1、第 1 页 非金融机构支付服务业务系统检测规范（互联网支付部分）（V2.0 版）中国人民银行2012年 4月目 录第一部分总则 3第 2 页 一、检测依据 3二、检测目标 4三、启动准则 4四、术语定义 4五、适用范围 5第二部分检测内容 5一、功能测试 5二、风险监控测试 7三、性能测试 7四、安全性测试 8五、文档审核 15第三部分外包附加测试 15附录 检测过程风险分析 17第 3 页 第一部分 总则一、检测依据1. GB/T 25000.51-2010软件工程 软件产品质量要求与评价（SQuaRE） 商业现货（COTS）软件产品的质量要求和测试细则2. GB/T 16260-2006
2、软件工程 产品质量3. GB/T 17544-1998 信息技术 软件包 质量要求和测试4. GB/T 18905-2002 软件工程 产品评价5. GB/T 27025-2008 检测和校准实验室能力的通用要求6. GB/T 8567-2006 计算机软件文档编制规范7. GB/T 9385-2008 计算机软件需求规格说明规范8. GB/T 9386-2008 计算机软件测试文档编制规范9. GB/T 14394-2008 计算机软件可靠性和可维护性管理10. GB/T 15332-2008 计算机软件测试规范11. GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求1
3、2. GB/T 18336-2008 信息技术 安全技术 信息技术安全性评估准则13. GB 17859-1999 计算机信息系统 安全保护等级划分准则14. 非金融机构支付服务管理办法 （中国人民银行令2010第 2号）15. 非金融机构支付服务管理办法实施细则 （中国人民银行公告2010第 17 号）16. 非金融机构支付服务业务系统检测认证管理规定 （中国人民银行公告2011第 14 号）第 4 页 二、检测目标检测目标是在系统版本确定的基础上，对非金融机构支付服务业务（互联网支付）系统功能、风险监控、性能、安全性、文档和外包六项检测类进行测试，客观、公正评估系统是否符合中国人民银行对支
4、付服务业务系统的技术标准符合性和安全性要求，保障我国支付业务设施的安全稳定运行。三、启动准则1非金融机构提交的支付服务业务系统被测版本与生产版本一致；2非金融机构支付服务业务系统内部测试进行完毕；3系统需求说明书、系统设计说明书、用户手册、安装手册等相关文档准备完毕；4测试环境准备完毕，具体包括：（1）测试环境与生产环境一致或者基本一致，其中网络安全性、主机安全性、数据安全性和运维安全性测试尽量在生产环境下进行；（2）支付服务业务系统被测版本及其他相关外围系统和设备已完成部署并配置正确；（3）用于功能和性能测试的基础数据准备完毕；（4）测试用机到位，系统及软件安装完毕；（5）测试环境网络配置正
5、确，连接通畅，可以满足测试需求。四、术语定义1. 非金融机构支付服务：是指非金融机构在收付款人之间作为中介机第 5 页 构提供下列部分或全部货币资金转移服务：（1） 货币汇兑（2） 互联网支付（3） 移动电话支付（4） 固定电话支付（5） 数字电视支付（6） 预付卡的发行与受理（7） 银行卡收单（8） 中国人民银行确定的其他支付服务2. 互联网支付：是指依托互联网实现收付款方之间货币资金转移的行为。五、适用范围第三方检测机构按照本规范制定支付服务业务系统技术标准符合性和安全性检测方案。非金融机构若将支付服务业务系统外包给第三方服务机构，则还应按照本规范要求进行附加测试。Comment TT1:
6、 什么是客户证书第 6页 第二部分 检测内容一、功能测试验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性，测试内容如下：编号 检测项 检测说明1.1.1客户信息登记及管理 必测项1.1.2商业银行管理1.1.3客户证书管理1.1 客户管理1.1.4客户审核 必测项1.1.5客户支付账户管理 必测项1.2.1客户支付账户管理审核1.1.6客户支付账户查询 必测项1.2 账户管理1.1.7客户支付账户资金审核1.3.1一般支付 1 一般支付类必测项1.3.2担保支付 2 担保支付类必测项1.3.3协议支付 3 协议支付类必测项1.3.4订单撤销 必测项1.3.5转账1.3.6预
