【正文】 . . . .. .附件網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范(試行)中國人民銀行目 錄1 使用范圍和要求……………………………………………42 規(guī)范性引用文件……………………………………………43 術(shù)語和定義…………………………………………………54 符號和縮略語………………………………………………65 網(wǎng)上銀行系統(tǒng)概述…………………………………………65．1 系統(tǒng)標(biāo)識…………………………………………65．2 系統(tǒng)定義…………………………………………75．3 系統(tǒng)描述…………………………………………75．4 安全域……………………………………………86 安全規(guī)范……………………………………………………96．1 安全技術(shù)規(guī)范……………………………………96．2 安全管理規(guī)范……………………………………226．3 業(yè)務(wù)運作安全規(guī)范………………………………26附l 基本的網(wǎng)絡(luò)防護(hù)架構(gòu)參考圖……………………………30附2 增強的網(wǎng)絡(luò)防護(hù)架構(gòu)參考圖……………………………31前 言 本規(guī)范是在收集、分析評估檢查發(fā)現(xiàn)的網(wǎng)上銀行系統(tǒng)信息安全問題和已發(fā)生過的網(wǎng)上銀行案件的基礎(chǔ)上，有針對性提出的安全要求，內(nèi)容涉及網(wǎng)上銀行系統(tǒng)的技術(shù)、管理和業(yè)務(wù)運作三個方面。 本規(guī)范分為基本要求和增強要求兩個層次。基本要求為最低安全要求，增強要求為本規(guī)范下發(fā)之日起的三年內(nèi)應(yīng)達(dá)到的安全要求，各單位應(yīng)在遵照執(zhí)行基本要求的同時，按照增強要求，積極采取改進(jìn)措施，在規(guī)定期限內(nèi)達(dá)標(biāo)。 本規(guī)范旨在有效增強現(xiàn)有網(wǎng)上銀行系統(tǒng)安全防范能力，促進(jìn)網(wǎng)上銀行規(guī)范、健康發(fā)展。本規(guī)范既可作為網(wǎng)上銀行系統(tǒng)建設(shè)和改造升級的安全性依據(jù)，也可作為各單位開展安全檢查和內(nèi)部審計的依據(jù)。1使用范圍和要求 本規(guī)范指出了網(wǎng)上銀行系統(tǒng)的描述、安全技術(shù)規(guī)范、安全管理規(guī)范、業(yè)務(wù)運作安全規(guī)范，適用于規(guī)范網(wǎng)上銀行系統(tǒng)建設(shè)、運營及測評工作。2規(guī)范性引用文件 下列文件中的條款通過本規(guī)范的引用而成為本規(guī)范的條款。凡是注日期的引用文件，其隨后所有的修改單(不包括勘誤的內(nèi)容)或修訂版均不適用于本規(guī)范，然而，鼓勵根據(jù)本規(guī)范達(dá)成協(xié)議的香方研究是否可使瑚這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本規(guī)范。 GB/39。IT209832008信息安全技術(shù)網(wǎng)上銀行系統(tǒng)信息安全保障評估準(zhǔn)則 GB/T222392008信息安令技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求 GB/T 209842007信息安全技術(shù)信息系統(tǒng)風(fēng)險評估規(guī)范 GB/T 1 ：簡介和一般模型 GB/T 1 ：安全功能要求 GB/T l ：安全保證要求 GB/T 220802008信息技術(shù)安全技術(shù)信息安全管理體系要求 GB/T 220812008信息技術(shù)安全技術(shù)信息安全管理使用規(guī)則 GB/T 143942008計算機軟件可靠性和可維護(hù)性管理 GB/T 222392008信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求《中圍人民銀行關(guān)丁進(jìn)一步加強銀行業(yè)金融機構(gòu)信息安全保障工作的指導(dǎo)意見》(銀發(fā)(2006) 123號)《中國人民銀行 中國銀行業(yè)監(jiān)督管理委員會 公安部 國家工商總局關(guān)于加強銀行卡安全管理預(yù)防和打擊銀行卡犯罪的通知》(銀發(fā)(2009) 142號)《中國人民銀行辦公廳關(guān)于貫徹落實中國人民銀行 中國銀行業(yè)監(jiān)督管理委員會 公安部 國家工商總局關(guān)于加強銀行卡安全管理預(yù)防和打擊銀行卡犯罪的通知的意見》（銀辦發(fā)〔2009〕 149號）3術(shù)語和定義 GB/T 20274確立的以及下列術(shù)語和定義適用于本規(guī)范。3．1網(wǎng)上銀行 商業(yè)銀行等金融機構(gòu)通過互聯(lián)網(wǎng)等公眾網(wǎng)絡(luò)基礎(chǔ)設(shè)施，向其客戶提供各種金融業(yè)務(wù)。3．2互聯(lián)網(wǎng) 因特網(wǎng)或其他類似形式的通用性公共計算機通信網(wǎng)絡(luò)。3．