非金融机构支付服务业务系统检测操作规程Word文件下载.docx

1、（一）检测机构：取得非金融机构支付服务业务系统检测资格而且严格依据人民银行制定的非金融机构支付服务业务系统检测操作规程开展检测工作的单位；（二）检测人员：隶属于本检测机构的参与检测的人员；（三）检测报告：完成检测后依照人民银行发布的报告模板提交给被检测机构的交付物； （四）测试环境：为开展检测工作，被检测机构依照要求搭建的模拟环境；（五）生产环境：被检测机构的支付服务业务系统的在线运行环境；（六）在线用户数：泛指模拟的活动会话用户数。（七）并发用户数：在同一时刻与服务器进行了交互的在线用户数量。（八）极限测试：系统的最大处置能力的测试进程或验证进程。第二节大体规定第九条 检测启动应知足检测规范

2、和其他相关规定的要求。第十条 检测机构的检测流程包括但不限于：前期预备、现场检测、综合分析、出具报告等部份。其中，现场检测包括但不限于：启动会议、末次会议、中间问题沟通及最终问题确认环节。第十一条在预备时期，检测机构应向被检测机构提供非金融机构支付服务业务系统检测预备清单，要求被检测机构填写非金融机构支付服务业务系统情形调查表，而且要求其逐页签字确认并反馈，同时检测机构要与被检测机构一起制定非金融机构支付服务业务系统检测打算，而且两边签字确认。第十二条检测机构对现场检测中检测出的问题进行分析汇总，向被检测机构出具非金融机构支付服务业务系统检测问题确认单，而且两边逐页签字确认；被检测机构要声明外

3、包情形，并盖章后反馈给检测机构。第十三条问题确认后，通过检测机构和被检测机构协商，被检测机构能够就某些或全数问题进行整改，并出具非金融机构支付服务业务系统检测整改报告，整改后检测机构要进行回归测试。第十四条现场检测进程中要保证测试环境、系统版本稳固，一旦进入现场检测时期，不许诺再修改。第十五条被检测机构的涉密文档、核心配置等材料，检测机构要在被检测机构的制度约定下，协商查看方式、地址等。第三节功能测试第十六条功能测试的对象是非金融机构支付服务业务系统情形调查表中声明的系统，系统依照支付业务类型，分为互联网支付类、预付卡的发行与受理类、银行卡收单类、移动支付类等。第十七条功能测试的目的是在测试环

4、境下，从适合性和准确性两方面考虑，测试检测规范中规定的业务功能处置及相关要求。第十八条检测人员应在检测报告中声明检测规范中规定的业务功能点所对应的系统位置。第十九条 被检测机构应声明支持的阅读器及其版本，和其他必需共存软件的版本情形，检测人员应依照声明采取随机抽样的方式确信测试环境中阅读器的版本或共存软件的版本，被检测机构依照确信的版本搭建客户端的模拟环境，检测人员应在检测报告中声明利用的阅读器或必要共存软件的版本。第二十条 检测人员应采纳黑盒测试方式。适合性方面建议采纳功能分解的方式，将每一个功能加以分解，确保各个功能被全面地检测；准确性方面建议采纳如等价类划分、边界值分析、猜错法、因果图等

5、方式，确保功能测试的充分性。第二十一条 检测人员检测时应获取测试数据，包括获取现有的测试数据或生成新的数据，并依照要求验证所有数据。第四节风险监控测试第二十二条 风险监控测试是针对非金融机构支付服务业务系统风险监控能力的测试，检测机构须遵循检测规范中风险监控测试部份包括的检测项进行测试，并给出相应的评判。第二十三条 检测人员应按检测规范的检测内容进行逐项检测，检测方式包括但不限于：（一）检测非金融机构在相关风险治理制度中是不是完整、明确地描述账户风险事件类型和相应的风险操纵方法；（二）通过行为记录、日记检查、账户资金变更跟踪等手腕进行风险分析；（三）检测对账户的人工操作是不是保证处置进程中的职

6、责分离。（四）检测非金融机构在相关风险治理制度中是不是明肯概念各类交易监控和交易审核规则;（五）通过实际交易或查看交易监控与交易审核规则,和相关记录验证交易监控与交易审核的实时性；（六）通过报表查询测试交易记录的正确性；（七）通过检测交易监控系统对风险交易和异样交易的识别，检测其对异样事件的预警能力。（八）检测风险治理体系中是不是支持人工对规则进行保护。第五节性能测试第二十四条 性能测试要紧目的是在规定的硬件环境条件和给定的业务压力下，考核系统是不是知足性能需求。其测试内容包括以下3个方面：一是系统的并发能力验证；二是在规定的硬件环境条件和给定的业务压力下，考核系统是不是知足性能需求和压力解除

