非金融机构支付服务业务系统技术标准符合性和安全性检测规范Word下载.doc

非金融机构支付服务业务系统技术标准符合性和安全性检测规范Word下载.doc

《非金融机构支付服务业务系统技术标准符合性和安全性检测规范Word下载.doc》由会员分享，可在线阅读，更多相关《非金融机构支付服务业务系统技术标准符合性和安全性检测规范Word下载.doc（24页珍藏版）》请在冰豆网上搜索。

二、检测结果判定…………………………………………………………………………………20

第一部分总则

一、检测依据

1．ISO9564银行业务个人识别码的管理和安全

2．GB/T17544-1998信息技术软件包质量要求和测试

3．GB/T16260-2006软件工程产品质量

4．GB/T18905-2002软件工程产品评价

5．GB/T8567-2006计算机软件文档编制规范

6．GB/T9385-2008计算机软件需求规格说明规范

7．GB/T9386-2008计算机软件测试文档编制规范

8．GB/T14394-2008计算机软件可靠性和可维护性管理

9．GB/T15481-2000检测和校准实验室能力的通用要求

10．GB/T19584-2004银行卡磁条信息格式和使用规范

11．GB/T18336-2008信息技术安全技术信息技术安全性评估准则

12．GB17859-1999计算机信息系统安全保护等级划分准则

13．JR/T0052-2009银行卡卡片规范

14．JR/T0001-2009银行卡销售点（POS）终端规范

15．JR/T0025-2010中国金融集成电路（IC）卡规范

16．《非金融机构支付服务管理办法》（中国人民银行令[2010]第2号）

二、检测目标

检测目标是在系统版本确定的基础上，对非金融机构支付服务（预付卡）系统功能、风险监控、性能、安全性、文档和外包六项检测类进行测试，客观、公正评估系统是否符合中国人民银行对支付服务业务系统的技术标准符合性和安全性要求，保障我国支付业务设施的安全稳定运作。

