2网上银行系统信息安全通用规范.doc

附件网上银行系统信息安全通用规范(试行)中国人民银行目录1 使用范围和要求 42 规范性引用文件 43 术语和定义 54 符号和缩略语 65 网上银行系统概述 系统标识 系统定义 系统描述 安全域 86 安全规范 安全技术规范 安全管理规范 业务运作安全规范 26附1基本的网络防护架构参考图 30附2增强的网络防护架构参考图 31前言本规范是在收集、剖析评估检查发现网上银行系统信息安全问题与已发生过网上银行案件基础上,有针对性提出安全要求,内容涉及网上银行系统技术、管理与业务运作三个方面。本规范分为基本要求与增强要求两个层次。基本要求为最低安全要求,增强要求为本规范下发之日起三年内应达到安全要求,各单位应在遵照执行基本要求同时,按照增强要求,积极采取改进措施,在规定期限内达标。本规范旨在有效增强现有网上银行系统安全防范能力,促进网上银行规范、健康发展。本规范既可作为网上银行系统建设与改造升级安全性依据,也可作为各单位开展安全检查与内部审计依据。使用范围与要求本规范指出了网上银行系统描述、安全技术规范、安全管理规范、业务运作安全规范,适用于规范网上银行系统建设、运营及测评工作。规范性引用文件下列文件中条款通过本规范引用而成为本规范条款。凡是注日期引用文件,其随后所有修改单(不包括勘误内容)或修订版均不适用于本规范,然而,鼓励根据本规范达成协议各方研究是否可使用这些文件最新版本。凡是不注日期引用文件,其最新版本适用于本规范。GB/T20983-2008信息安全技术网上银行系统信息安全保障评估准则GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/T20984-2007信息安全技术信息系统风险评估规范GB/-2008信息技术安全技术信息技术安全性评估准则第1部分:简介与一般模型GB/-2008信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求GB/-2008信息技术安全技术信息技术安全性评估准则第3部分:安全保证要求GB/T22080-2008信息技术安全技术信息安全管理体系要求GB/T22081-2008信息技术安全技术信息安全管理使用规则GB/T14394-2008计算机软件可靠性与可维护性管理GB/T22239-2008信息安全技术信息系统安全等级保护基本要求《中国人民银行关于进一步加强银行业金融机构信息安全保障工作指导意见》(银发〔2006〕123号)《中国人民银行中国银行业监督管理委员会公安部国家工商总局关于加强银行卡安全管理预防与打击银行卡犯罪通知》(银发〔2009〕142号)《中国人民银行办公厅关于贯彻落实<中国人民银行中国银行业监督管理委员会公安部国家工商总局关于加强银行卡安全管理预防与打击银行卡犯罪通知>意见》(银办发〔2009〕149号)术语与定义GB/T20274确立以及下列术语与定义适用于本规范。,向其客户提供各种金融业务。。、密钥以及交易数据等信息,密码包括但不限于转账密码、查询密码、登录密码、证书PIN码等。,以及提供必需功能组件,包括但不限于:可执行文件、控件、静态链接库、动态链接库等。。它内置单片机或智能卡芯片,有一定存储空间,可以存储用户私钥以及数字证书。。,表示极难被破译加密算法。加密强壮性取决于所使用加密密钥。密钥有效长度应不低于可比较强度建议所要求最低密钥长度。对于基于密钥系统(例如3DES),应不低于80位。对于基于因子公用密钥算法(例如RSA),应不低于1024位。符号与缩略语以下缩略语与符号表示适用于本规范:CA数字证书签发与管理机构(CertificationAuthority)Cookies为辨别客户身份而储存在客户本地终端上数据COS卡片操作系统(CardOperatingSystem)C/S客户机/服务器(Client/Server)DOS/DDOS拒绝服务/分布式拒绝服务(DenialofService/DistributedofService)IDS/IPS入侵检测系统/入侵防御系统(IntrusionDetectionSystem/IntrusionPreventionSystem)IPSECIP安全协议OTP一次性密码(OneTimePassword)PKI公钥基础设施(PublicKeyInfrastruc