非金融机构支付服务业务系统检测规范移动电话支付远程支付部分VWord文档格式.docx

1、1. 非金融机构支付服务：是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务：（1）货币汇兑（2）（3）互联网支付（4）（5）移动电话支付（6）（7）固定电话支付（8）（9）数字电视支付（10）（11）预付卡的发行与受理（12）（13）银行卡收单（14）（15）中国人民银行确定的其他支付服务（16）2.移动电话支付（远程支付）：是指移动终端（通常指手机）以短信、WAP、客户端软件以及客户端软件加智能卡等方式，通过无线通信网络发出支付指令，实现货币支付与资金转移的行为。五、适用范围第三方检测机构按照本规范制定支付服务业务系统技术标准符合性和安全性检测方案。第二部分 检测内

2、容一、功能测试验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性，测试内容如下：编号检测项检测说明1.1 客户管理1.1.1客户信息登记及管理必测项1.1.2终端设备关联1.1.3商业银行管理1.1.4客户证书管理1.1.5客户审核1.6 账户管理1.2.1客户支付账户管理1.2.2客户支付账户管理审核1.2.3银行卡关联1.2.4客户支付账户查询1.2.5客户支付账户资金审核1.10 卡片管理1.3.1 制卡必测项（无卡片发行情况不适用）1.3.2 卡片发行1.3.3 卡片激活1.3.4 卡片个人化1.3.5 更换1.3.6 密码修改1.3.7 挂失/解挂1.3.8 锁定/

3、解锁1.3.9 注销1.19 密钥和证书管理1.4.1 认证中心公钥管理1.4.2 支付机构密钥管理1.4.3 卡片密钥管理1.4.4 支付机构证书管理1.4.5 卡片证书管理1.24 交易处理1.5.1 一般支付一般支付类必测项1.25 1.5.2 担保支付担保支付类必测项1.5.3 协议支付协议支付类必测项1.5.4 订单撤销1.5.5 转账1.5.6 预存1.5.7 提现1.5.8 积分查询1.5.9 积分兑换1.5.10 积分兑换撤销1.5.11 交易纠纷处理1.5.12 交易明细查询1.5.13 交易明细下载1.5.14 邀请其他人代付1.38 资金结算1.6.1 客户结算1.39

4、对账处理1.7.1 发送对账请求1.7.2 生成对账文件1.41 差错处理1.8.1 长款/短款处理1.8.2 单笔退款1.8.3 批量退款1.44 统计报表1.9.1 业务类报表1.9.2 运行管理类报表1.46 运营管理1.10.1 运营人员权限管理1.10.2 提现风控处理1.10.3 提现财务处理1.10.4 退款风控处理1.10.5 退款财务处理二、风险监控测试验证支付服务业务系统的账户及交易风险，测试内容如下：2.1 账户风险管理2.1.1 实名认证2.1.2 业务范围短信支付、WAP支付必测项2.1.3 手机号码与账户绑定短信支付必测项2.1.4 账户变更2.5 交易监控2.2.

5、1 监控规则管理2.2.2 当日交易查询2.2.3 历史交易查询2.2.4 实时交易监控2.2.5 可疑交易处理2.2.6 交易事件报警2.11 交易风险管理2.3.1 单笔充值上限2.3.2 单笔消费上限2.3.3 单日、单月累计消费上限2.3.4 当日累计消费次数限制2.3.5 账户资金余额上限2.16 交易审核2.4.1 系统自动审核2.4.2 人工审核2.18 风控规则2.5.1 风控规则管理2.5.2 黑名单2.5.3 风险识别2.5.4 事件管理2.5.5 风险报表2.23 商户风险管理2.6.1 商户资质审核2.6.2 商户签约2.6.3 特约商户日常风险管理2.6.4 合作的第

6、三方机构的风险管理2.6.5 特约商户强制冻结、解冻、解约2.6.6 可疑商户信息共享2.6.7 风险事件报送三、性能测试对支付服务业务系统性能测试的主要目的是验证系统是否满足未来三年业务运行的性能需求。测试内容包括以下三个方面：一是验证系统是否支持业务的多用户并发操作；二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除后系统自恢复能力；三是测试系统性能极限。根据以上性能测试内容，并结合典型交易、复杂业务流程、频繁的用户操作、大数据量处理等原则，选取以下测试业务点：3.13.1.1支付3.23.2.1预存3.33.3.1转账3.43.4.1交易明细查询3.53.

7、5.1日终批处理四、安全性测试1.网络安全性测试对支付服务业务系统网络环境进行检测，考察经网络系统传输的数据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。检测内容如下：4.1.1结构安全4.1.1.1网络冗余和备份4.1.1.2网络安全路由器4.1.1.3网络安全防火墙4.1.1.4网络拓扑结构4.1.1.5IP子网划分4.1.1.6QoS保证4.1.7网络访问控制4.1.2.1网络域安全隔离和限制4.1.2.2地址转换和绑定4.1.2.3内容过滤4.1.2.4访问控制4.1.

