搜索

[16252] 2020-12-26_企业的用户持卡数据保护实践

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-26_企业的用户持卡数据保护实践 企 业 的 用 户 持 卡 数 据 保 护 实 践 d a t a s e c   F r e e B u f   2 0 2 0 - 1 2 - 2 6 背 景 介 绍 背 景 介 绍 当 前 环 境 ， 随 着 监 管 机 构 对 数 据 保 护 检 查 力 度 日 趋 严 格 ， 用 户 数 据 保 护 意 识 日 趋 强 烈 ， 企 业 在 提 升 业 务 竞 争 力 的 同 时 ， 需 要 投 入 更 多 目 光 在 用 户 数 据 保 护 工 作 上 。 一 方 面 ， 通 过 提 升 数 据 保 护 水 平 ， 避 免 发 生 数 据 泄 露 事 件 ， 可 以 增 强 品 牌 信 誉 度 和 竞 争 力 ； 另 外 一 方 面 ， 保 护 用 户 数 据 也 是 企 业 作 为 平 台 管 理 者 应 尽 的 法 律 义 务 。 企 业 存 在 各 种 不 同 类 型 的 数 据 ， 其 中 用 户 持 卡 数 据 由 于 其 特 殊 的 金 融 属 性 ， 有 非 常 严 格 的 数 据 保 护 要 求 。 下 面 将 结 合 用 户 持 卡 数 据 保 护 要 求 ， 分 享 下 在 企 业 在 用 户 持 卡 数 据 保 护 实 践 中 的 一 些 经 验 。 用 户 持 卡 数 据 保 护 要 求 用 户 持 卡 数 据 保 护 要 求 两 大 认 证 标 准 两 大 认 证 标 准 关 于 持 卡 数 据 保 护 主 要 有 两 大 认 证 标 准 ， P C I   D S S 和   U P D S S 。 两 者 因 为 标 准 的 发 起 组 织 不 同 ， 因 此 适 用 的 持 卡 范 围 不 同 ， 但 是 两 者 对 持 卡 数 据 保 护 的 核 心 诉 求 是 一 致 的 。 下 面 简 单 介 绍 下 这 2 个 标 准 。 P C I   D S S （ 全 称 P a y m e n t   C a r d   I n d u s t r y   D a t a   S e c u r i t y   S t a n d a r d ） 是 由   P C I 安 全 标 准 委 员 会 的 创 始 成 员 （ v i s a 、 m a s t e r c a r d 、 A m e r i c a n   E x p r e s s 、 D i s c o v e r   F i n a n c i a l   S e r v i c e s 、 J C B ） 发 起 ， 因 而 其 适 用 范 围 主 要 针 对 该 五 大 卡 组 织 。 严 格 意 义 上 说 ， 银 联 不 属 于 P C I   D S S 认 证 范 围 ， 但 是 企 业 可 以 按 照 该 标 准 保 护 所 有 种 类 的 用 户 持 卡 数 据 。 U P D S S   是 由   中 国 银 联 风 险 管 理 委 员 会   2 0 1 8 年 通 过   的 《 银 联 卡 支 付 信 息 安 全 管 理 标 准 》 （ 银 联 风 管 委 [ 2 0 1 8 ] 3 号 ） ， 简 称 “ U P D S S ” 。 该 标 准 的 发 布 更 新 代 替 了 2 0 0 8 年 发 布 《 银 联 卡 收 单 机 构 账 户 信 息 安 全 管 理 标 准 》 （ 银 联 风 管 委 [ 2 0 0 8 ] 1 号 ） ， 简 称 “ A D S S ” 。 