7、后系统自恢复能力；三是系统性能极限验证。第二十五条 检测人员应依照非金融机构支付服务业务系统情形调查表中声明的需求，确信在规定环境下的在线用户数、并发用户数、场景压力分派比例、吞吐量、大数据量、系统自恢复时刻等指标，并在检测报告中声明。第二十六条 检测人员应在测试开始前检查测试环境，要紧包括：基础数据是不是到位、测试用账户和数据是不是预备完毕等，并在检测报告中声明测试环境、测试工具、基础数据量等信息。第二十七条 在系统的并发能力验证方面，检测人员应采纳并发测试策略，记录响应时刻、并发用户数、系统资源利用情形（CPU、内存等），并发测试业务点依照以下要求选择：（一）互联网支付类支付系统应选择支付

8、业务点；（二）银行卡收单类支付系统应选择消费业务点；（三）预付卡类支付系统应选择联机消费业务点；（四）移动支付类支付系统应选择支付业务点。第二十八条 在压力解除后系统自恢复能力验证方面，检测人员应采纳吞吐量测试策略，记录平均响应时刻、吞吐量、在线用户数、系统恢复时刻及系统资源利用情形（CPU、内存等）。在线用户数的分派比例参照场景压力分派比例，吞吐量的测试典型场景选择依照检测规范性能部份要求的业务测试点进行选择，其中必测项必需包括在典型场景内。第二十九条 在系统性能极限验证方面，检测人员应采纳极限测试策略，记录响应时刻、并发用户数、系统资源利用情形（CPU、内存等）。在执行极限测试时，当被测并

9、发用户数落入并发用户数的倍区间内，能够停止测试，当前被测并发用户数能够视作极限并发用户数。极限测试业务点依照以下要求选择：第六节安全性测试第三十条 安全性测试的内容包括网络安全性测试、主机安全性测试、应用安全性测试、数据安全性测试、运维安全性测试和业务持续性测试。第三十一条 网络安全性测试应依照检测规范，按结构安全、网络访问操纵、网络安全审计、边界完整性检查、网络入侵检测、歹意代码防范、网络设备防护、网络安全治理、网络相关人员安全治理等逐项检测，并结合对现场人员的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。检测方式包括但不限于：对网络设备的安全配置策略的检测、对相关文档的审核、用

10、相应工具设备或安全设备对网络设备进行扫描等。第三十二条 结构安全测试应依照网络拓扑图，在现场检测网络安全路由器和防火墙的相应配置及网络冗余和备份情形，并对相应的各项评判内容给出评判。对网络设备的安全配置策略的检测、对相关文档的审核。第三十三条 网络访问操纵测试应在现场环境下针对访问操纵、流量操纵和会话操纵等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对网络设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对网络设备进行扫描等。第三十四条 网络安全审计测试应在现场环境下针对日记信息和审计工具等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表

11、格的各项评判内容给出评判。对网络设备的安全配置策略的检测、故障知识库的检查、对日记访问权限和保留的检查、对相关文档的审核等。第三十五条 边界完整性测试应在现场环境下针对内外网非法连接阻断和定位进行检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。第三十六条 网络入侵防范测试应在现场环境下针对安全设备配置、信息窃取、入侵解决等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。第三十七条 网络安全中的歹意代码防范测试应在现场环境下针对防护软件的部署、补丁与漏洞的更新等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容

12、给出评判。对网络设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对网络设备进行扫描、检查防歹意代码产品（硬件、软件、或通过其他安全设备实现）的策略配置、漏洞更新情形等。第三十八条网络设备防护测试应在现场环境下针对设备登录限制、权限限制等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对网络设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对网络设备进行扫描、对安全设备的配置检查，检查部署何种安全设备或在安全设备上开启何种策略来抗击DOS/DDOS解决等。第三十九条 网络安全治理测试应在现场环境下针对参数设置、漏洞扫描和传输加密等进行逐项检测

