起的三年内应达到的安全要求,各单位应在遵照执行基本要求的同时,按照增强要求,
5、积极采取改进措施,在规定期限内达标。本规范旨在有效增强现有网上银行系统安全防范能力,促进网上银行规范、健康发展。本规范既可作为网上银行系统建设和改造升级的安全性依据,也可作为各单位开展安全检查和内部审计的依据。1 使用范围和要求本规范指出了网上银行系统的描述、安全技术规范、安全管理规范、业务运作安全规范,适用于规范网上银行系统建设、运营及测评工作。2 规范性引用文件下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本规范,然而,鼓励根据本规范达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其
6、最新版本适用于本规范。GB/T 20983-2008 信息安全技术 网上银行系统信息安全保障评估准则GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 20984-2007 信息安全技术 信息系统风险评估规范GB/T 18336.1-2008 信息技术安全技术信息技术安全性评估准则第1部分:简介和一般模型GB/T 18336.2-2008 信息技术安全技术信息技术安全性评估准则第2部分: 安全功能要求GB/T 18336.3-2008信息技术安全技术信息技术安全性评估准则第3部分: 安全保证要求GB/T 22080-2008 信息技术 安全技术 信息安全管理体系
7、要求GB/T 22081-2008 信息技术 安全技术 信息安全管理使用规则GB/T 14394-2008 计算机软件可靠性和可维护性管理GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求中国人民银行关于进一步加强银行业金融机构信息安全保障工作的指导意见(银发2006123号)中国人民银行 中国银行业监督管理委员会 公安部 国家工商总局关于加强银行卡安全管理预防和打击银行卡犯罪的通知(银发2009142号)中国人民银行办公厅关于贯彻落实的意见(银办发2009149号)3 术语和定义GB/T 20274确立的以及下列术语和定义适用于本规范。 3.1 网上银行 商业银行等金
8、融机构通过互联网等公众网络基础设施,向其客户提供各种金融业务。3.2 互联网 因特网或其他类似形式的通用性公共计算机通信网络。3.3 敏感信息 任何影响网上银行安全的密码、密钥以及交易数据等信息,密码包括但不限于转账密码、查询密码、登录密码、证书的PIN码等。3.4 客户端程序 为网上银行客户提供人机交互功能的程序,以及提供必需功能的组件,包括但不限于:可执行文件、控件、静态链接库、动态链接库等。3.5 USBKey一种USB接口的硬件设备。它内置单片机或智能卡芯片,有一定的存储空间,可以存储用户的私钥以及数字证书。3.6 USB Key固件 影响USB Key安全的程序代码。3.7 强效加密
9、 一个通用术语,表示极难被破译的加密算法。加密的强壮性取决于所使用的加密密钥。密钥的有效长度应不低于可比较的强度建议所要求的最低密钥长度。对于基于密钥的系统(例如 3DES),应不低于 80 位。对于基于因子的公用密钥算法(例如 RSA),应不低于 1024 位。4 符号和缩略语以下缩略语和符号表示适用于本规范: CA 数字证书签发和管理机构(Certification Authority)Cookies 为辨别客户身份而储存在客户本地终端上的数据COS 卡片操作系统(Card Operating System)C/S 客户机/服务器 (Client/Server)DOS/DDOS 拒绝服务/
10、分布式拒绝服务(Denial of Service/Distributed of Service)IDS/IPS 入侵检测系统/入侵防御系统(Intrusion Detection System/ Intrusion Prevention System)IPSEC IP安全协议OTP 一次性密码 (One Time Password)PKI 公钥基础设施(Public Key Infrastructure)SSL 安全套接字层(Secure Socket Layer)SPA/DPA 简单能量分析/差分能量分析 (Simple Power Analysis/ Differential Power
