非金融机构支付服务业务系统技术标准符合性和安全性检测规范

1非金融机构支付服务业务系统技术标准符合性和安全性检测规范（预付卡部分）中国人民银行科技司2010年12月11日2目录第一部分总则……………………………………………………………………………………3一、检测依据………………………………………………………………………………………3二、检测目标………………………………………………………………………………………3三、启动准则………………………………………………………………………………………4四、术语定义………………………………………………………………………………………4五、适用范围………………………………………………………………………………………5第二部分检测内容………………………………………………………………………………5一、功能测试………………………………………………………………………………………5二、风险监控测试…………………………………………………………………………………7三、性能测试………………………………………………………………………………………8四、安全性测试……………………………………………………………………………………8五、文档测试………………………………………………………………………………………15第三部分外包附加测试…………………………………………………………………………16附录一测试过程风险分析…………………………………………………………………………18附录二检测评判准则………………………………………………………………………………19一、问题等级分类…………………………………………………………………………………19二、检测结果判定…………………………………………………………………………………203第一部分总则一、检测依据1．ISO9564银行业务个人识别码的管理和安全2．GB/T17544-1998信息技术软件包质量要求和测试3．GB/T16260-2006软件工程产品质量4．GB/T18905-2002软件工程产品评价5．GB/T8567-2006计算机软件文档编制规范6．GB/T9385-2008计算机软件需求规格说明规范7．GB/T9386-2008计算机软件测试文档编制规范8．GB/T14394-2008计算机软件可靠性和可维护性管理9．GB/T15481-2000检测和校准实验室能力的通用要求10．GB/T19584-2004银行卡磁条信息格式和使用规范11．GB/T18336-2008信息技术安全技术信息技术安全性评估准则12．GB17859-1999计算机信息系统安全保护等级划分准则13．JR/T0052-2009银行卡卡片规范14．JR/T0001-2009银行卡销售点（POS）终端规范15．JR/T0025-2010中国金融集成电路（IC）卡规范16．《非金融机构支付服务管理办法》（中国人民银行令[2010]第2号）二、检测目标检测目标是在系统版本确定的基础上，对非金融机构支付服务（预付卡）4系统功能、风险监控、性能、安全性、文档和外包六项检测类进行测试，客观、公正评估系统是否符合中国人民银行对支付服务业务系统的技术标准符合性和安全性要求，保障我国支付业务设施的安全稳定运作。三、启动准则1．非金融机构提交的支付服务业务系统被测版本与生产版本一致；2．非金融机构支付服务业务系统内部测试进行完毕；3．非金融机构已将与检测机构共同制定的经双方签字的检测计划报中国人民银行备案；4．系统需求说明书、系统设计说明书、用户手册、安装手册等相关文档准备完毕；5．测试环境准备完毕，具体包括：（1）测试环境与生产环境一致或者基本一致，其中网络安全性、主机安全性、数据安全性和运维安全性测试尽量在生产环境下进行；（2）支付服务业务系统被测版本及其他相关外围系统和设备已完成部署并配置正确；（3）用于功能和性能测试的基础数据准备完毕；（4）测试用机到位，系统及软件安装完毕；（5）测试环境网络配置正确，连接通畅，可以满足测试需求。四、术语定义1．非金融机构支付服务：是指非金融机构在收付款人之间作为中介5机构提供下列部分或全部货币资金转移服务。（1）网络支付；（2）预付卡的发行与受理；（3）银行卡收单；（4）中国人民银行确定的其他支付服务。2．预付卡：是指以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。五、适用范围第三方检测机构按照本规范制定非金融机构支付服务业务系统技术标准符合性和安全性检测方案。非金融机构若将支付服务业务系统外包给第三方服务机构，则还应按照本规范要求进行附加测试。第二部分检测内容一、功能测试验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性，测试内容如下：编号检测项检测说明1账户管理客户账户管理(客户可以自行修改密码/个联机交易类必测项6编号检测项检测说明性化登记资料)2卡片管理(功能实现、流程及管理制度、落实程度)已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响制卡(功能实现、流程及管理制度)必测项卡片发行必测项卡片激活必测项充值卡片有效期延长换卡必测项补卡密码修改/密码重置卡片冻结/解冻卡片挂失/解挂锁卡/解锁退卡销卡3密钥和证书管理建议不申报认证中心公钥管理发卡机构密钥管理IC卡密钥管理脱机交易类必测项发卡机构证书管理IC卡证书管理14交易处理(功能实现、流程及管理制度、落实程度)已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响业务完整性和用户操作过程是测试重点联机消费联机交易类必测项联机消费撤销必测项（密码卡1不适用）联机余额查询必测项（密码卡不适用）退货必测项（密码卡不适用）冲正交易必测项（密码卡不适用）异常卡交易必测项现金圈存/圈提指定账户圈存指定账户圈存撤销非指定账户圈存非指定账户圈存撤销IC卡脚本通知圈提1密码卡：以密码形式发行的预付卡。