7、存1.3.7提现1.3.8积分查询1.3.9积分兑换1.3.10积分兑换撤销1.3.11交易纠纷处理1.3.12交易明细查询 必测项1.3.13交易明细下载1.3 交易处理1.3.14邀请其他人代付1.4 资金结算 1.4.1客户结算 必测项1.5.1商户发送对账请求1.5 对账处理1.5.2商户下载对账文件1.6.1长款/短款处理 必测项1.6.2单笔退款 必测项1.6 差错处理1.6.3批量退款1一般支付：指客户在商户提供的平台上选购商品或服务，并在支付服务方确认付款的支付交易流程。本交易的特点为：客户在支付服务方进行身份认证、支付工具确认等，并且支付服务方不对交易双方提供交易担保。2担保
8、支付：指在一般支付中，由支付服务方为支付的双方提供交易担保，支付成功时支付服务方把付款人的资金暂存在一个中间账户，由付款人在确认收到货物（服务）后或者在指定期限付款人未进行收货确认时，把资金划转到收款人账户的一种业务。3协议支付：指客户、商户、支付服务方事前签约，在支付时商户根据签约凭证直接向支付服务方发起扣款交易。协议支付要求客户信任商户能够保障自己的资金安全。Comment TT2: 什么样子？Comment TT3: 什么样子Comment TT4: 什么是可疑交易Comment TT5: 什么是自动审核Comment TT6: 场景/形式/流程Comment TT7: 场景/形式/流程
9、Comment TT8: 样式第 7页 编号 检测项 检测说明1.7.1业务类报表 必测项1.7 统计报表1.7.2运行管理类报表 必测项1.8.1运营人员权限管理 必测项1.8.2提现管理1.8.3提现财务处理1.8.4退款风控处理 必测项1.8 运营管理1.8.5退款财务处理 必测项二、风险监控测试验证支付服务业务系统的账户及交易风险，测试内容如下：编号 检测项 检测说明2.1 账户风险管理 2.1.1实名认证2.2.1监控规则管理 必测项2.2.2当日交易查询 必测项2.2.3历史交易查询 必测项2.2.4实时交易监控 必测项2.2.5可疑交易处理 必测项2.2 交易监控2.2.6交易事
10、件报警 必测项2.3.1系统自动审核 必测项2.3 交易审核2.3.2人工审核 必测项2.4.1风控规则管理 必测项2.4.2黑名单 必测项2.4.3风险识别 必测项2.4.4事件管理 必测项2.4 风控规则2.4.5风险报表 必测项三、性能测试对支付服务业务系统性能测试的主要目的是验证系统是否满足未来三年业务运行的性能需求。测试内容包括以下三个方面：一是验证系统是否支持业务的多用户并发操作；二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除第 8 页 后系统自恢复能力；三是测试系统性能极限。根据以上性能测试内容，并结合典型交易、复杂业务流程、频繁的用户操作、大
11、数据量处理等原则，选取以下测试业务点：编号 检测项 检测说明3.1 3.1.1 支付 必测项3.2 3.2.1 预存3.3 3.3.1 转账3.4 3.4.1 交易明细查询 必测项3.5 3.5.1 日终批处理四、安全性测试1.网络安全性测试对支付服务业务系统网络环境进行检测，考察经网络系统传输的数据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。检测内容如下：编号 检测项 检测说明4.1.1.1 网络冗余和备份 必测项4.1.1.2 网络安全路由器 必测项4.1.1.3 网络安
12、全防火墙 必测项4.1.1.4 网络拓扑结构 必测项4.1.1.5 IP 子网划分 必测项4.1.1 结构安全4.1.1.6 QoS 保证 必测项4.1.2.1 网络域安全隔离和限制 必测项4.1.2.2 地址转换和绑定 必测项4.1.2.3 内容过滤 必测项4.1.2.4 访问控制 必测项4.1.2.5 流量控制 必测项4.1.2.6 会话控制 必测项4.1.2 网络访问控制4.1.2.7 远程拨号访问控制和记录 必测项Comment TT9: 确认Comment TT10: 确认Comment TT11: 指的什么第 9页 编号 检测项 检测说明4.1.3.1日志信息 必测项4.1.3.2