认 证 认 证 标 准 标 准 认 证 依 据 认 证 依 据 发 起 组 织 发 起 组 织 适 用 范 围 适 用 范 围 P C I D S S P a y m e n t   C a r d   I n d u s t r y   ( P C I )   D a t a   S e c u r i t y S t a n d a r d 《 支 付 卡 行 业   ( P C I )   数 据 安 全 标 准 》 P C I 安 全 标 准 委 员 会 （ 五 大 卡 组 织 v i s a 、 m a s t e r c a r d 、 A m e r i c a n   E x p r e s s 、 D i s c o v e r   F i n a n c i a l   S e r v i c e s 、 J C B ） 适 用 于 采 集 、 传 输 、 处 理 、 存 储 任 一 环 节 处 理 了 五 大 卡 组 织 的 支 付 卡 的 所 有 实 体 ， 包 括 商 户 、 处 理 商 、 收 单 机 构 、 发 卡 机 构 和 服 务 提 供 商 U P D S S 《 银 联 卡 支 付 信 息 安 全 管 理 标 准 》 中 国 银 联 风 险 管 理 委 员 会 适 用 于 采 集 、 传 输 、 处 理 、 存 储 任 一 环 节 处 理 了 银 联 卡 卡 号 的 业 务 的 所 有 实 体 P C I 标 准 族 常 见 的 标 准 还 有   支 付 应 用 数 据 安 全 标 准 P A   D S S （ P a y m e n t   A p p l i c a t i o n   D a t a S e c u r i t y   S t a n d a r d ） ， 该 标 准 是 面 向 支 付 软 件 供 应 商 所 设 计 的 安 全 要 求 ， 目 的 是 为 了 让 客 户 更 好 地 满 足 支 付 卡 产 业 数 据 安 全 标 准 （ P C I   D S S ： P a y m e n t   C a r d   I n d u s t r y   D a t a   S e c u r i t y S t a n d a r d ） 的 要 求 ， P A   D S S 适 用 于 第 三 方 支 付 应 用 ， 这 些 支 付 应 用 可 能 会 涉 及 到 授 权 、 清 算 结 算 过 程 中 对 持 卡 人 数 据 的 存 储 、 传 输 和 处 理 。 保 护 的 数 据 范 围 保 护 的 数 据 范 围 P C I   D S S   保 护 的 数 据 为 2 类 ： 持 卡 人 数 据 和 敏 感 验 证 数 据 ， 具 体 分 类 及 存 储 要 求 如 下 ：
引 用 于 支 付 卡 行 业 ( P C I )   数 据 安 全 标 准 ， 3 . 2 . 1   版 。 U P D S S 定 义 的 数 据 保 护 的 范 围 更 广 ， 其 定 义 的 支 付 信 息 不 仅 包 括 银 联 卡 上 记 录 的 账 户 信 息 ， 还 包 括 基 于 银 联 卡 开 展 支 付 业 务 的 网 络 支 付 账 户 信 息 、 身 份 鉴 别 信 息 、 支 付 业 务 涉 及 的 必 要 个 人 信 息 和 其 他 支 付 相 关 信 息 。 包 括 但 不 限 于 ： 信 息 类 别 信 息 类 别 示 例 示 例 银 联 卡 上 记 录 的 账 户 信 息 包 括 银 联 卡 卡 号 、 卡 片 有 效 期 、 磁 道 信 息 （ 含 芯 片 等 效 磁 道 信 息 ） 、 卡 片 验 证 码 （ C V N 及 C V N 2 ） 等 ， 以 及 基 于 上 述 信 息 产 生 的 支 付 标 记 。 基 于 银 联 卡 开 展 支 付 业 务 的 网 络 支 付 账 户 信 息 包 括 网 络 支 付 账 户 、 用 户 注 册 名 、 用 户 登 录 名 、 用 户 I D 等 ， 以 及 基 于 上 述 信 息 的 支 付 标 记 。 身 份 鉴 别 信 息 包 括 个 人 标 识 代 码 （ P I N ） ， 网 络 支 付 业 务 中 的 登 录 密 码 、 手 势 密 码 、 查 询 密 码 、 支 付 密 码 、 动 态 口 令 、 短 信 验 证 码 、 密 码 提 示 问 题 答 案 ， 指 纹 、 虹 膜 、 人 脸 等 个 人 生 物 特 征 信 息 ， 预 付 卡 支 付 密 码 等 。 支 付 业 务 涉 及 的 必 要 个 人 信 息 包 括 但 不 限 于 姓 名 、 身 份 证 和 护 照 等 证 件 类 识 别 标 识 、 手 机 号 码 、 固 定 电 话 号 码 、 电 子 邮 箱 、 工 作 及 家 庭 地 址 以 及 支 付 业 务 中 采 集 或 产 生 的 其 他 个 人 信 息 。 