搜索

[15096] 2020-03-05_探究2020版《网上银行系统信息安全通用规范》的新变化

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2020-03-05_探究2020版《网上银行系统信息安全通用规范》的新变化 探 究 2 0 2 0 版 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 的 新 变 化 张 海 仓   F r e e B u f   2 0 2 0 - 0 3 - 0 5 2 0 2 0 年 年 2 月 ， 中 国 人 民 银 行 发 布 了 新 版 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 月 ， 中 国 人 民 银 行 发 布 了 新 版 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 ( J R / T   0 0 6 8 - 2 0 2 0 ) （ 以 下 简 称 （ 以 下 简 称 “ 新 标 新 标 准 准 ” ） ， 对 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 ） ， 对 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 ( J R / T   0 0 6 8 - 2 0 1 2 ) 进 行 了 更 新 。 网 上 银 行 系 统 信 息 安 全 通 用 规 范 进 行 了 更 新 。 网 上 银 行 系 统 信 息 安 全 通 用 规 范 作 为 银 行 业 金 融 机 构 网 上 银 行 建 设 重 要 参 考 依 据 ， 随 着 技 术 的 发 展 与 进 步 ， 表 现 出 了 一 定 的 时 代 不 适 性 ， 人 民 作 为 银 行 业 金 融 机 构 网 上 银 行 建 设 重 要 参 考 依 据 ， 随 着 技 术 的 发 展 与 进 步 ， 表 现 出 了 一 定 的 时 代 不 适 性 ， 人 民 银 行 在 银 行 在 2 0 1 5 年 起 就 开 始 着 手 新 标 准 的 制 定 。 如 今 ， 尘 埃 落 定 ， 新 标 准 正 式 发 布 ， 这 部 时 隔 年 起 就 开 始 着 手 新 标 准 的 制 定 。 如 今 ， 尘 埃 落 定 ， 新 标 准 正 式 发 布 ， 这 部 时 隔 8 年 ， 经 历 过 多 次 修 年 ， 经 历 过 多 次 修 订 的 新 标 准 内 容 究 竟 发 生 了 哪 些 变 化 呢 ？ 又 有 哪 些 亮 点 ， 小 编 带 你 一 探 究 竟 。 订 的 新 标 准 内 容 究 竟 发 生 了 哪 些 变 化 呢 ？ 又 有 哪 些 亮 点 ， 小 编 带 你 一 探 究 竟 。 一 一 .   基 本 面 对 比 基 本 面 对 比 1 . 1   正 文 部 分 正 文 部 分 在 标 准 适 用 系 统 定 义 上 ， 新 标 准 删 除 了 旧 标 准 中 关 于 网 上 银 行 系 统 的 定 义 ， 采 用 “ 系 统 描 述 ” 的 方 式 对 网 上 银 行 系 统 进 行 了 描 述 性 界 定 ， 将 “ 银 企 直 联 ” 与 “ 手 机 银 行 、 微 信 银 行 、 直 销 银 行 、 小 微 企 业 银 行 ” 等 都 界 定 为 网 上 银 行 系 统 。 新 标 准 在 架 构 上 沿 用 了 旧 标 准 技 术 、 管 理 、 业 务 三 个 部 分 的 整 体 架 构 ， 规 范 要 求 同 样 分 为 基 本 要 求 和 增 强 要 求 。 细 节 上 将 “ 安 全 技 术 规 范 、 安 全 管 理 规 范 和 业 务 运 作 安 全 规 范 ” 变 更 为 “ 安 全 技 术 规 范 、 安 全 管 理 规 范 和 业 务 运 营 安 全 规 范 ” 。 整 个 标 准 整 体 的 要 求 项 从 原 来 的 2 1 3 项 基 本 要 求 和 3 5 项 增 强 要 求 变 为 2 4 0 项 基 本 要 求 和 2 5 项 增 强 要 求 。 虽 然 从 数 据 上 来 看 ， 要 求 项 的 数 量 变 化 不 大 ， 甚 至 增 强 要 求 还 有 所 减 少 。 但 是 新 标 准 移 除 了 旧 标 准 中 与 现 行 等 级 保 护 要 求 相 重 复 的 内 容 。 从 这 个 角 度 来 看 ， 新 标 准 的 金 融 行 业 的 特 性 更 强 ， 对 金 融 机 构 实 际 业 务 建 设 和 扩 展 的 指 导 性 更 强 。 1 . 1 . 1   安 全 技 术 规 范 安 全 技 术 规 范