13、网络系统故障分析 必测项4.1.3.3网络对象操作审计 必测项4.1.3.4日志权限和保护 必测项4.1.3 网络安全审计4.1.3.5审计工具 必测项4.1.4 边界完整性检查 4.1.4.1内外网非法连接阻断和定位 必测项4.1.5.1网络 ARP欺骗攻击 必测项4.1.5.2信息窃取 必测项4.1.5.3DOS/DDOS攻击 必测项4.1.5 网络入侵防范4.1.5.4网络入侵防范机制 必测项4.1.6.1恶意代码防范措施 必测项4.1.6 恶意代码防范4.1.6.2定时更新 必测项4.1.7.1设备登录设置 必测项4.1.7.2设备登录口令安全性 必测项4.1.7.3登录地址限制 必测
14、项4.1.7.4远程管理安全 必测项4.1.7.5设备用户设置策略 必测项4.1.7.6权限分离 必测项4.1.7 网络设备防护4.1.7.7最小化服务 必测项4.1.8.1网络设备运维手册 必测项4.1.8.2定期补丁安装 必测项4.1.8.3漏洞扫描 必测项4.1.8 网络安全管理4.1.8.4网络数据传输加密 必测项4.1.9.1网络安全管理人员配备 必测项4.1.9.2网络安全管理人员责任划分规则 必测项4.1.9 网络相关人员安全管理4.1.9.3网络安全关键岗位人员管理 必测项2.主机安全性测试对支付服务业务系统主机安全防护进行检测，考察主机的安全控制能力。检测内容如下：编号 检测
15、项 检测说明第 10 页 编号 检测项 检测说明4.2.1.1 系统与应用管理员用户设置 必测项4.2.1.2 系统与应用管理员口令安全性 必测项4.2.1 身份鉴别4.2.1.3 登录策略 必测项4.2.2.1 访问控制范围 必测项4.2.2.2 主机信任关系 必测项4.2.2 访问控制4.2.2.3 默认过期用户 必测项4.2.3.1 日志信息 必测项4.2.3.2 日志权限和保护 必测项4.2.3 安全审计4.2.3.3 系统信息分析 必测项4.2.4.1 系统备份 必测项4.2.4.2 故障恢复策略 必测项4.2.4.3 磁盘空间安全 必测项4.2.4 系统保护4.2.4.4 主机安全
16、加固 必测项4.2.5 剩余信息保护 4.2.5.1 剩余信息保护 必测项4.2.6.1 入侵防范记录 必测项4.2.6.2 关闭服务和端口 必测项4.2.6 入侵防范4.2.6.3 最小安装原则 必测项4.2.7.1 防范软件安装部署 必测项4.2.7.2 病毒库定时更新 必测项4.2.7 恶意代码防范4.2.7.3 防范软件统一管理 必测项4.2.8.1 连接控制 必测项4.2.8 资源控制 4.2.8.2 资源监控和预警 必测项4.2.9.1 主机运维手册 必测项4.2.9.2 漏洞扫描 必测项4.2.9.3 系统补丁 必测项4.2.9 主机安全管理4.2.9.4 操作日志管理 必测项4
17、.2.10.1主机安全管理人员配备 必测项4.2.10.2 主机安全管理人员责任划分规则 必测项4.2.10 主机相关人员安全管理4.2.10.3 主机安全关键岗位人员管理 必测项对支 3.应用安全性测试第 11 页 付服务业务系统应用安全性检测，主要检测应用系统对非法访问及操作的控制能力。检测内容如下：编号 检测项 检测说明4.3.1.1 系统与普通用户设置 必测项4.3.1.2 系统与普通用户口令安全性 必测项4.3.1.3 登录访问安全策略 必测项4.3.1.4 非法访问警示和记录 必测项4.3.1.5 客户端鉴别信息安全 必测项4.3.1.6 口令有效期限制 必测项4.3.1.7 限制
18、认证会话时间 必测项4.3.1.8 身份标识唯一性 必测项4.3.1 身份鉴别4.3.1.9 及时清除鉴别信息 必测项4.3.2.1 登录防穷举 必测项4.3.2.2 安全控件 必测项4.3.2.3 使用数字证书 必测项4.3.2.4 独立的支付密码 必测项4.3.2.5 网站页面 SQL 注入防范 必测项4.3.2.6 网站页面跨站脚本攻击防范 必测项4.3.2.7 网站页面源代码暴露防范 必测项4.3.2.8 网站页面黑客挂马防范 必测项4.3.2.9 网站页面防篡改措施 必测项4.3.2 WEB 页面安全4.3.2.10 网站页面防钓鱼 必测项4.3.3.1 访问权限设置 必测项4.3.