8、2.5流量控制4.1.2.6会话控制4.1.2.7远程拨号访问控制和记录4.1.14网络安全审计4.1.3.1日志信息4.1.3.2网络系统故障分析4.1.164.1.3.3网络对象操作审计4.1.3.4日志权限和保护4.1.3.5审计工具4.1.19边界完整性检查4.1.4.1内外网非法连接阻断和定位4.1.20网络入侵防范4.1.5.1网络ARP欺骗攻击4.1.5.2信息窃取4.1.5.3DOS/DDOS攻击4.1.5.4网络入侵防范机制4.1.24恶意代码防范4.1.6.1恶意代码防范措施4.1.6.2定时更新4.1.26网络设备防护4.1.7.1设备登录设置4.1.7.2设备登录口令安

9、全性4.1.7.3登录地址限制4.1.7.4远程管理安全4.1.7.5设备用户设置策略4.1.7.6权限分离4.1.7.7最小化服务4.1.33网络安全管理4.1.8.1网络设备运维手册4.1.8.2定期补丁安装4.1.8.3漏洞扫描4.1.8.4网络数据传输加密4.1.37网络相关人员安全管理4.1.9.1网络安全管理人员配备4.1.9.2网络安全管理人员责任划分规则4.1.9.3网络安全关键岗位人员管理2.主机安全性测试对支付服务业务系统主机安全防护进行检测，考察主机的安全控制能力。4.2.1身份鉴别4.2.1.1系统与应用管理员用户设置4.2.1.2系统与应用管理员口令安全性4.2.1.

10、3登录策略4.2.4访问控制4.2.2.1访问控制范围4.2.2.2主机信任关系4.2.64.2.2.3默认过期用户4.2.7安全审计4.2.3.1日志信息4.2.3.2日志权限和保护4.2.3.3系统信息分析4.2.10系统保护4.2.4.1系统备份4.2.4.2故障恢复策略4.2.4.3磁盘空间安全4.2.4.4主机安全加固4.2.14剩余信息保护4.2.5.1剩余信息保护4.2.15入侵防范4.2.6.1入侵防范记录4.2.6.2关闭服务和端口4.2.6.3最小安装原则4.2.184.2.7.1防范软件安装部署4.2.7.2病毒库定时更新4.2.7.3防范软件统一管理4.2.21资源控制

11、4.2.8.1连接控制4.2.8.2资源监控和预警4.2.23主机安全管理4.2.9.1主机运维手册4.2.9.2漏洞扫描4.2.9.3系统补丁4.2.9.4操作日志管理4.2.27主机相关人员安全管理4.2.10.1 主机安全管理人员配备4.2.10.2 主机安全管理人员责任划分规则4.2.10.3 主机安全关键岗位人员管理3.应用安全性测试对支付服务业务系统应用安全性检测，主要检测应用系统对非法访问及操作的控制能力。4.3.1 4.3.1.1系统与普通用户设置4.3.1.2系统与普通用户口令安全性4.3.1.3登录访问安全策略4.3.1.4非法访问警示和记录4.3.1.5客户端鉴别信息安全

12、4.3.6 4.3.1.6口令有效期限制4.3.1.7限制认证会话时间4.3.1.8身份标识唯一性4.3.1.9及时清除鉴别信息4.3.10 WEB页面安全4.3.2.1 登录防穷举4.3.2.2 安全控件4.3.2.3 使用数字证书4.3.2.4 独立的支付密码4.3.2.5 网站页面SQL注入防范4.3.2.6 网站页面跨站脚本攻击防范4.3.2.7 网站页面源代码暴露防范4.3.2.8 网站页面黑客挂马防范4.3.2.9 网站页面防篡改措施4.3.2.10 网站页面防钓鱼4.3.20 WAP页面安全4.3.3.1登录防穷举4.3.3.2使用数字证书4.3.3.3独立的支付密码4.3.3.

13、4网站页面SQL注入防范4.3.3.5网站页面跨站脚本攻击防范4.3.3.6网站页面源代码暴露防范4.3.3.7网站页面防篡改措施4.3.3.8网站页面防钓鱼4.3.28 客户端程序安全4.3.4.1客户端程序保护必测项（适用于采用客户端进行移动支付方式）4.3.4.2客户端配置文件保护4.3.4.3独立的支付密码4.3.4.4密码保护4.3.4.5程序安全检测与升级4.3.33 4.3.5.1访问权限设置4.3.34 4.3.5.2自主访问控制范围4.3.5.3业务操作日志4.3.5.4关键数据操作控制4.3.5.5异常中断防护4.3.5.6数据库安全配置4.3.39 4.3.6.1日志信息

