1、,非金融支付机构检测标准 及常见问题情况介绍,提纲,2,提纲,3,一、新标准解读,4,规范变化,中国人民银行公告2010第17号 中国人民银行科技司关于发布非金融机构支付服务业务系统检测系列规范V1.0 的通知（银科技） 2011123号,非金融机构支付业务设施技术要求（即将发布） 非金融机构支付服务业务系统检测规范（即将发布）,一、新标准解读,5,非金融机构支付服务业务系统检测评估准则,非金融机构支付服务业务系统检测内容基本要求,非金检测,一、新标准解读,6,移动电话支付 （远程支付）,移动电话支付 （近场支付）,网络支付 预付卡的发行与受理 银行卡收单,一、新标准解读,7,检测大类没有变化
2、 功能测试 风险监控测试 性能测试 安全性测试 文档测试 外包测试,一、新标准解读,8,验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性,一、新标准解读,9,验证支付服务业务系统的账户及交易风险,一、新标准解读,10,对支付服务业务系统性能测试的主要目的是验证系统是否满足未来三年业务运行的性能需求。 测试内容包括以下三个方面：一是验证系统是否支持业务的多用户并发操作；二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除后系统自恢复能力；三是测试系统性能极限。,一、新标准解读,11,网络安全性测试 主机安全性测试 应用安全性测试 数据安全性测试
3、运维安全性测试 业务连续性测试,一、新标准解读,12,网络安全性测试 对支付服务业务系统网络环境进行检测，考察经网络系统传输的数据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。,一、新标准解读,13,主机安全性测试 对支付服务业务系统主机安全防护进行检测，考察主机的安全控制能力。,一、新标准解读,14,应用安全性测试 对支付服务业务系统应用安全性检测，主要检测应用系统对非法访问及操作的控制能力。,一、新标准解读,15,数据安全性测试 对支付服务业务系统数据安全防护进行检测，主要
4、考察数据的传输、存储、备份与恢复安全性。,一、新标准解读,16,运维安全性测试 对支付服务业务系统运维安全进行检测，主要考察运维安全管理制度及运维安全执行情况。,一、新标准解读,17,业务连续性测试 对支付服务业务系统业务连续性进行检测，主要考察系统是否具备业务连续性管理并达到设计目标。,一、新标准解读,18,对支付服务业务系统的用户文档、开发文档、管理文档的完备性、一致性、正确性、规范性，以及是否符合行业标准，是否遵从更新控制和配置管理的要求等方面进行检测。,一、新标准解读,19,对于非金融机构将支付服务业务系统相关运维外包给第三方服务机构的情况，还应进行外包附加测试。,一、新标准解读,20
5、,一、新标准解读,21,非金融机构支付业务设施技术要求,非金融机构支付业务设施技术要求本要求包括基本要求和增强要求两部分；增强要求在本要求中做出了具体的规定。 本要求根据现有技术的发展水平，提出和规定了非金融机构支付业务设施技术认证相应级别的的最低要求，即基本要求，基本要求包括技术标准符合性和系统安全性要求。达到本要求要求可以实现系统的基本技术符合和相对安全。,非金融机构支付服务 业务系统检测规范,检测目标是在系统版本确定的基础上，对非金融机构支付服务业务（互联网支付）系统功能、风险监控、性能、安全性、文档和外包六项检测类进行测试，客观、公正评估系统是否符合中国人民银行对支付服务业务系统的技术
6、标准符合性和安全性要求，保障我国支付业务设施的安全稳定运行。,一、新标准解读,22,非金融机构支付业务设施技术要求,非金融机构支付服务 业务系统检测规范,银行卡收单业务管理办法 支付机构预付卡业务管理办法 互联网支付业务风险防范指引,一、新标准解读,23,非金融机构支付业务设施技术要求,定义及内容,互联网支付internet payment是指依托互联网实现收付款方之间货币资金转移的行为。 移动电话支付（近场支付）Mobile Payment（Near-field payment）是指移动终端上内嵌的智能卡通过非接触方式和支付受理终端进行通讯，实现货币支付与资金转移的行为。 移动电话支付（远程
7、支付）Mobile Payment（remote payment）是指移动终端（通常指手机）以短信、WAP、客户端软件以及客户端软件加智能卡等方式，通过无线通信网络发出支付指令，实现货币支付与资金转移的行为。,一、新标准解读,24,非金融机构支付业务设施技术要求,定义及内容,固定电话支付 fixed telephone payment是指电话通过语音IVR方式，使用电话线路发出支付指令，实现货币支付与资金转移的行为。 数字电视支付 Digital TV payment是指依托交互机顶盒等数字电视支付终端发起的，使用IC卡或网络实现支付交易的行为。 数字电视支付业务不涉及IC卡的发行和管理。 预