19、3.2 自主访问控制范围 必测项4.3.3.3 业务操作日志 必测项4.3.3.4 关键数据操作控制 必测项4.3.3.5 异常中断防护 必测项4.3.3 访问控制4.3.3.6 数据库安全配置 必测项4.3.4.1 日志信息 必测项4.3.4.2 日志权限和保护 必测项4.3.4.3 系统信息查询与分析 必测项4.3.4.4 对象操作审计 必测项4.3.4.5 审计工具 必测项4.3.4 安全审计4.3.4.6 事件报警 必测项4.3.5 剩余信息保护 4.3.5.1 过期信息、文档处理 必测项4.3.6.1 连接控制 必测项4.3.6.2 会话控制 必测项4.3.6 资源控制4.3.6.3
20、 进程资源分配 必测项第 12 页 编号 检测项 检测说明4.3.6.4 资源检测预警 必测项4.3.7.1 数据有效性校验 必测项4.3.7.2 容错机制 必测项4.3.7.3 故障机制 必测项4.3.7 应用容错4.3.7.4 回退机制 必测项4.3.8 报文完整性 4.3.8.1 通信报文有效性 必测项4.3.9 报文保密性 4.3.9.1 报文或会话加密 必测项4.3.10 抗抵赖 4.3.10.1 原发和接收证据 必测项4.3.11.1 源代码审查 必测项4.3.11.2 插件安全性审查 必测项4.3.11.3 编码规范约束 必测项4.3.11.4 源代码管理 必测项4.3.11 编
21、码安全4.3.11.5 版本管理 必测项4.3.12.1 第三方电子认证机构 必测项4.3.12.2 关键业务电子认证技术应用 必测项4.3.12.3 电子签名有效性 必测项4.3.12 电子认证应用4.3.12.4 服务器证书私钥保护 必测项4.数据安全性测试对支付服务业务系统数据安全防护进行检测，主要考察数据的传输、存储、备份与恢复安全性。检测内容如下：编号 检测项 检测说明4.4.1.1 客户身份信息保护 必测项4.4.1.2 支付业务信息保护 必测项4.4.1 数据保护4.4.1.3 会计档案信息保护 必测项4.4.2.1 重要数据更改机制 必测项4.4.2.2 数据备份记录 必测项4
22、.4.2.3 保障传输过程中的数据完整性 必测项4.4.2 数据完整性4.4.2.4 备份数据定期恢复 必测项4.4.3.1 数据物理存储安全 必测项4.4.3.2 客户身份认证信息存储安全 必测项4.4.3.3 终端信息采集设备硬加密措施或其它防伪手段必测项4.4.3 交易数据以及客户数据的安全性4.4.3.4 同一安全级别和可信赖的系统之间信息传输 必测项第 13 页 编号 检测项 检测说明4.4.3.5 加密传输 必测项4.4.3.6 加密存储 必测项4.4.3.7 数据访问控制 必测项4.4.3.8 在线的存储备份 必测项4.4.3.9 数据备份机制 必测项4.4.3.10 本地备份