13、。结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。在现场环境下针对网络安全治理制度、参数设置、漏洞扫描和传输加密等进行逐项检测。结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判等。第四十条 网络相关人员安全治理测试应在现场环境下针对人员配备、责任划分、人员治理等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对相关文档的查看、检查防歹意代码产品（硬件、软件、或通过其他安全设备实现）的策略配置、漏洞更新情形等。第四十一条 主机安全性测试应依照检测规范的内容，按身份辨别、访问操纵、安全审计、系统爱惜、剩余信息爱惜、入侵防范、

14、歹意代码防范、资源操纵、主机安全治理等逐项检测，并结合对现场人员的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对主机设备进行扫描、检查设备采纳哪两种身份辨别机制、对配置文件的离线备份的检查等。第四十二条 主机安全的身份辨别测试应在现场环境下针对登录策略、治理员设置、口令安全性等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机安全配置、相关文档的查看等。第四十三条 主机安全的访问操纵测试应在现场环境下针对主机信任关系、访问操纵范围等进行逐项检测，并结合现场的抽查记录，进行统计分

15、析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核等。第四十四条 主机安全的安全审计测试应在现场环境下针对日记信息、日记爱惜、日记权限等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。第四十五条 系统爱惜测试应在现场环境下针对系统备份、主机加固、安全配置等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对主机设备进行扫描、对系统备份策略、备份数据如何保留、碰到问题如何恢复等检查等。第四十六条 主机安全的剩余信息爱惜测试应在现

16、场环境下针对过时信息、过时文档等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对主机设备进行扫描等。第四十七条 入侵防范测试应在现场环境下针对入侵防范记录、关闭服务、最小安装原则等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对主机设备进行扫描、对审计安全配置、审计日记保留空间的权限分派等策略的检查等。第四十八条 主机安全中的歹意代码防范测试应在现场环境下针对防范软件的部署，相关补丁更新、漏洞

17、扫描等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备上防歹意代码产品的部署情形、病毒库更新和按期扫描策略等进行检查等。第四十九条 主机安全的资源操纵测试应在现场环境下针对连接操纵、资源监控、预警等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给出评判。对主机设备的安全配置策略的检测、对相关文档的审核、用相应工具设备对主机设备进行扫描、对资源监控软件的配置检查等。第五十条 主机安全治理测试应在现场环境下针对参数设置、漏洞扫描、系统补丁、操作日记等进行逐项检测，并结合现场的抽查记录，进行统计分析，对相应表格的各项评判内容给

18、出评判、检查是不是有部署主机完整性检测程序。对治理员是不是利用漏洞扫描设备对主机设备进行按期扫描等进行检查等。第五十一条 主机相关人员安全治理测试应在现场环境下针对人员配备、责任划分、人员治理等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关文档的审核、对主机操作系统上用户权限划分的检查、相关文档的审核等。第五十二条 应用安全性测试应依照检测规范的内容，按身份辨别、WEB页面安全、访问操纵、安全审计、剩余信息爱惜、资源操纵、应用容错、报文完整性、报文保密性、抗抵赖、编码安全、电子认证应用等逐项检测，并结合对现场人员的抽查记录，进行统计分析，按规定对相应表

19、格的各项评判内容给出评判，其它未提及的项目能够参照执行。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进行扫描等。第五十三条 应用安全的身份辨别测试应在现场环境下针对登录策略、治理员设置、口令安全性等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关文档的审核、对登录口令的复杂度要求、登录失败处置参数进行检查等。第五十四条 WEB页面安全测试应在现场环境下针对页面安全、网站安全状况等进行逐项检测， 并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进

20、行扫描、对中间件（如IIS、Weblogic、Apache等）的安全配置的检查和漏洞扫描等。第五十五条 应用安全的访问操纵测试应在现场环境下针对关键数据寄存、访问权限设置等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进行扫描、对数据寄存位置的权限的检查等。第五十六条 应用安全的安全审计测试应在现场环境下针对日记信息、日记爱惜、日记权限等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进行扫

21、描、对应用系统审计日记及日记访问权限的检查等。第五十七条 应用安全的剩余信息爱惜测试应在现场环境下针对过时信息、过时文档等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进行扫描、从历史记录直接进入系统的检测等。第五十八条 应用安全的资源操纵测试应在现场环境下针对资源的分派和预警等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、用相应工具设备对服务器设备进行扫描、对应用用户并发、应用系统的资源利用情形等的监测和报警方法

