《網(wǎng)上銀行系統信息安全通用規范》等級保護要求
2020年2月，中國人民銀行發(fā)布了的《網(wǎng)上銀行系統信息安全通用規范》(JR/T 0068-2020)（以下簡(jiǎn)稱(chēng)《規范》），相對于2012年《網(wǎng)上銀行系統信息安全通用規范》(JR/T 0068-2012)的內容進(jìn)行了調整和更新。
《規范》作為網(wǎng)上銀行系統安全技術(shù)要求、安全管理要求、業(yè)務(wù)運營(yíng)安全要求，為網(wǎng)上銀行系統建設、運營(yíng)及測評提供了重要依據。
《規范》整體框架對比
1. 《規范》的整體框架?chē)@著(zhù)：安全技術(shù)規范、安全管理規范和業(yè)務(wù)運營(yíng)安全規范三個(gè)部分，對比之前的規范，整體的要求（含基本要求和增強要求）在總數上沒(méi)有大的出入，但值得注意的是，將原有業(yè)務(wù)運作安全規范，調整為業(yè)務(wù)運營(yíng)安全規范。這也表明，《規范》更加注重金融行業(yè)的業(yè)務(wù)運營(yíng)類(lèi)的安全。
2. 《規范》重新定義了網(wǎng)上銀行系統，涵蓋個(gè)人網(wǎng)銀系統和企業(yè)網(wǎng)銀系統，主要包括通過(guò)PC、手機、平板電腦、智能電視、可穿戴設備等終端訪(fǎng)問(wèn)的網(wǎng)上銀行系統，例如手機銀行、微信銀行、直銷(xiāo)銀行、銀企直聯(lián)、小微企業(yè)銀行等系統。
3. “安全技術(shù)規范”中將原有“專(zhuān)用安全設備安全”調整為“專(zhuān)用安全機制”，并增加了“短信驗證碼”和“生物特征”安全要求；將網(wǎng)絡(luò )通信安全要求中增加“通信鏈路”安全要求；將服務(wù)器端安全要求增加“等級保護要求”和“虛擬化安全”要求；新增加入“與外部系統連接安全”，對于與銀行有合作的外部單位的系統連接時(shí)，增加了“傳輸安全”和“數據安全”要求。同時(shí)，刪除“動(dòng)態(tài)密碼卡”“物理安全”“應用安全”“數據安全及備份恢復”的安全要求。
4. “安全管理規范”中新增“等級保護要求”。將原有規范中系統運維管理中的“業(yè)務(wù)連續性與災難恢復”和“安全事件與應急響應”獨立成為安全要求，同時(shí)刪除“安全策略”要求。
5. “安全運行安全規范”中，新增“外部機構業(yè)務(wù)合作”安全要求，將原有“客戶(hù)教育及權益保護”調整為“客戶(hù)培訓及權益保護”。
《規范》核心內容解析
1.客戶(hù)端安全解析
客戶(hù)端安全包括：客戶(hù)端程序和客戶(hù)端環(huán)境兩部分。
客戶(hù)端程序的安全要求中，主要定義了客戶(hù)端程序在軟件開(kāi)發(fā)直到報廢的生命周期，周期內包括軟件的可行性分析、框架標準、總體描述、系統設計、編碼、調試和測試、驗收與運行、維護升級到廢棄等階段都做了明確的要求，主要包含如下關(guān)鍵點(diǎn)：
● 程序開(kāi)發(fā)階段，應對其開(kāi)發(fā)框架和技術(shù)路線(xiàn)進(jìn)行嚴格的論證，建設基于應用功能設計及安全需求，建設應用安全基線(xiàn)標準，提供程序的自身安全性。對于應用程序普遍存在的破解、篡改等各類(lèi)安全風(fēng)險，需要提供應用加固技術(shù)手段。嚴格控制源代碼安全，對應用程序進(jìn)行源代碼安全加固。
客戶(hù)端環(huán)境安全要求中，主要定義了程序在使用過(guò)程中的運行環(huán)境安全，包括可信輸入能力、可信輸出能力、可信通訊能力、可信存儲能力和可信計算能力
● 可信輸入輸出能力，要求提供可信的信息輸入安全，包括敏感信息加密、秘密復雜度設置等；
● 可信存儲和計算能力，對數字證書(shū)、客戶(hù)敏感信息、密鑰信息的生成、存儲、使用需要借助SE、TEE技術(shù)，確保其安全，提供信息的可信存儲能力；
● 可信運行環(huán)境，特別是對移動(dòng)設備運行環(huán)境的安全，要求對客戶(hù)端的病毒、木馬等風(fēng)險進(jìn)行有效識別，將分析結果實(shí)時(shí)反饋，提供終端的威脅態(tài)勢感知能力。