23、必测项4.4.3.11 异地备份 必测项4.4.3.12 备份数据的恢复 必测项4.4.3.13 数据销毁制度和记录 必测项4.4.3.14 关键链路冗余设计 必测项5.运维安全性测试对支付服务业务系统运维安全进行检测，主要考察运维安全管理制度及运维安全执行情况。检测内容如下：编号 检测项 检测说明4.5.1.1 机房基础设施定期维护 必测项4.5.1.2 机房的出入管理制度化和文档化 必测项4.5.1.3 办公环境的保密性措施 必测项4.5.1.4 机房安全管理制度 必测项4.5.1 环境管理4.5.1.5 机房进出登记表 必测项4.5.2.1 介质的存放环境保护措施 必测项4.5.2.2
24、介质的使用管理文档化 必测项4.5.2.3 维修或销毁介质之前清除敏感数据 必测项4.5.2.4 介质管理记录 必测项4.5.2 介质管理4.5.2.5 介质的分类与标识 必测项4.5.3.1 设备管理的责任人员或部门 必测项4.5.3.2 设施、设备定期维护 必测项4.5.3.3 设备选型、采购、发放等的审批控制 必测项4.5.3.4 设备配置标准化 必测项4.5.3.5 设备的操作规程 必测项4.5.3.6 设备的操作日志 必测项4.5.3.7 设备使用管理文档 必测项4.5.3 设备管理4.5.3.8 设备标识 必测项4.5.4.1 人员录用 必测项4.5.4 人员管理 4.5.4.2
25、人员转岗、离岗 必测项第 14 页 编号 检测项 检测说明4.5.4.3 人员考核 必测项4.5.4.4 安全意识教育和培训 必测项4.5.4.5 外部人员访问管理 必测项4.5.4.6 职责分离 必测项4.5.5.1 主要网络设备的各项指标监控情况 必测项4.5.5.2 主要服务器的各项指标监控情况 必测项4.5.5.3 应用运行各项指标监控情况 必测项4.5.5 监控管理4.5.5.4 异常处理机制 必测项4.5.6.1 变更方案 必测项4.5.6.2 变更制度化管理 必测项4.5.6.3 重要系统变更的批准 必测项4.5.6 变更管理4.5.6.4 重要系统变更的通知 必测项4.5.7.
26、1 安全事件报告和处置 必测项4.5.7.2 安全事件的分类和分级 必测项4.5.7 安全事件处置4.5.7.3 安全事件记录和采取的措施 必测项4.5.8.1 制定不同事件的应急预案 必测项4.5.8.2 相关人员应急预案培训 必测项4.5.8 应急预案管理4.5.8.3 定期演练 必测项6业务连续性测试对支付服务业务系统业务连续性进行检测，主要考察系统是否具备业务连续性管理并达到设计目标。检测内容如下：编号 检测项 检测说明4.6.1.1 业务中断影响分析 必测项4.6.1 业务连续性需求分析 4.6.1.2 灾难恢复时间目标和恢复点目标 必测项4.6.2.1 备份机房 必测项4.6.2.