从 整 体 上 来 看 ， 安 全 技 术 规 范 从 原 来 的 9 7 项 基 本 要 求 和 3 0 项 增 强 要 求 变 化 为 新 版 本 的 1 2 3 项 基 本 要 求 和 2 1 项 增 强 要 求 。 从 细 节 上 来 看 ， 这 部 分 新 标 准 在 条 目 上 也 有 所 调 整 和 增 加 ， 将 旧 标 准 中 的 “ 专 用 安 全 设 备 ” 调 整 为 “ 专 用 安 全 机 制 ” ， 标 题 也 根 据 现 代 用 户 习 惯 作 了 针 对 性 调 整 ， 删 除 了 旧 标 准 中 的 “ 动 态 密 码 卡 ” 这 种 已 经 退 出 历 史 舞 台 的 身 份 验 证 方 式 ， 新 加 入 了 “ 短 信 验 证 码 ” 这 种 近 年 普 遍 采 用 的 身 份 验 证 方 式 。 网 络 通 信 安 全 中 新 加 入 了 “ 通 信 链 路 ” 安 全 的 要 求 项 ， 对 于 经 过 第 三 方 服 务 器 时 的 数 据 安 全 性 提 出 了 要 求 ， 同 时 加 入 “ 与 外 部 系 统 连 接 安 全 ” ， 对 银 行 与 外 部 单 位 合 作 时 ， 系 统 间 连 接 的 安 全 性 提 出 要 求 。 其 中 调 整 最 大 的 当 属 对 “ 服 务 器 端 安 全 ” 内 容 的 调 整 ， 几 乎 进 行 了 重 构 ， 加 入 虚 拟 化 安 全 1 . 1 . 2   安 全 管 理 规 范 安 全 管 理 规 范
从 整 体 上 来 看 ， 安 全 管 理 规 范 从 原 来 的 6 3 项 基 本 要 求 和 1 项 增 强 要 求 变 化 为 新 标 准 的 4 7 项 基 本 要 求 和 1 项 增 强 要 求 。 这 种 减 少 的 主 要 原 因 是 加 入 了 “ 等 级 保 护 要 求 ” 这 项 内 容 ， 删 除 了 旧 标 准 中 与 现 行 等 级 保 护 相 重 复 的 内 容 ， 删 除 了 旧 标 准 中 的 “ 安 全 策 略 ” 等 ， 整 体 上 内 容 上 实 现 了 “ 形 减 实 增 ” 的 效 果 。 另 外 在 内 容 上 将 “ 业 务 连 续 性 与 灾 难 恢 复 ” “ 安 全 事 件 与 应 急 响 应 ” 从 旧 标 准 中 的 “ 系 统 运 维 管 理 ” 中 单 独 分 离 出 来 ， 形 成 独 立 的 要 求 项 ， 与 其 他 二 级 要 求 项 形 成 并 列 关 系 ， 体 现 出 其 的 重 要 性 ， 达 到 引 起 金 融 机 构 重 视 的 作 用 。 在 内 容 与 等 级 保 护 相 关 要 求 的 二 者 统 一 ， 避 免 了 金 融 机 构 在 进 行 网 上 银 行 建 设 中 出 现 多 标 准 遵 循 ， 顾 此 失 彼 的 问 题 ， 也 更 符 合 标 准 的 行 业 特 性 。 1 . 1 . 2   业 务 运 营 安 全 规 范 业 务 运 营 安 全 规 范 此 部 分 将 旧 标 准 名 称 “ 业 务 运 作 安 全 规 范 ” 调 整 为 “ 业 务 运 营 安 全 规 范 ” ， 标 准 项 中 加 入 了 “ 外 部 机 构 业 务 合 作 ” 相 关 的 内 容 。 将 “ 客 户 教 育 及 权 益 保 护 ” 调 整 为 “ 客 户 培 训 及 权 益 保 护 ” 。 整 体 上 标 准 规 范 项 也 从 的 肉 给 的 5 3 项 基 本 要 求 和 4 项 增 强 要 求 调 整 为 了 7 0 项 基 本 要 求 和 3 项 增 强 要 求 。 新 加 入 的 “ 外 部 机 构 业 务 合 作 ” 方 面 的 要 求 整 合 了 近 年 来 银 行 外 部 合 作 中 出 现 的 问 题 和 这 种 模 式 下 可 能 的 风 险 提 出 要 求 ， 是 标 准 内 容 的 一 大 亮 点 。