14、4.3.6.2日志权限和保护4.3.6.3系统信息查询与分析4.3.6.4对象操作审计4.3.6.5审计工具4.3.6.6事件报警4.3.45 4.3.7.1过期信息、文档处理4.3.46 4.3.8.1连接控制4.3.8.2会话控制4.3.8.3进程资源分配4.3.8.4资源检测预警4.3.50 应用容错4.3.9.1数据有效性校验4.3.9.2容错机制4.3.9.3故障机制4.3.9.4回退机制4.3.54 报文完整性4.3.10.1 通信报文有效性4.3.55 报文保密性4.3.11.1 报文或会话加密必测项（短信支付不适用）4.3.56 抗抵赖4.3.12.1 原发和接收证据4.3.5

15、7 编码安全4.3.13.1 源代码审查4.3.13.2 插件安全性审查4.3.13.3 编码规范约束4.3.13.4 源代码管理4.3.13.5 版本管理4.3.62 电子认证应用4.3.14.1 第三方电子认证机构4.3.14.2 关键业务电子认证技术应用4.3.14.3 电子签名有效性4.3.14.4 服务器证书私钥保护4.数据安全性测试对支付服务业务系统数据安全防护进行检测，主要考察数据的传输、存储、备份与恢复安全性。4.4.1数据保护4.4.1.1客户身份信息保护4.4.1.2支付业务信息保护4.4.1.3会计档案信息保护4.4.4数据完整性4.4.2.1重要数据更改机制4.4.2.

16、2银行卡和移动终端设备关联保护4.4.2.3数据备份记录4.4.2.4保障传输过程中的数据完整性4.4.2.5备份数据定期恢复4.4.9交易数据以及客户数据的安全性4.4.3.1 数据物理存储安全4.4.3.2 客户身份认证信息存储安全4.4.3.3 卡内数据安全必测项（SIM卡不适用）4.4.3.4 终端信息采集设备硬加密措施或其它防伪手段4.4.3.5 同一安全级别和可信赖的系统之间信息传输4.4.3.6 加密传输4.4.3.7 加密存储4.4.3.8 数据访问控制4.4.3.9 在线的存储备份4.4.3.10 数据备份机制4.4.3.11 本地备份4.4.3.12 异地备份4.4.3.1

17、3 备份数据的恢复4.4.3.14 数据销毁制度和记录4.4.3.15 关键链路冗余设计5.运维安全性测试对支付服务业务系统运维安全进行检测，主要考察运维安全管理制度及运维安全执行情况。4.5.1环境管理4.5.1.1机房基础设施定期维护4.5.1.2机房的出入管理制度化和文档化4.5.34.5.1.3办公环境的保密性措施4.5.1.4机房安全管理制度4.5.1.5机房进出登记表4.5.6介质管理4.5.2.1介质的存放环境保护措施4.5.2.2介质的使用管理文档化4.5.2.3维修或销毁介质之前清除敏感数据4.5.2.4介质管理记录4.5.2.5介质的分类与标识4.5.11设备管理4.5.3

18、.1设备管理的责任人员或部门4.5.3.2设施、设备定期维护4.5.3.3设备选型、采购、发放等的审批控制4.5.3.4设备配置标准化4.5.3.5设备的操作规程4.5.3.6设备的操作日志4.5.3.7设备使用管理文档4.5.3.8设备标识4.5.19人员管理4.5.4.1人员录用4.5.4.2人员转岗、离岗4.5.4.3人员考核4.5.4.4安全意识教育和培训4.5.4.5外部人员访问管理4.5.4.6职责分离4.5.25监控管理4.5.5.1主要网络设备的各项指标监控情况4.5.5.2主要服务器的各项指标监控情况4.5.5.3应用运行各项指标监控情况4.5.5.4异常处理机制4.5.29

19、变更管理4.5.6.1变更方案4.5.6.2变更制度化管理4.5.6.3重要系统变更的批准4.5.6.4重要系统变更的通知4.5.33安全事件处置4.5.7.1安全事件报告和处置4.5.7.2安全事件的分类和分级4.5.7.3安全事件记录和采取的措施4.5.36应急预案管理4.5.8.1制定不同事件的应急预案4.5.8.2相关人员应急预案培训4.5.384.5.8.3定期演练6业务连续性测试对支付服务业务系统业务连续性进行检测，主要考察系统是否具备业务连续性管理并达到设计目标。4.6.1业务连续性需求分析4.6.1.1业务中断影响分析4.6.1.2灾难恢复时间目标和恢复点目标4.6.3业务连续性技术环境4.6.2.1备份机房4.6.2.2网络双链路4.6.2.3网络设备和服务器备份4.6.2.4高可靠的磁盘阵列4.6.2.5远程数据库备份4.6.8业务连续性管理4.6.3.1业务