27、2 网络双链路 必测项4.6.2.3 网络设备和服务器备份 必测项4.6.2.4 高可靠的磁盘阵列 必测项4.6.2 业务连续性技术环境4.6.2.5 远程数据库备份 必测项4.6.3.1 业务连续性管理制度 必测项4.6.3.2 应急响应流程 必测项4.6.3 业务连续性管理4.6.3.3 恢复预案 必测项第 15 页 编号 检测项 检测说明4.6.3.4 数据备份和恢复制度 必测项4.6.4.1 备份数据范围和备份频率 必测项4.6.4.2 备份和恢复手册 必测项4.6.4.3 备份记录和定期恢复测试记录 必测项4.6.4 备份与恢复管理4.6.4.4 定期数据备份恢复性测试 必测项4.6
28、.5.1 每年业务连续性演练 必测项4.6.5 日常维护 4.6.5.2 定期业务连续性培训 必测项五、文档审核对支付服务业务系统的用户文档、开发文档、管理文档的完备性、一致性、正确性、规范性，以及是否符合行业标准，是否遵从更新控制和配置管理的要求等方面进行检测。检测内容如下：编号 检测项 检测说明5.1.1 用户手册 必测项5.1 用户文档 5.1.2 操作手册 必测项5.2.1 需求说明书 必测项5.2.2 需求分析文档 必测项5.2.3 总体设计方案 必测项5.2.4 数据库设计文档 必测项5.2.5 概要设计文档 必测项5.2.6 详细设计文档 必测项5.2 开发文档5.2.7 工程实
29、施方案 必测项5.3.1 测试报告 必测项5.3.2 系统运维手册 必测项5.3.3 系统应急手册 必测项5.3.4 运维管理制度 必测项5.3.5 安全管理制度 必测项5.3 管理文档5.3.6 安全审计报告 必测项第 16 页 第三部分外包附加测试对于非金融机构将支付服务业务系统相关运维外包给第三方服务机构的情况，还应进行外包附加测试，主要测试以下几个方面：编号 检测项 检测说明6.1 外包服务的外包内容 6.1.1 外包程度及具体内容 必测项6.2.1 签署外包安全保密协议 必测项6.2.2 保障托管数据的安全、可靠 必测项6.2 安全保密协议6.2.3 明确双方责任 必测项6.3.1
30、评估业务外包相关风险 必测项6.3.2 外包商的合同义务和要求 必测项6.3.3 控制和报告程序 必测项6.3.4 外包协议的持续评估 必测项6.3.5 符合监管要求和准则 必测项6.3 风险评估6.3.6 外包服务应急计划 必测项6.4.1 外包商提供支付服务的经验和能力评估 必测项6.4.2 外包商硬件资源评估 必测项6.4.3 外包商的财务状况评估 必测项6.4.4 外包商的资金构成、人员构成以及主管部门的审批必测项6.4.5 外包商的运维管理制度评估 必测项6.4 外包商资质6.4.6 外包模式调查及风险评估 必测项6.5.1 明确规定有关各方的权利和义务 必测项6.5.2 明确外包商
31、最低的服务水平 必测项6.5.3 规定保守信息资源机密 必测项6.5 外包合同6.5.4 规定争议解决办法 必测项6.6.1 对外包业务的管理和监督 必测项6.6.2 定期评估外包商的财务状况 必测项6.6 控制和监督6.6.3 定期审查合同条款的履行 必测项6.7.1 制定详细的系统交付清单 必测项6.7 外包交付6.7.2 技术人员的业务培训 必测项第 17 页 附录 检测过程风险分析为保证检测实施的顺利进行，必须在检测方案中分析支付服务业务系统在检测过程中出现的风险，并提出相应的应对措施：风险编号 风险描述风险发生可能性风险对测试或项目的影响 责任人 规避方法1应用服务器或数据库服务器在
32、测试中出现无法预料的未知错误，导致测试失败高 高 被检测方对应用服务器、数据库服务器进行性能的预先评估，调整测试计划，预留调优时间直至延长测试时间2 被检测方技术支持人员不到位 中 高 被检测方充分的沟通与协调人力资源，保证检测活动的顺利进行3测试环境受到干扰，比如数据库服务器或应用服务器被临时征用，不能专职为本测试服务低 高 被检测方暂停测试，等待测试环境恢复正常，推迟测试计划4 测试数据准备不成功 低 高 被检测方 由支付服务业务系统开发人员帮助解决5 性能测试方面的疲劳度不足，长时间运行情况不确定 中 中 检测方保证测试进程的顺利进行，适当时候能延长测试周期6 在对服务器加压方面有欠缺 低 中 检测方加深对系统的了解，尽量全面地覆盖系统业务功能点7工具缺陷，测试工具和监控工具无法全部支持的所有 IT 系统的测试和监控中 高 检测方尽量在测试前能够准备充分，能提前使用系统以便对测试工具调试8 测试环境及条件制约，环境复杂多变，造成真正的测试加压时间缩短 中 中 被检测方 保证测试环境的正常稳定运行9被测系统与生产系统的不一致性，测试环境和生产环境的系统配置差别较大高 高 被检测方尽量能够采用和生产环境配置性能相近的设备