1 . 2   附 录 部 分 附 录 部 分 新 标 准 删 除 了 旧 标 准 附 录 中 的 基 本 的 网 络 防 护 架 构 参 考 图 、 增 强 的 网 络 防 护 架 构 参 考 图 和 物 理 安 全 （ 附 录   A 、 附 录 B 、 附 录   C   ） 。 旧 标 准 中 的 附 录 A ， B 一 度 成 为 银 行 业 金 融 机 构 网 上 银 行 的 “ 标 准 架 构 ” ， 但 随 着 云 计 算 等 新 技 术 的 出 现 ， 这 种 “ 标 准 架 构 ” 表 现 出 了 一 定 的 落 伍 性 ， 因 此 在 新 标 准 中 进 行 了 删 除 。 旧 标 准 中 的 附 录 C 主 要 内 容 是 物 理 安 全 相 关 的 内 容 ， 新 标 准 在 这 部 分 与 等 级 保 护 中 的 相 关 内 容 进 行 了 对 齐 ， 因 此 无 需 单 独 列 出 ， 进 行 了 删 除 。 二 二 .   新 标 准 的 一 些 亮 点 新 标 准 的 一 些 亮 点 2 . 1   亮 点 亮 点 1 ： 集 现 行 法 规 标 准 于 大 成 ， 内 容 更 加 体 系 化 ： 集 现 行 法 规 标 准 于 大 成 ， 内 容 更 加 体 系 化 新 标 准 很 好 的 解 决 了 旧 标 准 中 安 全 要 求 零 散 ， 体 系 性 不 足 的 问 题 。 将 近 年 来 的 法 律 法 规 ， 重 要 通 知 ， 监 管 要 求 纳 入 其 中 ， 共 同 组 成 一 套 网 上 银 行 安 全 规 范 的 体 系 ， 简 洁 明 了 ， 内 容 也 更 加 的 充 实 。 以 “ 银 行 业 务 申 请 及 开 通 ” 为 例 ， 新 标 准 直 接 引 入 “ 《 中 国 人 民 银 行 关 于 进 一 步 加 强 * 风 险 管 理 的 通 知 》 、 《 中 国 人 民 银 行 关 于 加 强 支 付 结 算 管 理 防 范 电 信 网 络 新 型 违 法 犯 罪 有 关 事 项 的 通 知 》 （ 银 发 〔 2 0 1 6 〕 2 6 1   号 ） 、 《 中 国 人 民 银 行 关 于 进 一 步 加 强 支 付 结 算 管 理 防 范 电 信 网 络 新 型 违 法 犯 罪 有 关 事 项 的 通 知 》 （ 银 发 〔 2 0 1 9 〕 8 5   号 ） ” 相 关 规 定 ， 对 账 户 实 名 制 、 账 户 分 类 管 理 提 出 要 求 ， 金 融 机 构 在 安 全 建 设 时 ， 可 以 很 好 的 保 持 与 历 史 建 设 成 果 的 统 一 性 ， 避 免 了 重 复 投 入 ， 二 次 建 设 ， 重 复 整 改 的 问 题 。 2 . 2   亮 点 亮 点 2 ： 加 入 等 级 保 护 内 容 ， 重 点 聚 焦 银 行 业 务 特 性 ： 加 入 等 级 保 护 内 容 ， 重 点 聚 焦 银 行 业 务 特 性 在 新 标 准 中 明 确 要 求 “ 网 上 银 行 系 统 应 按 照 网 络 安 全 等 级 保 护 第 三 级 安 全 要 求 进 行 建 设 与 运 维 管 理 ” 。 并 在 安 全 技 术 规 范 ， 安 全 管 理 规 范 中 通 用 内 容 保 持 了 等 级 保 护 的 高 度 一 致 性 ， 直 接 删 除 了 旧 标 准 中 与 等 级 保 护 重 复 的 内 容 。 在 加 密 算 法 的 使 用 要 求 上 ， 新 标 准 明 确 指 出 “ 在 进 行 支 付 敏 感 信 息 加 密 及 传 输 、 数 字 证 书 签 名 及 验 签 等 环 节 宜 支 持 并 优 先 使 用 S M 系 列 密 码 算 法 ” ， 并 配 合 其 他 安 全 手 段 做 到 网 上 银 行 在 使 用 和 交 易 过 程 中 具 备 五 种 可 信 能 力 ， 即 可 信 通 讯 能 力 、 可 信 输 入 能 力 、 可 信 输 出 能 力 、 可 信 存 储 能 力 和 可 信 计 算 能 力 。 同 时 ， 从 标 准 整 体 来 看 ， 通 过 引 入 等 级 保 护 要 求 ， 既 解 决 了 金 融 机 构 网 上 银 行 建 设 过 程 中 的 遵 循 不 便 ， 内 容 重 复 的 问 题 ， 又 使 得 新 标 准 更 加 聚 焦 银 行 网 上 业 务 个 性 化 安 全 需 求 ， 如 新 加 入 的 Ⅱ 、 Ⅲ 类 银 行 结 算 账 户 及 交 易 安 全 锁 相 关 要 求 等 内 容 ， 使 得 新 标 准 更 有 利 于 指 导 金 融 机 构 的 系 统 建 设 。 2 . 3   亮 点 亮 点 3 ： 融 入 多 年 网 银 建 设 经 验 ， 内 容 更 具 实 操 性 ： 融 入 多 年 网 银 建 设 经 验 ， 内 容 更 具 实 操 性 鉴 于 旧 标 准 设 计 时 ， 网 上 银 行 尚 且 处 于 探 索 成 长 阶 段 ， 业 务 形 式 和 客 户 量 都 高 等 历 史 原 因 ， 没 有 太 多 的 安 全 事 件 和 真 实 的 攻 防 经 验 参 考 。 