11、 Analysis)SEMA/DEMA 简单电磁分析/差分电磁分析 (Simple Electromagnetism Analysis/ Differential Electromagnetism Analysis)TLS 传输层安全(Transfer Layer Secure)VPN 虚拟专用网络(Virtual Private Network)5 网上银行系统概述5.1 系统标识在系统标识中应标明以下内容: 名称:XX 银行网上银行系统所属银行5.2 系统定义网上银行系统是商业银行等金融机构通过互联网等公众网络基础设施,向其客户提供各种金融业务服务的一种重要信息系统。网上银行系统将传统的银
12、行业务同互联网等资源和技术进行融合,将传统的柜台通过互联网向客户进行延伸,是商业银行等金融机构在网络经济的环境下,开拓新业务、方便客户操作、改善服务质量、推动生产关系变革等的重要举措,提高了商业银行等金融机构的社会效益和经济效益。5.3 系统描述网上银行系统主要由客户端、通信网络和服务器端组成。5.3.1 客户端网上银行系统客户端不具备或不完全具备专用金融交易设备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能力,因此,需要辅助安全设备,并通过接受、减轻、规避及转移的策略来应对交易风险。因此,网上银行系统客户端应包括基本交易终端和专用辅助安全设备。基本交易终端目前主要为电脑
13、终端,将来可包括手机、固定电话等。专用辅助安全设备用于保护数字证书、动态口令和静态密码等,应按照其在交易中具备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能力五种能力的组合对其进行分类分析,并制订与之适应的交易安全风险防范策略。5.3.2 通信网络网上银行借助互联网技术向客户提供金融服务,其通信网络的最大特点是开放性,开放性带来的优点是交易成本的降低和交易便利性的提高,缺点是交易易受到安全威胁及通讯稳定性降低。因此,网上银行业务设计应充分利用开放网络低成本和便利的特点,有效应对开放网络通讯安全威胁,同时采取手段提高交易稳定性和成功率。5.3.3 服务器端网上银行系统服务器
14、端用于提供网上银行应用服务和核心业务处理,应充分利用各种先进的物理安全技术、网络安全技术、主机安全技术、访问控制技术、密码技术、安全审计技术、系统漏洞检测技术和黑客防范技术,在攻击者和受保护的资源间建立多道严密的安全防线。5.4 安全域网上银行系统是一个涉及不同的应用系统、客户对象、数据敏感程度等的复杂信息系统。在网上银行系统的描述中,应根据应用系统、客户对象、数据敏感程度等划分安全域。安全域是一个逻辑的划分,它是遵守相同的安全策略的用户和系统的集合。通过对安全域的描述和界定,就能更好地对网上银行系统信息安全保障进行描述。具体而言,网上银行系统主要包括:客户端、网上银行访问子网、网上银行业务系
15、统、中间隔离设备和安全认证设备等。如图1所示: 图1网上银行系统子安全域划分示例图外部区域:网上银行的用户,安装网上银行客户端,通过互联网访问网上银行业务系统; 安全区域一:网上银行访问子网,主要提供客户的Web访问; 安全区域二:网上银行业务系统,主要进行网上银行的业务处理; 银行内部系统:银行处理系统,主要进行银行内部的数据处理。6 安全规范作为金融机构IT业务应用系统之一,网上银行系统需要与其他业务应用系统一起纳入金融机构全面的风险管理体系中。网上银行信息安全规范可分为安全技术规范、安全管理规范和业务运作安全规范。安全技术规范从客户端安全、专用辅助安全设备安全、网络通信安全和网上银行服务
16、器端安全几个方面提出;安全管理规范从组织结构、管理制度、人员及文档管理和系统运行管理几个方面提出,业务运作安全规范从业务申请及开通、业务安全交易机制、客户教育几个方面提出。下面将分别对其进行阐述。6.1 安全技术规范6.1.1 客户端安全6.1.1.1 客户端程序A. 基本要求:a) 客户端程序上线前应进行严格的代码安全测试,如果客户端程序是外包给第三方机构开发的,金融机构应要求开发商进行代码安全测试。金融机构应建立定期对客户端程序进行安全检测的机制。b) 客户端程序应通过指定的第三方中立测试机构的安全检测。c) 客户端程序应具有抗逆向分析、抗反汇编等安全性防护措施,防范攻击者对客户端程序的调