7编号检测项检测说明脱机消费脱机交易类必测项脱机消费文件处理脱机交易类必测项脱机余额查询脱机交易类必测项交易查询必测项5资金结算(功能实现、流程及管理制度、落实程度)工作流程设计、管理制度、落实程度是测试重点客户结算6对账处理(功能实现、流程及管理制度、落实程度)功能实现是测试重点发送对账请求生成对账文件7差错处理(功能实现、流程及管理制度、落实程度)工作流程设计、管理制度、落实程度是测试重点长款/短款处理必测项8统计报表(功能实现、流程及管理制度、落实程度)用户分级、报表对管理需求的满足程度是测试重点业务类报表必测项运行管理类报表必测项二、风险监控测试验证支付服务业务系统的账户及交易风险，测试内容如下：编号检测项检测说明1联机交易风险管理(功能实现、流程及管理制度、落实圈存交易ARQC/ARPC验证联机报文MAC验证卡片状态控制单笔消费限额当日累计消费限额8程度)已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响业务完整性和用户操作过程是测试重点当日累计消费次数限制单笔充值金额最大值账户余额限额必测项大额消费商户交易监控密码错误情况下的交易请求非法卡号交易必测项卡片有效期检查无磁无密交易2脱机交易风险管理TAC验证脱机交易类必测项MAC验证脱机交易类必测项3终端风险管理(功能实现、流程及管理制度、落实程度)工作流程设计、管理制度、落实程度是测试重点POS机申请、参数设置、程序灌装、使用、更换、维护、撤消的管理POS机密钥和参数的安全管理控制移动POS机的安装终端安全检测报告密码键盘安全检测报告终端监控三、性能测试对支付服务业务系统性能测试的主要目的是验证系统是否满足未来两年业务运行的性能需求。测试内容包括以下三个方面：一是验证系统是否支持业务的多用户并发操作；二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除后系统自恢复能力；三是测试系统性能极限。9根据以上性能测试内容，并结合典型交易、复杂业务流程、频繁的用户操作、大数据量处理等原则，选取以下测试业务点：编号检测项检测说明1联机消费联机交易类必测项2联机余额查询必测项（密码卡不适用）3联机交易明细查询4批量发行5批量充值6批量作废7脱机消费文件处理脱机交易类必测项8日终批处理1-3项是测试重点四、安全性测试1．网络安全性测试对支付服务业务系统网络环境进行检测，考察经网络系统传输的数1据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。检测内容如下：编号检测项检测说明1结构安全核心网络设备、认证设备、可能影响业务的安全设备必须满足冗余部署要求；不同安全等级要求的服务器域必须按照不（1）网络冗余和备份（2）网络安全路由器（3）网络安全防火墙（4）网络拓扑结构（5）IP子网划分（6）QoS保证必测项10同子网划分，主要数据通道具备QOS保障2网络访问控制任何服务器不得直接暴露给远程客户，网络和系统边界具备相应的安全控制设备和机制，确保访问来源合法（（1）网络域安全隔离和限制（2）地址转换和绑定（3）内容过滤（4）访问控制（5）流量控制（6）会话控制（7）远程拨号访问控制和记录必测项3网络安全审计对主要网络、安全控制设备的管理用户实时分级，并至少进行系统级操作审计；具备独立的设备及工具对网络进行故障分析、预警（1）日志信息（2）网络系统故障分析（3）网络对象操作审计（4）日志权限和保护（5）审计工具必测项4边界完整性检查完整的网络边界、无计划外的本地终端或主机；远程的终端或主机必须通过网络边界的隔离安全设备控制渠道访问。（1）内外网非法连接阻断和定位必测项5网络入侵防范独立的网络入侵防范措施；日常工作流程及落实程度（1）网络ARP欺骗攻击（2）信息窃取（3）DOS/DDOS攻击（4）网络入侵防范机制必测项6恶意代码防范同上（1）恶意代码防范措施（2）定时更新必测项7网络设备防护网络设备管理帐户分级；登录审计；管理操作来源限制；安全隐患服务端口关闭；管理措施及落实程度（1）设备登录设置（2）设备登录口令安全性（3）登录地址限制（4）远程管理安全（5）设备用户设置策略（6）权限分离（7）最小化服务必测项8网络安全管理管理措施及落实程度（1）网络设备运维手册（2）定期补丁安装（3）漏洞扫描（4）网络数据传输加密必测项119网络相关人员安全管理管理措施及落实程度（1）网络安全管理人员配备（2）网络安全管理人员责任划分规则（3）网络安全关键岗位人员管理必测项2．主机安全性测试对支付服务业务系统主机安全防护进行检测，考察主机的安全控制能力。检测内容如下：编号检测项必测项1身份鉴别服务器管理帐户分级；管理操作来源限制及认证（1）系统与应用管理员用户设置（2）系统与应用管理员口令安全性（3）登录策略必测项2访问控制对非本安全域（同一功能子系统）之间的主机访问来源限制及认证（1）访问控制范围（2）主机信任关系（3）默认过期用户必测项3安全审计统一、完整的日志管理；管理用户系统级操作审计（1）日志信息（2）日志权限和保护（3）系统信息分析（4）用户操作审计必测项4系统保护定期的系统配置、日志备份管理及落实程度；系统基本资源监控及预警；主机系统配置定制标准及其优化落实（1）系统备份（2）故障恢复策略（3）磁盘空间安全（4）主机安全加固必测项5剩余信息保护日志备份管理及删除机制（1）过期信息、文档处理必测项6入侵防范系统优化（1）入侵防范记录（2）关闭服务和端口（3）最小安装原则必测项7恶意代码防范反病毒软件部署（1）防范软件安装部署（2）病毒库定时更新（3）防范软件统一管理必测项8资源控制不重点考评（1）连接控制（2）资源监控和预警必测项9主机安全管理管理制度及落实程度（1）主机运维手册（2）漏洞扫描（3）系统补丁（4）操作日志管理必测项10主机相关人员安全管理管理制度及落实程度（1）主机安全管理人员配备（2）主机安全管理人员责任划分规则必测项12（3）主机安全关键岗位