伴 随 着 银 行 近 年 来 网 上 银 行 业 务 持 续 的 增 长 ， 移 动 互 联 网 的 不 断 普 及 ， 攻 防 对 抗 能 力 的 提 升 ， 网 上 银 行 在 客 户 金 融 生 活 中 角 色 的 提 升 ， 对 数 据 安 全 ， 业 务 连 续 性 的 要 求 也 更 加 苛 刻 。 新 标 准 及 时 融 入 了 近 年 来 比 较 典 型 的 攻 击 攻 防 对 抗 经 验 和 业 务 问 题 处 理 经 验 ， 在 安 全 机 制 ， 控 制 措 施 ， 业 务 监 控 多 方 面 进 行 了 细 化 ， 对 于 网 上 银 行 建 设 指 导 更 具 有 实 操 性 和 针 对 性 。 如 新 标 准 中 加 入 的 防 止 “ 多 路 市 电 输 入 均 来 自 于 同 一 个 变 电 站 ” 的 风 险 ， 要 求 银 行 及 时 “ 梳 理 并 维 护 关 键 的 设 备 部 件 、 备 件 清 单 ， 并 采 取 有 效 的 措 施 防 止 因 单 个 设 备 部 件 出 现 故 障 ，   导 致 冗 余 设 备 无 法 正 常 启 用 或 切 换 的 风 险 ” ， 都 是 基 于 近 年 来 一 些 真 实 的 业 务 中 断 案 例 总 结 出 的 实 操 性 经 验 。 2 . 4   亮 点 亮 点 4 ： 加 入 新 技 术 安 全 规 范 ， 内 容 更 符 合 当 前 业 务 现 状 ： 加 入 新 技 术 安 全 规 范 ， 内 容 更 符 合 当 前 业 务 现 状 旧 标 准 发 布 后 的 这 些 年 ， 是 互 联 网 技 术 和 银 行 互 联 网 业 务 突 飞 猛 进 的 几 年 ， 应 用 技 术 和 业 务 模 式 ， 银 行 的 服 务 对 象 等 都 发 生 了 很 大 的 变 化 。 新 标 准 中 也 紧 跟 时 代 步 伐 ， 将 新 的 业 务 模 式 ， 新 技 术 纳 入 可 能 存 在 的 安 全 隐 患 和 所 应 达 到 的 安 全 标 准 引 入 其 中 ， 体 现 出 很 好 的 与 时 俱 进 性 。 以 近 年 来 常 见 的 银 企 合 作 为 例 ， 以 往 大 家 认 为 这 种 专 网 服 务 形 态 相 对 安 全 ， 在 安 全 建 设 和 标 准 遵 循 上 都 没 有 得 到 足 够 的 重 视 。 在 新 标 准 中 将 其 界 定 为 网 上 银 行 系 统 ， 其 建 设 标 准 参 照 互 联 网 网 上 银 行 系 统 执 行 。 内 容 中 增 加 了 “ 网 上 银 行 系 统 与 外 部 系 统 连 接 ” 时 的 安 全 要 求 及 业 务 安 全 运 营 时 的 系 列 要 求 ， 有 效 杜 绝 了 以 往 网 上 银 行 安 全 建 设 中 的 盲 点 。
我 们 看 到 ， 新 标 准 中 也 加 入 了 条 码 支 付 ， 生 物 特 征 ， 短 信 验 证 码 ， 云 计 算 ， I p v 6 ， 虚 拟 化 安 全 等 内 容 的 安 全 标 准 规 范 ， 为 银 行 在 使 用 新 技 术 建 设 网 上 银 行 提 供 了 安 全 参 考 ， 标 准 的 价 值 和 指 导 意 义 也 因 此 而 得 到 了 加 强 。 三 三   新 标 准 建 设 过 程 中 的 重 点 难 点 新 标 准 建 设 过 程 中 的 重 点 难 点 3 . 1   安 全 技 术 规 范 安 全 技 术 规 范 3 . 1 . 1   客 户 端 安 全 客 户 端 安 全 在 客 户 端 安 全 建 设 过 程 中 ， 重 点 关 注 可 控 与 可 信 。 可 控 即 网 上 银 行 建 设 者 要 对 于 客 户 端 软 件 及 软 件 运 行 环 境 要 通 过 技 术 手 段 做 到 可 控 。 客 户 端 软 件 可 控 包 括 对 网 上 银 行 软 件 的 开 发 ， 下 载 ， 使 用 ， 升 级 ， 退 出 等 整 个 生 命 周 期 的 完 全 可 控 。 开 发 阶 段 做 到 对 开 发 过 程 中 所 使 用 的 系 统 组 件 、 第 三 方 组 件 、 S D K   存 在 的 安 全 风 险 等 完 全 可 控 。 下 载 阶 段 通 过 签 名 等 技 术 确 保 客 户 下 载 到 的 软 件 是 可 信 任 的 ， 完 整 的 版 本 ， 并 对 仿 冒 渠 道 进 行 监 测 与 处 置 。 使 用 阶 段 严 格 控 制 软 件 运 作 过 程 中 数 据 的 安 全 性 ， 防 止 被 恶 意 读 取 。 