22、检查（如是不是限制了单个用户对资源的利用限制）等。第五十九条 应用容错测试应在现场环境下针对数据有效性、相应容错机制等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、对程序显现问题后的故障恢复方法进行检测等。第六十条 报文完整性测试应在现场环境下针对通信报文有效性、通信完整性说明等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、用相应工具设备对服务器设备进行扫描、对通信报文和会话进行抓包分析，分析报文是不是采纳校验或密码技术保证完整性等。第六十一条 报文保密性测

23、试应在现场环境下针对报文或会话加密、通信异样处置等进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对相关应用的渗透性测试、用相应工具设备对服务器设备进行扫描、对通信报文和会话进行抓包分析，分析报文是不是采纳校验或密码技术保证保密性等。第六十二条 抗抵赖测试应在现场环境下针对原发和同意证据进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对被测系统是不是提供原发和抗抵赖功能进行检测，检测系统如何给出原发或接收证据等。第六十三条 编码安全测试应在现场环境下针对代码治理进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评

24、判内容给出评判。采纳白盒测试方式，利用源代码检测工具进行源代码安全分析或检查是不是能够提供原代码安全分析报告、检查系统利用方的源代码安全利用和治理制度，并检查制度落实情形等。第六十四条 电子认证应用测试应在现场环境下针对电子认证应用情形进行逐项检测，并结合现场的抽查记录进行统计分析，对相应表格的各项评判内容给出评判。对利用的认证技术和证书进行检查，检查服务器证书爱惜方法等。第六十五条 数据安全性测试应依照检测规范的内容，按数据爱惜、数据完整性、交易数据、客户数据的安全性等逐项检测，并对相应的各项评判内容给出评判。第六十六条 数据爱惜测试应在现场环境下针对相关信息爱惜处置进行逐项检测，并对相应的

25、各项评判内容给出评判。对相关应用的渗透性测试、对相关文档的审核、对客户身份大体信息、支付业务信息保留年限是不是符合要求进行检查等。第六十七条 数据完整性测试应在现场环境下针对重要数据备份与更改处置等进行逐项检测，并对相应的各项评判内容给出评判。第六十八条 交易数据和客户数据的安全性测试应在现场环境下针对相关数据处置的物理安全、加密安全、灾难备份等进行逐项检测，并对相应的各项评判内容给出评判。第六十九条 运维安全性测试应依照检测规范的内容，按环境治理、介质治理、设备治理、人员治理、监控治理、变更治理、安全事件处置、应急预案治理等逐项检测，并对相应的各项评判内容给出评判。对相关文档的审核等。第七十

26、条 环境治理测试应在现场环境下针对相关机房进出安全治理文档进行逐项检测，并对相应的各项评判内容给出评判。第七十一条 介质治理测试应在现场环境下针对相关介质寄存、利用、维修、销毁记录文档进行逐项检测，并对相应的各项评判内容给出评判。第七十二条 设备治理测试应在现场环境下针对相关设备治理利用、操作规程、日记文档等进行逐项检测，并对相应的各项评判内容给出评判。第七十三条 人员治理测试应在现场环境下针对相关人员录用、考核、培训、职责等进行逐项检测，并对相应的各项评判内容给出评判。第七十四条 监控治理测试应在现场环境下针对核心设备的资源指标监控情形进行逐项检测，并对相应的各项评判内容给出评判。对相关文档

27、的审核、对利用的监控手腕和设备进行核查等。第七十五条 变更治理测试应在现场环境下针对相应重要变更所产生的文档等进行逐项检测，并对相应的各项评判内容给出评判。第七十六条 安全事件处置测试应在现场环境下针对显现安全事件所产生的文档等进行逐项检测，并对相应的各项评判内容给出评判。第七十七条 应急预案治理测试应在现场环境下针对相关人员应急预案培训、制定不同事件应急预案文档等进行逐项检测，并对相应的各项评判内容给出评判。第七十八条业务持续性测试应依照检测规范的内容，按业务持续性需求分析、业务持续性技术环境、业务持续性治理、备份与恢复治理、日常保护等逐项检测，并对相应的各项评判内容给出评判。对备份设备查看及相关文档的审核等。第七十九条 业务持续性需求分析测试应在现场环境下针对业务中断阻碍分析、灾难恢复目标等治理文档进行逐项检测，并对相应的各项评判内容给出评判。第八十条 业务持续性技术环境测试应在现场环境下针对设备和数据备份、存储介质等进行逐项检测，并对相应的各项评判内容给出评判。检测方式包括