20080202銀聯(lián)卡收單機(jī)構(gòu)賬戶信息安全管理標(biāo)準(zhǔn)(存儲(chǔ)版)
【正文】 數(shù)（如設(shè)備初始管理口令等）；，應(yīng)更改廠商設(shè)定的WEP key、SSID、管理口令等初始設(shè)置，并關(guān)閉SSID廣播；，應(yīng)基于SSH、VPN或SSL/TLS協(xié)議等加密通道對設(shè)備進(jìn)行管理；（如Web服務(wù)器、數(shù)據(jù)庫服務(wù)器應(yīng)該分別部署在不同的設(shè)備上），部署前應(yīng)禁用所有不必要的或不安全的服務(wù)和協(xié)議，并刪除不必要的功能，如腳本、驅(qū)動(dòng)程序或應(yīng)用。核心文件包括：防火墻配置文件、交換機(jī)配置文件及路由器配置文件等。密碼鍵盤應(yīng)具備“開機(jī)自毀”功能，在密碼鍵盤外殼被強(qiáng)行打開的情況下，自行銷毀設(shè)備內(nèi)的密鑰。（詳見《銀聯(lián)卡賬戶信息與交易數(shù)據(jù)安全管理規(guī)則》（銀聯(lián)風(fēng)管委〔2004〕8號））卡片主賬號（primary account number。DMZ（隔離區(qū)；demilitarized zone）設(shè)置在內(nèi)部網(wǎng)絡(luò)和外部公共網(wǎng)絡(luò)（如Internet）之間的緩沖帶，一般用于對外提供必須公開的服務(wù)器設(shè)施。— 23 —。雙因素驗(yàn)證（twofactor authentication）要求用戶出示兩種身份證明措施的驗(yàn)證方法：一是用戶所持有的身份證明（如智能卡），二是用戶所知道的身份證明（如密碼）。本標(biāo)準(zhǔn)自發(fā)布之日起實(shí)行。以上實(shí)施卡號屏蔽所隱去的數(shù)字均應(yīng)使用相同位數(shù)的同一特殊字符（*或）代替。每年定期或在系統(tǒng)發(fā)生重大變更以后，對系統(tǒng)進(jìn)行滲透性測試，適用情形包括但不限于：應(yīng)采用入侵檢測系統(tǒng)對網(wǎng)絡(luò)數(shù)據(jù)傳輸進(jìn)行實(shí)時(shí)監(jiān)控。建立防火墻的管理規(guī)范，指定專人負(fù)責(zé)維護(hù)防火墻的配置與管理，規(guī)范內(nèi)容應(yīng)包括： （包括無線網(wǎng)絡(luò)接連）；；（包括HTTP、SSL、SSH、VPN等）；，應(yīng)記錄使用該協(xié)議的原因和已采取的安全措施；；、路由器的規(guī)則配置。所有通信日志（報(bào)文）不得帶離現(xiàn)場。各收單機(jī)構(gòu)應(yīng)依照《銀聯(lián)卡密鑰安全管理規(guī)則》（銀聯(lián)風(fēng)管委〔2004〕2號），對用于加密保護(hù)個(gè)人標(biāo)識代碼的密鑰實(shí)施嚴(yán)格管理，基本要求如下：，使用硬件加密機(jī)生成密鑰；，必須經(jīng)上級密鑰加密保護(hù)，以密文形式傳輸；，不得在其他介質(zhì)中以明文形式顯示；；在“雙重控制”下，及時(shí)刪除或銷毀已失效、作廢或泄漏的密鑰。，系統(tǒng)日志記錄至少保存一年。系統(tǒng)登錄連續(xù)失敗達(dá)到5次的，應(yīng)暫時(shí)凍結(jié)該用戶賬號；經(jīng)系統(tǒng)管理員對用戶身份驗(yàn)證并通過后，再恢復(fù)其用戶狀態(tài)。，或在勞動(dòng)合同中設(shè)置保密條款。制度體系的管理范疇?wèi)?yīng)涵蓋本單位、合作第三方機(jī)構(gòu)、收單商戶，相關(guān)制度至少應(yīng)包括以下內(nèi)容： 制訂賬戶信息安全管理規(guī)定根據(jù)本標(biāo)準(zhǔn)中的各項(xiàng)規(guī)定，提出本單位賬戶信息安全管理工作原則，建立內(nèi)部組織管理架構(gòu)，明確賬戶信息安全管理總體要求，并根據(jù)本單位賬戶信息安全管理的實(shí)際情況修訂或調(diào)整有關(guān)制度?！按诺佬畔?、卡片驗(yàn)證碼、個(gè)人標(biāo)識代碼及卡片有效期”的適用自本標(biāo)準(zhǔn)頒布之日起5年內(nèi)為過渡期，各機(jī)構(gòu)應(yīng)在過渡期內(nèi)盡快達(dá)標(biāo)。銀聯(lián)風(fēng)管委〔2008〕1號 簽發(fā)人：閆強(qiáng)關(guān)于印發(fā)《銀聯(lián)卡收單機(jī)構(gòu)賬戶信息安全管理標(biāo)準(zhǔn)》的函各成員機(jī)構(gòu)：為加強(qiáng)銀聯(lián)卡收單網(wǎng)絡(luò)賬戶信息安全管理，進(jìn)一步明確和細(xì)化對收單業(yè)務(wù)各參與方賬戶信息安全管理要求，防范由收單網(wǎng)絡(luò)引發(fā)的賬戶信息
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1