升 级 阶 段 除 常 规 用 户 的 主 动 升 级 完 ， 要 求 对 于 “ 当 某 一 版 本 的 网 上 银 行 被 证 明 存 在 重 大 安 全 隐 患 时 ” ， 建 设 者 具 有 技 术 手 段 能 够 “ 提 示 并 强 制 要 求 用 户 更 新 客 户 端 ” ， 或 采 取 必 要 措 施 对 用 户 进 行 警 示 甚 至 拒 绝 交 易 。 退 出 阶 段 应 保 证 运 行 或 残 留 数 据 的 可 控 清 除 。 软 件 运 行 环 境 的 可 控 包 括 对 软 件 安 装 环 境 ， 运 行 环 境 ， 退 出 环 境 等 软 件 运 行 全 周 期 的 安 全 可 控 。 这 种 可 控 可 能 需 要 金 融 机 构 建 立 相 应 的 监 测 手 段 ， 持 续 汇 总 和 对 比 历 史 数 据 ， 实 时 调 整 和 分 析 软 件 运 行 环 境 的 安 全 等 级 ， 根 据 监 测 到 的 安 全 等 级 ， 采 取 对 应 的 风 险 控 制 措 施 。 并 将 这 些 数 据 作 为 银 行 风 控 的 重 要 依 据 。 3 . 1 . 2   专 用 安 全 机 制 专 用 安 全 机 制 为 了 保 证 移 动 支 付 的 保 密 性 和 完 整 性 ， 专 用 安 全 机 制 在 交 易 过 程 中 扮 演 有 很 重 要 的 角 色 ， 因 此 标 准 对 于 网 上 银 行 的 专 用 安 全 机 制 的 可 信 性 也 提 出 了 明 确 要 求 。 这 部 分 是 金 融 机 构 在 未 来 建 设 过 程 中 的 重 点 。 根 据 《 移 动 终 端 支 付 可 信 环 境 技 术 规 范 》 （ J R / T 0 1 5 6 - 2 0 1 7 ） ， 移 动 终 端 支 付 可 信 环 境 包 括 R E E （ 富 执 行 环 境 ） ， T E E （ 可 信 执 行 环 境 ） 与 S E （ 安 全 单 元 ） 三 部 分 应 用 运 行 环 境 ， 并 共 存 于 同 一 终 端 上 ， 根 据 终 端 提 供 的 硬 件 隔 离 机 制 ， 分 别 拥 有 各 自 所 属 的 硬 件 资 源 。
根 据 金 融 机 构 业 务 特 性 ， 移 动 终 端 可 信 应 借 助 T E E 或 S E 技 术 来 实 现 对 于 身 份 验 证 ， 识 别 功 能 的 实 现 ， 防 止 验 证 过 程 被 恶 意 干 预 而 导 致 的 验 证 结 果 不 可 信 。 3 . 1 . 3   通 信 网 络 安 全 通 信 网 络 安 全 在 通 信 网 络 安 全 方 面 ， 金 融 机 构 重 点 关 注 通 信 身 份 的 真 实 性 ， 链 路 的 安 全 性 和 交 易 数 据 的 安 全 性 。 在 会 话 建 立 和 交 易 发 起 进 ， 应 采 用 有 效 的 双 向 身 份 验 证 方 式 进 行 客 户 端 对 服 务 器 ， 服 务 器 对 客 户 端 的 身 份 验 证 。 通 信 过 程 中 应 使 用 动 态 密 钥 加 密 方 式 ， 对 每 次 通 信 应 采 用 不 同 的 密 钥 对 通 信 链 路 进 行 加 密 ， 对 于 敏 感 数 据 ， 应 实 现 报 文 级 别 的 加 密 ， 防 止 数 据 的 被 窃 听 或 篡 改 。 3 . 1 . 4   服 务 器 端 安 全 服 务 器 端 安 全 从 整 体 来 看 ， 新 标 准 对 于 服 务 端 安 全 的 建 设 要 求 更 加 系 统 化 与 体 系 化 ， 在 应 对 非 法 攻 击 时 ， 可 对 其 “ 行 为 进 行 监 控 ， 对 其 终 端 特 征 （ 例 如 ， 终 端 标 识 、 软 硬 件 特 征 等 ） 、 网 络 特 征 （ 例 如 ， M A C 、 I P 、 W I F I   标 识 等 ） 、 用 户 特 征 （ 例 如 ， 账 户 标 识 、 手 机 号 等 ） 、 行 为 特 征 、 物 理 位 置 等 信 息 进 行 识 别 、 标 记 和 关 联 分 析 ” ， 能 够 与 “ 风 险 监 控 系 统 实 现 联 动 ， 及 时 采 取 封 禁 等 防 护 措 施 ” 。 在 细 节 上 和 具 体 操 作 来 看 ， 金 融 机 构 在 未 来 建 设 过 程 中 需 要 重 点 关 注 以 下 问 题 ： 1 . 关 注 服 务 器 端 安 全 的 可 能 内 部 风 险 。 内 部 用 户 安 全 意 识 不 足 或 管 理 技 术 手 段 的 缺 失 ， 很 有 可 能 让 服 务 安 全 防 护 筑 起 的 万 里 长 城 功 溃 一 匮 。 