其 他 支 付 相 关 信 息 机 构 或 商 户 名 称 、 机 构 或 商 户 编 码 、 批 量 制 卡 文 件 、 加 密 密 钥 、 终 端 编 码 、 终 端 序 列 号 、 设 备 标 识 、 支 付 应 用 软 件 标 识 、 I P 地 址 、 交 易 位 置 信 息 等 。 U P D S S 按 照 支 付 信 息 对 完 成 支 付 交 易 和 信 息 主 体 资 金 安 全 的 影 响 程 度 ， 分 为 敏 感 支 付 信 息 、 重 要 支 付 信 息 和 一 般 支 付 信 息 。 敏 感 信 息 定 义 包 括 但 不 限 于 卡 片 有 效 期 、 磁 道 信 息 （ 含 芯 片 等 效 磁 道 信 息 ） 、 卡 片 验 证 码 （ C V N 及 C V N 2 ） 、 个 人 标 识 代 码 （ P I N ） 、 网 络 支 付 密 码 、 预 付 卡 支 付 密 码 以 及 用 于 身 份 鉴 别 的 个 人 生 物 特 征 信 息 。 与 P C I   D S S 相 比 ， U P D S S 定 义 的 信 息 范 围 更 广 ， 除 此 之 外 ， 二 者 还 有 一 个 明 显 差 异 在 于 对 卡 片 有 效 期 的 保 护 要 求 ， U P D S S 将 卡 片 有 效 期 定 义 敏 感 支 付 信 息 ， 和 卡 片 验 证 码 （ C V N 和 C V N 2 ） 统 一 类 别 ， 并 禁 止 非 必 要 的 存 储 。 标 准 标 准 能 否 存 储 能 否 存 储 加 密 要 求 加 密 要 求 P C I   D S S 可 以 存 储 不 与 卡 号 一 起 存 储 时 ， 无 需 加 密 U P D S S 不 可 存 储 — — 持 卡 数 据 保 护 措 施 持 卡 数 据 保 护 措 施 国 际 化 场 景 中 P C I   D S S 认 证 使 用 的 场 景 较 为 广 泛 ， 如 企 业 未 通 过 P C I   D S S 认 证 ， 部 分 业 务 甚 至 无 法 使 用 V I S A 等 国 际 卡 种 交 易 ， 因 此 对 于 有 国 际 化 业 务 且 处 理 境 外 支 付 卡 数 据 的 企 业 ， 可 考 虑 通 过 P C I   D S S 认 证 来 提 升 对 持 卡 人 数 据 的 保 护 能 力 。 随 着 银 联 业 务 的 发 展 ， 银 联 对 U P D S S 的 认 证 要 求 也 在 逐 步 加 强 。 下 面 将 以 P C I   D S S 标 准 对 持 卡 人 数 据 的 保 护 要 求 为 例 ， 分 享 下 企 业 对 保 护 持 卡 人 数 据 的 一 些 实 践 。 划 分 持 卡 人 数 据 区 域 （ 划 分 持 卡 人 数 据 区 域 （ P C I 区 域 ） 区 域 ） 划 分 单 独 的 持 卡 人 数 据 区 域 ， 将 与 个 人 持 卡 数 据 相 关 的 数 据 和 应 用 部 署 在 P C I 区 域 ， 对 进 入 P C I 区 域 的 应 用 进 行 审 批 ， 对 P C I 区 域 边 界 与 普 通 生 产 区 域 设 置 访 问 控 制 策 略 。 划 分 P C I 区 域 有 利 于 缩 小 持 卡 人 数 据 的 保 护 范 围 ， 降 低 持 卡 人 数 据 的 管 理 成 本 。 一 些 实 践 经 验 如 下 ： 1 . 设 置 P C I 区 域 ： 在 生 产 区 域 划 分 单 独 的 P C I 区 域 ， 在 P C I 区 域 边 界 部 署 防 火 墙 ， 设 置 P C I 区 域 出 入 向 的 访 问 控 制 策 略 ； 2 . 涉 卡 应 用 部 署 在 P C I 区 域 ： 在 采 集 、 传 输 、 处 理 、 存 储 任 一 环 节 处 理 了 完 整 卡 号 的 应 用 被 称 为 P C I 应 用 ， 均