8、付卡的发行与受理Prepaid cards是指发卡机构以特定载体和形式发行的、可在发卡机构之外购买商品或服务的预付价值。预付卡分为记名预付卡和不记名预付卡。记名预付卡是指预付卡业务处理系统中记载持卡人身份信息的预付卡。不记名预付卡是指预付卡业务处理系统中不记载持卡人身份信息的预付卡。 银行卡收单bank card acceptance是指通过销售点(POS)终端等为银行卡特约商户代收货币资金的行为。,一、新标准解读,25,非金融机构支付业务设施技术要求,基本要求和增强要求,非金融机构支付业务设施技术要求包括基本要求和增强要求两部分；增强要求在本要求中做出了具体的规定。 根据现有技术的发展水平，
9、提出和规定了非金融机构支付业务设施技术认证相应级别的的最低要求，即基本要求，基本要求包括技术标准符合性和系统安全性要求。达到本要求要求可以实现系统的基本技术符合和相对安全。,一、新标准解读,26,非金融机构支付业务设施技术要求,基本要求和增强要求,考虑到非金融机构支付业务设施的实际技术应用现状，也考虑到金融行业对于业务的规范化要求，以及将来的发展需要，对未来一段时间内行业的发展水平进行合理的预估，提出增强要求。增强要求高于当前的平均水平。,一、新标准解读,27,非金融机构支付服务 业务系统检测规范,定义及内容,分为5个部分： 第1部分：互联网支付； 第2部分：预付卡的发行与受理； 第3部分：银
10、行卡收单； 第4部分：固定电话支付； 第5部分：数字电视支付；,一、新标准解读,28,非金融机构支付服务 业务系统检测规范,名词定义,管理类,技术类,一、新标准解读,29,非金融机构支付服务 业务系统检测规范,名词定义,非必测项,必测项,一、新标准解读,30,非金融机构支付服务 业务系统检测规范,名词定义,技术要求细化,一、新标准解读,31,提纲,32,二、技术检测趋势,33,首批发放牌照,目前,27,250,二、技术检测趋势,34,标准符合性测试,流程优化测试,风险评估测试,安全渗透测试,软硬件相结合,二、技术检测趋势,35,注重标准符合性，能否提供人民银行要求的基本功能要求，业务类型与申请
11、牌照是否一致,基础硬件设施是否能够满足要求,性能能否满足未来业务发展需求,二、技术检测趋势,36,外部系统是否存在漏洞，导致用户信息及资金的泄露,内部系统是否存在安全漏洞，内部安全风险更可怕,支付产品安全性,二、技术检测趋势,37,风控系统能够切实起到风险防范,安全意识培训是否开展到位,多个漏洞同时存在时是否会带来更大的风险,二、技术检测趋势,38,管理制度是否到位,功能流程是否存在安全漏洞,监管执行是否到位,二、技术检测趋势,39,流程能否导致欺诈风险,专利技术风险,信息泄露风险,二、技术检测趋势,40,趋势,更细,更深,更全,提纲,41,三、误区解惑,42,客户,用户,客户应包括用户和商户
12、 有些检测项的要求不仅对于用户适用，有些要求同样对于商户适用。,三、误区解惑,43,测试环境性能差,生产环境性能好,支付机构性能处理能力不仅取决于硬件的性能，有时性能问题的瓶颈出现在程序逻辑上。 当在测试环境发现性能不能够满足要求时，应更换测试环境或查找原因，使得测试环境能够满足性能需求。,三、误区解惑,44,内外网隔离,内网绝对安全,内网安全同样需要重视，存在内部人员作案风险及由其他区域带来的安全隐患,三、误区解惑,45,信息安全,安全设备,信息安全不等同于安全设备，他是一个需要多方面配合而完整的过程，需要设计到硬件、软件、人员和管理等多方面因素，而安全设备仅仅是其中之一,三、误区解惑,46
13、,业务类报表,对账统计表,业务类报表包含很多方面，如新增用户数，新增商户数，当日流水金额等多方面业务指标，而不是单指流水统计汇总表，而应该是能够反应整体业务增减情况的报表。,三、误区解惑,47,实名认证,实名登记,实名认证是指通过公安实名认证平台，核实用户提供的身份信息是否真实，而不是第三方自己对用户进行实名等级,三、误区解惑,48,商户注销,商户暂停,商户注销是一个不可逆的过程，对于注销的商户如果想要重新开通业务，需从新走审批,三、误区解惑,49,异常交易处理,交易拒绝,异常交易处理，并不仅仅只拒绝非正常的交易，如密码错等，而是应该首先记录下来密码错误的交易记录，进而再次与后续交易关联，筛选
14、出可以交易，判断出是否存在尝试密码等风险行为。,三、误区解惑,50,敏感数据,用户密码,支付机构存有用户的很多信息，像身份证、电话号码等，都应该进行妥善保管，同时对于用户信用卡的CVN2、有效期等，都属于敏感数据，按照要求不能够留存。,三、误区解惑,51,交易监控,订单查询,交易监控不仅仅指能够通过订单查询的方式查询出目前发生的交易情况，而是通过监控平台，对发生的交易进行统一监控，对失败的交易及风险交易进行及时预警。,三、误区解惑,52,终端入网检测报告,终端安全检测报告,入网检测报告是对机具功能、通讯协议的检测，不能够体现终端能够保证用户输入敏感信息的安全。 使用的机具应提供入网检测报告及安