因 此 ， 新 标 准 中 对 内 部 用 户 管 理 ， 口 令 管 理 ， 无 线 网 络 管 理 ， 用 户 认 证 ， 网 络 接 入 等 内 容 进 行 了 详 细 的 要 求 。 内 部 治 理 是 金 融 机 构 过 去 几 年 网 络 安 全 建 设 的 很 大 一 块 短 板 ， 我 们 看 到 ， 近 年 来 W a n n a C r y   等 病 毒 的 暴 发 ， 内 部 员 工 参 与 的 数 据 倒 卖 ， 离 职 报 复 都 给 企 业 内 部 安 全 治 理 敲 响 了 警 钟 。 这 可 能 需 要 一 个 长 期 的 过 程 ， 但 金 融 机 构 绝 不 能 望 难 止 步 。 2 . 关 注 测 试 环 境 等 边 缘 系 统 的 安 全 性 建 设 ； 3 . 内 网 访 问 控 制 也 应 向 应 用 侧 防 护 方 向 转 变 。 我 们 看 到 大 多 数 金 融 机 构 内 网 隔 离 和 防 护 都 是 网 络 层 的 防 护 ， 对 于 应 用 层 的 不 是 很 关 注 ， 鉴 于 近 年 来 攻 防 对 抗 形 势 发 生 的 变 化 ， 新 标 准 对 这 些 内 容 进 了 要 求 ， 这 将 是 金 融 机 构 未 来 合 规 的 一 个 很 重 要 内 容 。 4 . 关 注 A P I 的 安 全 性 。 A P I 是 银 行 与 外 部 业 务 合 作 和 数 据 交 换 最 为 常 用 的 一 种 技 术 形 式 ， 也 是 个 性 化 最 强 ， 安 全 防 范 最 为 困 难 的 一 个 环 节 。 在 新 标 准 中 明 确 要 求 金 融 机 构 要 对 A P I 进 行 统 一 管 理 。 具 体 的 管 理 方 法 和 管 理 标 准 ， 金 融 机 构 可 以 参 考 ， 全 国 金 融 标 准 化 技 术 委 员 会 发 布 的 《 商 业 银 行 应 用 程 序 接 口 安 全 管 理 规 范 》 ， 该 《 规 范 》 规 定 了 商 业 银 行 应 用 程 序 接 口 的 类 型 与 安 全 级 别 、 安 全 设 计 、 安 全 部 署 、 安 全 集 成 、 安 全 运 维 、 服 务 终 止 与 系 统 下 线 、 安 全 管 理 等 安 全 技 术 与 安 全 保 障 要 求 。
5 . 加 强 防 钓 鱼 建 设 ， 保 障 用 户 网 上 银 行 使 用 的 安 全 性 。 防 钓 鱼 建 设 是 金 融 机 构 用 户 关 怀 很 重 要 的 一 个 方 面 ， 除 了 采 用 传 统 的 防 钓 鱼 监 测 这 种 被 动 的 模 式 进 行 钓 鱼 网 站 防 范 外 ， 金 融 机 构 也 可 以 采 用 客 户 个 性 化 界 面 ， 预 留 信 息 显 示 ， 验 证 等 方 式 来 帮 助 用 户 识 别 真 实 网 站 到 钓 鱼 网 站 。 6 . 关 注 服 务 器 后 台 数 据 安 全 。 如 数 据 库 访 问 的 审 计 ， 传 输 加 密 等 ， 数 据 的 备 份 等 。 3 . 1 . 5   与 外 部 系 统 连 接 安 全 与 外 部 系 统 连 接 安 全 外 部 系 统 连 接 安 全 是 新 标 准 中 最 新 加 入 的 内 容 ， 整 体 原 则 就 是 无 论 业 务 采 用 互 联 网 ， 还 是 专 网 开 展 ， 执 行 同 等 级 的 安 全 防 护 。 因 此 金 融 机 构 后 期 可 能 需 要 面 对 大 量 的 业 务 改 造 ， 实 现 专 业 业 务 的 传 输 加 密 ， 报 文 级 加 密 ， 报 文 完 整 性 检 验 等 标 准 要 求 的 功 能 ， 这 将 是 一 个 不 小 的 工 程 。 2 . 2   安 全 管 理 规 范 安 全 管 理 规 范 安 全 管 理 规 范 整 体 上 要 求 满 足 等 级 保 护 要 求 中 相 关 的 安 全 管 理 要 求 。 如 果 涉 及 到 扩 展 要 求 ， 也 应 按 对 应 要 求 内 容 进 行 满 足 。 2 . 2 . 1   安 全 管 理 机 构 安 全 管 理 机 构 新 标 准 中 关 于 安 全 管 理 机 构 的 要 求 基 本 与 旧 版 本 标 准 保 持 了 一 致 ， 这 使 得 金 融 机 构 在 安 全 管 理 方 面 不 需 要 做 大 的 调 整 ， 保 护 了 管 理 组 织 的 连 续 性 和 运 作 流 程 的 连 续 性 。 需 要 指 出 的 2 点 变 化 是 ： 1 . 