需 要 部 署 在 P C I 区 域 ， 卡 号 加 密 存 储 在 P C I 区 域 ； 3 . 新 P C I 应 用 需 额 外 审 批 ： 新 应 用 上 线 时 对 应 用 进 行 打 标 “ 是 否 是 P C I 应 用 ” ， 如 选 择 “ 是 ” ， 需 要 经 过 额 外 审 批 。 持 持 卡 数 据 加 解 密 服 务 卡 数 据 加 解 密 服 务 P C I   D S S 要 求 卡 号 必 须 加 密 存 储 ， 且 密 钥 必 须 定 期 更 换 。 一 些 加 密 要 求 如 下 ： 1 . 加 密 机 制 可 以 采 用 加 密 机 或 者 采 用 商 业 算 法 （ 算 法 强 度 建 议 不 低 于 A E S 2 5 6 / R S A 2 0 4 8 / E C D S A 2 5 6 ） ； 2 . 自 研 算 法 建 议 采 用 2 层 密 钥 机 制 ， 数 据 密 钥 D E K 和 加 密 密 钥 K E K 。 其 中 数 据 密 钥 D E K 直 接 用 来 加 密 卡 数 据 ， 建 议 采 用 对 称 算 法 ， 加 密 密 钥 K E K 用 来 加 密 数 据 密 钥 ， 建 议 采 用 非 对 称 密 钥 ； 3 . 加 密 密 钥 和 数 据 密 钥 需 定 期 更 改 ， 同 时 加 密 密 钥 的 算 法 强 度 需 强 于 数 据 密 钥 的 算 法 强 度 ， D E K 建 议 的 更 改 频 次 是 每 个 月 更 换 一 次 ， K E K 建 议 至 少 半 年 或 者 1 年 更 换 一 次 ； 4 . 加 密 密 钥 和 数 据 密 钥 需 分 开 存 储 ， 需 保 证 没 有 人 可 以 同 时 获 取 2 种 密 钥 （ 即 使 数 据 库 运 维 人 员 也 需 要 职 责 分 离 ， 并 签 署 密 钥 保 管 协 议 ） ； 5 . 加 密 算 法 建 议 与 企 业 内 部 其 他 数 据 加 密 算 法 分 开 ， 严 格 控 制 卡 号 的 解 密 权 限 ； 6 . 加 解 密 服 务 的 调 用 需 严 格 审 批 ， 对 应 用 进 行 鉴 权 ， 对 调 用 I P 进 行 异 常 监 控 。 卡 数 据 的 使 用 卡 数 据 的 使 用 为 了 减 少 维 护 成 本 ， 采 取 多 种 方 式 减 少 完 整 卡 号 （ 包 括 可 逆 算 法 加 密 的 密 文 ） 的 流 通 范 围 。 可 采 用 的 方 式 如 下 ： 1 . 使 用 哈 希 的 数 据 保 护 措 施 ； 2 . 使 用 截 断 的 数 据 保 护 措 施 （ 卡 号 前 6 后 4 的 截 断 数 据 不 再 敏 感 ， 无 需 加 密 存 储 ） ； 3 . 令 牌 化 的 数 据 保 护 措 施 。 请 注 意 不 要 同 时 提 供 哈 希 密 文 和 截 断 数 据 ， 使 用 哈 希 存 储 时 也 建 议 加 S a l t 。 令 牌 化 的 数 据 保 护 措 施 ， 持 卡 人 数 据 进 入 流 程 时 ， 就 转 化 为 唯 一 可 识 别 的 卡 索 引 ， 在 整 个 业 务 流 程 的 流 转 过 程 中 ， 均 使 用 该 卡 索 引 标 识 。 只 有 必 须 使 用 明 文 卡 号 的 场 景 才 需 解 密 真 实 卡 号 ， 如 银 行 等 第 三 方 机 构 对 接 进 行 交 易 时 。 通 过 该 方 法 ， 卡 索 引 在 公 司 内 部 可 作 为 普 通 信 息 流 通 ， 不 受 P C I 标 准 的 限 制 ， 可 有 效 缩 小 完 整 卡 号 的 流 通 范 围 ， 减 少 管 理 成 本 。 总 结 总 结 通 过 P C I   D S S 合 规 仅 是 帮 助 企 业 建 立 有 效 的 持 卡 人 数 据 保 护 措 施 的 第 一 步 ， 更 重 要 的 工 作 在 于 持 续 的 管 理 维 护 ， 对 全 员 进 行 安 全 意 识 提 升 ， 对 卡 号 处 理 的 共 性 需 求 提 供 统 一 的 解 决 方 案 ， 如 提 供 统 一 的 支 付 、 返 现 、 退 赔 款 、 I V R 功 能 等 。 通 过 提 升 用 户 数 据 保 护 水 平 从 而 更 好 的 促 进 业 务 正 向 发 展 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理