3敏感信息 任何影響網(wǎng)上銀行安全的密碼、密鑰以及交易數(shù)據(jù)等信息，密碼包括但不限于轉(zhuǎn)賬密碼、查詢密碼、登錄密碼、證書的PIN碼等。 3．4客戶端程序 為隨上銀行客戶提供人機交互功能的程序，以及提供必需功能的組件，包括但不限于：可執(zhí)行文件、控件、靜態(tài)鏈接庫、動態(tài)鏈接庫等。3．5 USB Key 一種USB接口的硬件設(shè)備。它內(nèi)置單片機或智能卡芯片，有一定的存儲空間，可以存儲用戶的私鑰以及數(shù)字證書。3．6 USB Key固件 影響USB Key安全的程序代碼。3．7強效加密 一個通用術(shù)語，表示極難被破譯的加密算法。加密的強壯性取決于所使用的加密密鑰。密鑰的有效長度應(yīng)不低于可比較的強度建議所要求的最低密鑰長度。對于基于密鑰的系統(tǒng)(例如3DES)，應(yīng)不低于80位。對于基于因子的公用密鑰算法(例如RSA)，應(yīng)不低于1024位。4符號和縮略語以下縮略語和符號表示適用于本規(guī)范：CA 數(shù)字證書簽發(fā)和管理機構(gòu)(Certification Authority)Cookies 為辨別客戶身份而儲存在客戶本地終端上的數(shù)據(jù)COS 卡片操作系統(tǒng)(Card Operating System)C/S 客戶機/服務(wù)器(Client/Server)DOS/DDOS 拒絕服務(wù)/分布式拒絕服務(wù)(Denial of Service／Distributed of Service)IDS/IPS 入侵檢測系統(tǒng)／入侵防御系統(tǒng)(Intrusion Detection System／Intrusion Prevention System)IPSEC IP安全協(xié)議OTP 一次性密碼(One Time Password)PKI 公鑰基礎(chǔ)設(shè)旅(Public Key Infrastructure)SSL 安全套接字層(Secure Socket Layer)SPA/DM 簡單能繁分析／差分能量分析(Simple Power Analysis／Differential Power Analysis)SEMA/DEMA 簡單電磁分析／差分電磁分析 (Simple Electromagnetism Analysis Differential Electromagnetism Analysis)TLS 傳輸層安全(Transfer Layer Secure)VPN 虛擬專用網(wǎng)絡(luò)(Virtual Private Network)5 網(wǎng)上銀行系統(tǒng)概述 系統(tǒng)標(biāo)識在系統(tǒng)標(biāo)識中應(yīng)標(biāo)明以下內(nèi)容：一名稱：XX銀行網(wǎng)上銀行系統(tǒng)一所屬銀行 系統(tǒng)定義 網(wǎng)上銀行系統(tǒng)是商業(yè)銀行等金融機構(gòu)通過互聯(lián)網(wǎng)等公眾網(wǎng)絡(luò)基礎(chǔ)設(shè)施，向其客戶提供各種金融業(yè)務(wù)服務(wù)的一種重要信息系統(tǒng)。網(wǎng)上銀行系統(tǒng)將傳統(tǒng)的銀行業(yè)務(wù)同互聯(lián)網(wǎng)等資源和技術(shù)進(jìn)行融合，將傳統(tǒng)的柜臺通過互聯(lián)網(wǎng)向客戶進(jìn)行延伸，是商業(yè)銀行等金融機構(gòu)在網(wǎng)絡(luò)經(jīng)濟的環(huán)境下，開拓新業(yè)務(wù)、方便客戶操作、改善服務(wù)質(zhì)量、推動生產(chǎn)關(guān)系變革等的重要舉措，提高了商業(yè)銀行等金融機構(gòu)的社會效益和經(jīng)濟效益。5．3 系統(tǒng)描述網(wǎng)上銀行系統(tǒng)主要由客戶端、通信網(wǎng)絡(luò)和服務(wù)器端組成。5． 網(wǎng)上銀行系統(tǒng)客戶端不具備或不完全具備專用金融交易設(shè)備的可信通訊能力、可信輸出能力、可信輸入能力、可信存儲能力和可信計算能力，因此，需要輔助安全設(shè)備，并通過接受、減輕、規(guī)避及轉(zhuǎn)移的策略來應(yīng)對交易風(fēng)險。因此，網(wǎng)上銀行系統(tǒng)客戶端應(yīng)包括基本交易終端和專用輔助安全設(shè)備。 基本交易終端目前主要為電腦終端，將來可包括手機、固定電話等。 專用輔助安全設(shè)備用于保護(hù)數(shù)字證書、動態(tài)口令和靜態(tài)密碼等，應(yīng)按照其在交易中具備的可信通訊能力、可信輸出能力、可信輸入能力、可信存儲能力和可信計算能力等五種能力的組合對其進(jìn)行分類分析，并制訂與之適應(yīng)的交易安全風(fēng)險防范策略。5。3．2通信網(wǎng)絡(luò) 網(wǎng)上銀行借助互聯(lián)網(wǎng)技術(shù)向客戶提供金融服務(wù)，其通信網(wǎng)絡(luò)的最大特點是開放性，開放性帶來的優(yōu)點是交易成本的降低和交易便利性的提高，缺點是交易易受到安全威脅及通訊穩(wěn)定性降低。因此，網(wǎng)上銀行業(yè)務(wù)設(shè)計應(yīng)充分利用開放網(wǎng)絡(luò)低成本和便利的特點，有效應(yīng)對開放網(wǎng)絡(luò)通訊安全威脅，同時采取手段提高交易穩(wěn)定性