新 标 准 中 在 “ 审 查 和 检 查 ” 要 求 项 中 取 消 了 “ 应 制 定 安 全 检 查 方 案 并 进 行 安 全 检 查 ， 形 成 安 全 检 查 汇 总 表 、 安 全 检 查 报 告 ， 并 将 安 全 检 查 报 告 上 报 人 民 银 行 等 金 融 机 构 主 管 部 门 ” 这 项 内 容 ； 2 . 新 标 准 中 要 求 金 融 机 构 制 定 明 确 的 处 罚 规 则 ， 对 “ 违 反 和 拒 不 执 行 安 全 管 理 措 施 规 定 行 为 ” 进 行 处 罚 。 2 . 2 . 2   安 全 管 理 制 度 安 全 管 理 制 度 在 安 全 管 理 制 度 建 设 方 面 ， 金 融 机 构 在 应 对 新 标 时 应 重 点 关 注 网 上 银 行 开 发 过 程 的 管 控 和 安 全 性 保 障 。 换 句 话 说 ， 金 融 机 构 应 一 改 过 往 先 开 发 业 务 功 能 ， 再 考 虑 安 全 防 护 的 开 发 模 式 ， “ 建 立 贯 穿 网 上 银 行 业 务 运 营 、 网 上 银 行 系 统 需 求 分 析 、 可 行 性 分 析 、 设 计 、 编 码 、 测 试 、 集 成 、 运 行 维 护 以 及 评 估 、 应 急 处 置 等 过 程 ， 并 涵 盖 安 全 制 度 、 安 全 规 范 、 安 全 操 作 规 程 和 操 作 记 录 手 册 等 方 面 的 信 息 安 全 管 理 制 度 体 系 ” 保 障 网 上 银 行 的 安 全 性 。 2 . 2 . 3   安 全 管 理 人 员 安 全 管 理 人 员 新 标 准 在 安 全 管 理 人 员 方 面 着 重 关 注 人 员 调 整 、 员 工 培 训 ， 外 来 人 员 管 理 ， 外 包 服 务 人 员 管 理 方 面 的 内 容 。 其 中 如 下 2 点 需 要 金 融 机 构 在 后 期 建 设 中 关 注 ： 1 . 明 确 要 求 对 于 关 键 岗 位 的 人 均 培 训 时 长 不 低 于 4 8 个 学 时 ， 并 对 学 习 效 果 进 行 考 查 ， 对 结 果 进 行 归 档 记 录 。 2 . 新 标 准 中 加 入 了 外 包 服 务 人 员 安 全 管 理 的 内 容 ， 要 求 同 外 包 服 务 服 务 人 员 签 署 保 密 协 议 ， 并 明 确 规 定 对 于 数 据 的 安 全 操 作 和 保 护 ， 确 保 数 据 安 全 。 2 . 2 . 4   安 全 建 设 管 理 安 全 建 设 管 理 安 全 建 设 整 体 上 分 为 两 大 类 ， 一 类 是 产 品 采 购 ， 一 类 是 软 件 开 发 ； 无 论 哪 种 类 型 的 建 设 ， 都 需 要 金 融 机 构 提 前 做 好 方 案 设 计 与 评 审 ， 并 在 得 到 明 确 的 授 权 和 批 准 后 开 始 建 设 。 对 于 产 品 采 购 ， 金 融 机 构 应 建 立 产 品 候 选 范 围 ， 并 定 期 进 行 候 选 名 单 更 新 。 软 件 开 发 类 产 品 又 分 为 自 行 开 发 和 外 包 开 发 ， 自 行 开 发 时 应 关 注 代 码 缺 陷 ， 安 全 漏 洞 ， 后 门 程 序 等 内 容 ， 并 要 求 在 投 产 上 线 前 进 行 代 码 复 审 和 安 全 评 测 。 外 包 开 发 重 点 关 注 外 包 资 源 风 险 和 外 包 人 员 带 来 的 风 险 。 同 时 ， 明 确 强 调 管 理 责
任 不 得 外 包 。 2 . 2 . 5   安 全 运 维 管 理 安 全 运 维 管 理 安 全 运 维 管 理 中 的 一 些 关 注 点 ： 1 . 关 注 机 房 设 备 易 损 ， 易 失 效 设 备 和 部 件 的 维 护 与 保 养 。 2 . 对 文 档 化 资 产 进 行 有 效 期 管 理 ， 避 免 只 存 不 销 的 现 象 。 新 标 准 中 要 求 金 融 机 构 进 行 文 档 化 资 产 的 保 留 期 管 理 ， 要 求 金 融 机 构 对 于 超 过 保 密 期 限 的 文 档 应 当 降 低 保 密 级 别 ， 对 已 经 失 效 的 文 档 应 定 期 清 理 。 当 然 ， 在 清 理 过 程 中 应 当 严 格 执 行 文 档 管 理 制 度 中 的 销 毁 和 监 销 规 定 （ 如 若 没 有 ， 应 当 建 立 与 补 充 ） 。 3 . 采 用 主 动 监 测 或 检 索 手 段 ， 发 现 泄 露 文 件 或 代 码 。 