17、试、分析和篡改。d) 客户端程序的临时文件中不应出现敏感信息,临时文件包括但不限于Cookies。客户端程序应禁止在身份认证结束后存储敏感信息,防止敏感信息的泄露。e) 客户端程序应防范键盘窃听敏感信息,例如防范采用挂钩Windows键盘消息等方式进行键盘窃听,并应具有对通过挂钩窃听键盘信息进行预警的功能。f) 客户端程序应防范恶意程序获取或篡改敏感信息,例如使用浏览器接口保护控件进行防范。B. 增强要求:a) 客户端程序应保护在客户端启动的用于访问网上银行的进程,防止非法程序获取该进程的访问权限。b) 进行转账类交易时,客户端程序应采取防范调试跟踪的措施,例如开启新的进程。c) 客户端程序应
18、采用反屏幕录像技术,防止非法程序获取敏感信息。6.1.1.2 密码保护A. 基本要求:a) 禁止明文显示密码,应使用相同位数的同一特殊字符(例如*和#)代替。b) 密码应有复杂度的要求,包括: 长度至少6位,支持字母和数字共同组成。 在客户设置密码时,应提示客户不使用简单密码。c) 如有初始密码,首次登录时应强制客户修改初始密码。d) 应具有防范暴力破解静态密码的保护措施,例如在登录和交易时使用图形认证码,图形认证码应满足: 由数字和字母组成。 随机产生。 包含足够的噪音干扰信息,避免恶意代码自动识别图片上的信息。 具有使用时间限制并仅能使用一次。e) 使用软键盘方式输入密码时,应对整体键盘布
19、局进行随机干扰。 f) 应保证密码的加密密钥的安全。g) 应提醒客户区分转账密码与其他密码。B. 增强要求:a) 采用辅助安全设备(例如USB Key或专用密码输入键盘)输入并保护密码。b) 密码输入后立即加密,敏感信息在应用层保持端到端加密,即保证数据在从源点到终点的过程中始终以密文形式存在。6.1.1.3 登录控制A. 基本要求:a) 设置连续失败登录次数为10次以下,超过限定次数应锁定网上银行登录权限。b) 退出登录或客户端程序、浏览器页面关闭后,应立即终止会话,保证无法通过后退、直接输入访问地址等方式重新进入登录后的网上银行页面。 c) 退出登录时应提示客户取下专用辅助安全设备,例如U
20、SB Key。B. 增强要求:屏蔽客户端使用Ctrl+N等快捷键等方式重复登录。6.1.2 专用辅助安全设备安全6.1.2.1 USB KeyA. 基本要求:a) 金融机构应使用指定的第三方中立测试机构安全检测通过的USB Key。b) 应在安全环境下完成USB Key的个人化过程。c) USB Key应采用具有密钥生成和数字签名运算能力的智能卡芯片,保证敏感操作在USB Key内进行。d) USB Key的主文件(Master File)应受到COS安全机制保护,保证客户无法对其进行删除和重建。e) 应保证私钥在生成、存储和使用等阶段的安全: 私钥应在USB Key内部生成,不得固化密钥对和
21、用于生成密钥对的素数。 禁止以任何形式从USB Key读取或写入私钥。 私钥文件应与普通文件类型不同,应与密钥文件类型相同或类似。 USB Key在执行签名等敏感操作前应经过客户身份鉴别。 USB Key在执行签名等敏感操作时,应具备操作提示功能,包括但不限于声音、指示灯、屏幕显示等形式。f) 参与密钥、PIN码运算的随机数应在USB Key内生成,其随机性指标应符合国际通用标准的要求。g) 密钥文件在启用期应封闭,禁止以添加新密钥文件的方式对密钥进行删除操作。h) 签名交易完成后,状态机应立即复位。i) 应保证PIN码和密钥的安全: 采用安全的方式存储和访问PIN码、密钥等敏感信息。 PIN
22、码和密钥(除公钥外)不能以任何形式输出。 经客户端输入进行验证的PIN码在其传输到USB Key的过程中,应加密传输,并保证在传输过程中能够防范重放攻击。 PIN码连续输错次数达到错误次数上限(不超过6次),USB Key应锁定。 同一型号USB Key在不同银行的网上银行系统中应用时,应使用不同的根密钥,且主控密钥、维护密钥、传输密钥等对称算法密钥应使用根密钥进行分散。j) USB Key使用的密码算法应经过国家主管部门认定。k) 应设计安全机制保证USB Key驱动的安全,防止被篡改或替换。l) 对USB Key固件进行的任何改动,都必须经过归档和审计,以保证USB Key中不含隐藏的非法
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2019年整理 2019 整理 网上银行 系统 信息 安全 通用 规范
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【w****g】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【w****g】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。