15、全检测报告。,三、误区解惑,53,双因素认证,密码加动态验证码,所知道的、所拥有的、所具备的。 如密码加动态令牌，密码加指纹等,三、误区解惑,54,不安装补丁,无无补丁安装策略,为保证系统稳定运行，不打系统补丁 但应定期检查服务提供商发布的系统补丁，在有重大漏洞更新时，应确保不影响业务正常运行的情况下进行补丁的更新。,三、误区解惑,55,数据备份,备份数据可用,数据备份是对生产重要数据的备份，在保证数据及时进行备份的同时，应保证备份数据的可用性，定期对备份数据进行恢复性测试。,三、误区解惑,56,应急演练,主备机房切换演练,应急演练应包括业务，系统两部分，主备机房切换演练是其中系统的重要部分之
16、一，但在灾难发生时，同时要考虑到由于业务中断而带来的社会舆论影响等多方面问题。,提纲,57,四、常见问题,58,严重问题,一般问题,局部功能无法正常使用，但不影响系统整体流程的实现； 存在安全风险，会对客户利益造成直接或潜在的损害。,建议问题,功能能够正常使用，但系统易用性差； 存在安全风险，但不会对客户利益造成直接或潜在的损害。,与相关法律法规、标准规范有明显冲突； 系统不满足业务需求； 主要业务流程不正确； 存在安全风险，会对客户利益造成严重的损害。,四、常见问题,59,检测项符合,严重性问题,一般性问题,建议性问题,检测项不符合,未发现问题,四、常见问题,60,检测类符合,存在有严重问题
17、的检测项,检测项“不符合”率大于15%(一般问题）,检测项“不符合”率小于或等于15%（一般问题）,检测类不符合,检测项全部为“符合”,四、常见问题,61,结果符合,检测类的检测结果存在“不符合”,结果不符合,检测类的检测结果不存在“不符合”,四、常见问题,62,1,2,3,4,5,安全设备投入不足,产品设计不完善,风控系统无法发挥应有作用,业务连续性演练不足,内部审计制度不完善,常见问题,四、常见问题,63,1,安全设备投入不足,成本限制 双因素限制无法实现 日志信息保护不完善 缺少审计工具 堡垒机审计 缺少专职安全管理人员 异地备份机制及设施有待完善,四、常见问题,64,2,产品设计不完善
18、,黑名单功能不正确 支付硬件产品安全程度欠佳 系统交互不友好,四、常见问题,65,3,风控系统无法发挥应有作用,黑名单功能不完善（缺少卡片、商户黑名单） 风险报表不完善 主动预警功能不完善 交易监控规则定义较少,四、常见问题,66,4,内部审计制度不完善,执行缺少记录 配置手册不够详细 双人监督执行不到位 无法实现专人专岗,四、常见问题,67,5,业务连续性演练不足,演练不全面，涉及部门较少 恢复目标设定不合理，实际无法达到,四、常见问题,68,5,业务连续性演练不足,演练不全面，涉及部门较少 恢复目标设定不合理，实际无法达到,四、常见问题,69,【问题描述】同一商品允许重复退货【问题等级】严
19、重,四、常见问题,70,【问题描述】账户可交易金额只精确到元，不能精确到角、分【问题等级】一般,四、常见问题,71,【问题描述】系统未提供黑名单管理功能，例如：POS机具进行签到，并下载黑名单信息后，黑名单卡仍可完成消费【问题等级】严重,四、常见问题,72,【问题描述】对于现金充值没有单笔充值最大限额限制【问题等级】严重,四、常见问题,73,【问题描述】PIN密钥使用单倍长密钥、终端不是一机一密机制，多台终端共享同一个主密钥【问题等级】严重,四、常见问题,74,【问题描述】核心网络设备缺少冗余【问题等级】严重,四、常见问题,75,【问题描述】没有管理员权限或者用户权限控制【问题等级】严重,四、
20、常见问题,76,【问题描述】敏感信息明文传输和存储【问题等级】严重,四、常见问题,77,【问题描述】未建立同城应用级备份机房【问题等级】严重,提纲,78,五、技术建议,79,五、技术建议,80,网络安全,五、技术建议,81,网络安全,访问控制 安全漏洞 攻击监控 加密通讯 会话认证 链路冗余,五、技术建议,82,应用安全,应用系统安全是动态变化的 直接影响数据和信息的安全性，增加对用户提交信息的过滤,五、技术建议,83,物理安全,物理安全环境（通风系统、电源系统、防雷防火系统、机房温湿度环境条件等） 机柜上锁 主机USB接口控制 加密通讯 会话认证 链路冗余,五、技术建议,84,数据安全,数据保密，磁盘阵列 数据完整性 数据防护 数据备份 数据处理 机密性、完整性、可用性,五、技术建议,85,人员管理,防范社会工程学 安全意识培训 岗位技能培训 双人控制 监督管理,五、技术建议,86,风险监控,交易数据,增加一条规则,举例,五、技术建议,87,风险监控,实时防控预警 丰富的风控规则,88,Q&A,89,谢谢！ 王睿超 电话：+86 18610025964 邮箱： 地址：北京市丰台区科学城中核路5号,