2.專(zhuān)用安全機制解析
● 國密算法的使用，在《規范》要求中，網(wǎng)上銀行系統在使用密碼算法時(shí)應符合國家密碼主管部門(mén)的要求，在支付敏感信息加密及傳輸、數字證書(shū)簽名及驗簽等環(huán)節宜支持并優(yōu)先使用SM系列密碼算法。
● 短信驗證碼的使用進(jìn)行了嚴格定義，同時(shí)還要求對短信驗證碼要進(jìn)行加密處理，確保短信驗證碼的機密性和完整性。
3.通信網(wǎng)絡(luò )安全解析
采用安全的通信協(xié)議，在客戶(hù)端程序與服務(wù)器之間建立安全的信息傳輸通道，如采用SSL/TLS證書(shū)、加密密鑰體系，建立安全的信息傳輸通道。
4.業(yè)務(wù)審計及開(kāi)通解析
● 《規范》明確要求，在業(yè)務(wù)運營(yíng)安全規范中，要嚴格遵循和落實(shí)相關(guān)法律法規，如：（銀發(fā)〔2016〕261 號）、（銀發(fā)〔2019〕85 號）等監管要求；
● 對通過(guò)網(wǎng)上銀行渠道申請時(shí)，金融機構應采取包含電子簽名驗證在內的雙因素身份認證驗證客戶(hù)的真實(shí)身份及銀行卡交易密碼，并通過(guò)驗證發(fā)向可靠的預留手機號碼的短信驗證碼等方式，核實(shí)客戶(hù)身份和交易開(kāi)通意愿。
5.業(yè)務(wù)安全交易機制解析
● 《規范》明確要求，要建立完善的網(wǎng)上銀行異常交易監控體系，以及高風(fēng)險交易特點(diǎn)和用戶(hù)行為特征等的風(fēng)險評估模型，識別并及時(shí)處理異常交易，并根據風(fēng)險等級實(shí)施差異化風(fēng)險防控；
● 建立并完善反欺詐規則，實(shí)時(shí)分析交易數據，根據風(fēng)險高低產(chǎn)生報警信息，實(shí)現欺詐行為的偵測、識別、預警和記錄，提高欺詐交易攔截成功率，切實(shí)提升交易安全防護能力；
● 應通過(guò)交易行為分析、機器學(xué)習等技術(shù)不斷優(yōu)化風(fēng)險評估模型，結合生物探針、相關(guān)客戶(hù)行為分析等手段，對具備頻次異常、賬戶(hù)非法、批量交易、以及外部欺詐、身份冒用、套現、洗錢(qián)等異常情況進(jìn)行有效監控，對于風(fēng)險較大、可疑程度較高的交易，應采取精準識別、實(shí)時(shí)攔截等措施；
● 風(fēng)險交易監控系統應能夠不斷更新反欺詐規則，建立和完善風(fēng)險信息庫，及時(shí)從主管部門(mén)、公安機關(guān)、銀行卡清算組織等獲取黑名單等風(fēng)險信息。
《規范》建設重點(diǎn)
1.客戶(hù)端安全建設重點(diǎn)
● 客戶(hù)端程序：開(kāi)發(fā)規范、應用程序的源代碼加固、源代碼審計、信息錄入安全
● 客戶(hù)端環(huán)境：利用終端威脅態(tài)勢感知技術(shù)、借助TEE、SE、SSE等技術(shù)確?？蛻?hù)端程序的運行環(huán)境安全。
2、專(zhuān)用安全機制：采用國密算法，如SM3、SM4。對短信驗證碼的安全進(jìn)行保護，如短信驗證碼加密。
3、網(wǎng)絡(luò )通信安全：采用SSL/TLS協(xié)議、數字證書(shū)、密鑰技術(shù)確?？蛻?hù)端與服務(wù)器之間的網(wǎng)絡(luò )通信安全。
4、安全計算環(huán)境：利用高強度的身份認證技術(shù)確保計算環(huán)境的安全，充分利用身份治理與訪(fǎng)問(wèn)控制手段，嚴格確保系統的訪(fǎng)問(wèn)控制安全。如建立零信任的業(yè)務(wù)安全體系架構。
5、交易流程及監控：建立終端安全、智能決策、持續監控的三維一體解決方案，充分利用人工智能、大數據、機器學(xué)習、深度學(xué)習、神經(jīng)網(wǎng)絡(luò )、基于具體業(yè)務(wù)場(chǎng)景的機器學(xué)習模型技術(shù)，為交易流程提供全程業(yè)務(wù)保護。