数 据 保 护 很 难 做 到 滴 水 不 漏 ， 更 常 见 的 是 百 密 一 疏 。 因 此 ， 新 标 准 中 强 调 金 融 机 构 应 采 用 主 动 监 测 或 检 索 手 段 ， 对 敏 感 文 件 或 代 码 的 泄 露 进 行 发 现 ， 防 止 “ 只 有 自 己 不 知 道 自 己 信 息 泄 露 ” 的 囧 境 发 生 。 4 . 加 强 运 维 过 程 中 特 权 账 号 与 特 权 设 备 的 管 理 。 高 权 限 终 端 或 高 权 限 用 户 的 失 控 ， 很 有 可 能 给 金 融 机 构 数 据 安 全 造 成 不 可 挽 回 的 损 失 ， 新 标 准 明 确 要 求 “ 应 加 强 对 高 权 限 终 端 的 管 理 措 施 ” 5 . 新 标 准 统 一 将 运 维 日 志 保 存 时 间 调 整 为 6 个 月 ， 遵 从 《 网 络 安 全 法 》 要 求 。 2 . 2 . 6   业 务 连 续 性 与 灾 难 恢 复 业 务 连 续 性 与 灾 难 恢 复 这 部 分 内 容 是 从 旧 标 准 系 统 运 维 管 理 中 分 离 而 来 ， 从 标 准 架 构 调 整 可 以 看 得 出 对 这 部 分 内 容 的 重 视 或 强 调 意 图 。 从 的 原 来 的 2 个 控 制 项 ， 1 2 个 控 制 点 扩 展 为 现 在 的 2 个 控 制 项 ， 1 5 个 控 制 点 。 这 部 分 新 增 内 容 多 与 近 年 业 金 融 机 构 实 际 管 理 经 验 密 切 相 关 ， 非 常 具 有 针 对 性 。 金 融 机 构 建 设 过 程 中 的 对 以 下 内 容 应 给 予 关 注 ： 1 . 加 强 员 工 业 务 连 续 性 方 面 的 培 训 ， 并 制 定 相 应 的 考 核 标 准 。 2 . 关 注 机 房 供 电 与 通 信 链 路 的 冗 余 性 。 对 于 核 心 机 房 ， 应 确 保 多 路 市 电 来 自 于 不 同 的 变 电 站 。 主 通 信 链 路 也 应 采 用 不 同 运 营 商 和 不 同 的 物 理 路 径 。 3 . 梳 理 并 维 护 关 键 的 设 备 部 件 、 备 件 清 单 ， 保 证 业 务 连 续 策 略 的 有 效 性 。 备 品 备 件 具 有 长 期 不 用 ， 维 护 频 率 低 等 特 点 ， 如 果 因 此 缺 乏 维 护 ， 在 关 键 时 刻 就 有 可 能 会 掉 链 子 。 2 . 3   业 务 运 营 安 全 规 范 业 务 运 营 安 全 规 范 业 务 运 营 安 全 规 范 内 容 中 融 入 了 大 量 的 近 年 来 发 布 的 法 律 法 规 ， 监 管 机 构 通 知 要 求 等 内 容 ， 如 《 中 国 人 民 银 行 关 于 进 一 步 加 强 * 风 险 管 理 的 通 知 》 、 《 中 国 人 民 银 行 关 于 加 强 支 付 结 算 管 理 防 范 电 信 网 络 新 型 违 法 犯 罪 有 关 事 项 的 通 知 》 （ 银 发 〔 2 0 1 6 〕 2 6 1   号 ） 、 《 中 国 人 民 银 行 关 于 进 一 步 加 强 支 付 结 算 管 理 防 范 电 信 网 络 新 型 违 法 犯 罪 有 关 事 项 的 通 知 》 （ 银 发 〔 2 0 1 9 〕 8 5   号 ） 等 等 。 在 建 设 过 程 中 又 不 能 很 好 的 通 过 安 全 产 品 采 购 或 技 术 手 段 进 行 防 护 ， 更 多 的 需 要 金 融 机 构 对 业 务 办 理 流 程 ， 工 作 机 制 等 进 行 调 整 。 新 标 准 中 融 入 的 内 容 大 多 与 客 户 或 金 融 机 构 财 产 安 全 息 息 相 关 ， 建 议 金 融 机 构 组 织 业 务 与 科 技 人 员 对 这 部 分 内 容 进 行 认 真 研 讨 。 另 外 也 看 到 新 标 准 中 加 入 了 对 “ 外 部 机 构 业 务 合 作 ” 时 的 运 营 安 全 规 范 ， 防 止 合 作 伙 伴 的 安 全 风 险 蔓 延 至 金 融 机 构 中 。 对 于 这 部 分 内 容 的 建 设 也 是 金 融 机 构 在 未 来 业 务 安 全 运 营 方 面 建 设 的 一 项 重 要 内 容 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： h a i c z h ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理