三、启动准则

1．非金融机构提交的支付服务业务系统被测版本与生产版本一致；

2．非金融机构支付服务业务系统内部测试进行完毕；

3．非金融机构已将与检测机构共同制定的经双方签字的检测计划报中国人民银行备案；

4．系统需求说明书、系统设计说明书、用户手册、安装手册等相关文档准备完毕；

5．测试环境准备完毕，具体包括：

（1）测试环境与生产环境一致或者基本一致，其中网络安全性、主机安全性、数据安全性和运维安全性测试尽量在生产环境下进行；

（2）支付服务业务系统被测版本及其他相关外围系统和设备已完成部署并配置正确；

（3）用于功能和性能测试的基础数据准备完毕；

（4）测试用机到位，系统及软件安装完毕；

（5）测试环境网络配置正确，连接通畅，可以满足测试需求。

四、术语定义

1．非金融机构支付服务：

是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务。

（1）网络支付；

（2）预付卡的发行与受理；

（3）银行卡收单；

（4）中国人民银行确定的其他支付服务。

2．预付卡：

是指以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。

五、适用范围

第三方检测机构按照本规范制定非金融机构支付服务业务系统技术标准符合性和安全性检测方案。

非金融机构若将支付服务业务系统外包给第三方服务机构，则还应按照本规范要求进行附加测试。

第二部分检测内容

一、功能测试

验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性，测试内容如下：

编号

检测项

检测说明

1

账户管理

客户账户管理（客户可以自行修改密码/个性化登记资料）

联机交易类必测项

2

卡片管理（功能实现、流程及管理制度、落实程度）

已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响

制卡（功能实现、流程及管理制度）

必测项

卡片发行

卡片激活

充值

卡片有效期延长

换卡

补卡

密码修改/密码重置

卡片冻结/解冻

卡片挂失/解挂

锁卡/解锁

退卡

销卡

3

密钥和证书管理

建议不申报

认证中心公钥管理

发卡机构密钥管理

IC卡密钥管理

脱机交易类必测项

发卡机构证书管理

IC卡证书管理

密码卡：

以密码形式发行的预付卡。

4

交易处理

（功能实现、流程及管理制度、落实程度）已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响

业务完整性和用户操作过程是测试重点

联机消费

联机消费撤销

必测项（密码卡1不适用）

联机余额查询

必测项（密码卡不适用）

退货

冲正交易

异常卡交易

现金圈存/圈提

指定账户圈存

指定账户圈存撤销

非指定账户圈存

非指定账户圈存撤销

IC卡脚本通知

圈提

脱机消费

脱机消费文件处理

脱机余额查询

交易查询

5

资金结算

（功能实现、流程及管理制度、落实程度）

工作流程设计、管理制度、落实程度是测试重点

客户结算

6

对账处理

功能实现是测试重点

发送对账请求

生成对账文件

7

差错处理

长款/短款处理

8

统计报表

用户分级、报表对管理需求的满足程度是测试重点

业务类报表

运行管理类报表

二、风险监控测试

验证支付服务业务系统的账户及交易风险，测试内容如下：

联机交易风险管理

圈存交易ARQC/ARPC验证

联机报文MAC验证

卡片状态控制

单笔消费限额

当日累计消费限额

当日累计消费次数限制

单笔充值金额最大值

账户余额限额

大额消费商户交易监控

密码错误情况下的交易请求

非法卡号交易

卡片有效期检查

无磁无密交易

脱机交易风险管理

TAC验证

MAC验证

终端风险管理

（功能实现、流程及管理制度、落实程度）

POS机申请、参数设置、程序灌装、使用、更换、维护、撤消的管理

POS机密钥和参数的安全管理

控制移动POS机的安装

终端安全检测报告

密码键盘安全检测报告

终端监控

三、性能测试

对支付服务业务系统性能测试的主要目的是验证系统是否满足未来两年业务运行的性能需求。

测试内容包括以下三个方面：

一是验证系统是否支持业务的多用户并发操作；

二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除后系统自恢复能力；

三是测试系统性能极限。

根据以上性能测试内容，并结合典型交易、复杂业务流程、频繁的用户操作、大数据量处理等原则，选取以下测试业务点：

联机交易明细查询

批量发行

批量充值

批量作废

日终批处理

1-3项是测试重点

四、安全性测试

1．网络安全性测试

对支付服务业务系统网络环境进行检测，考察经网络系统传输的数1据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。

检测内容如下：

结构安全

核心网络设备、认证设备、可能影响业务的安全设备必须满足冗余部署要求；

不同安全等级要求的服务器域必须按照不同子网划分，主要数据通道具备QOS保障

（1）网络冗余和备份

（2）网络安全路由器

（3）网络安全防火墙

（4）网络拓扑结构

（5）IP子网划分

（6）QoS保证

网络访问控制

任何服务器不得直接暴露给远程客户，网络和系统边界具备相应的安全控制设备和机制，确保访问来源合法

（

（1）网络域安全隔离和限制

（2）地址转换和绑定

（3）内容过滤

（4）访问控制

（5）流量控制

（6）会话控制

（7）远程拨号访问控制和记录

网络安全审计

对主要网络、安全控制设备的管理用户实时分级，并至少进行系统级操作审计；

具备独立的设备及工具对网络进行故障分析、预警

（1）日志信息

（2）网络系统故障分析

（3）网络对象操作审计

（4）日志权限和保护

（5）审计工具

边界完整性检查

完整的网络边界、无计划外的本地终端或主机；

远程的终端或主机必须通过网络边界的隔离安全设备控制渠道访问。

（1）内外网非法连接阻断和定位

网络入侵防范

独立的网络入侵防范措施；

日常工作流程及落实程度

（1）网络ARP欺骗攻击

（2）信息窃取

（3）DOS/DDOS攻击

（4）网络入侵防范机制

恶意代码防范