下载文档第一篇：网上银行信息系统安全通用规范
附件
网上银行系统信息安全通用规范
(试行)
中国人民银行
网上银行系统信息安全通用规范
目录 使用范围和要求……………………………………………4 2 规范性引用文件……………………………………………4 3 术语和定义…………………………………………………5 4 符号和缩略语………………………………………………6 5 网上银行系统概述…………………………………………6 5．1
系统标识…………………………………………6 5．2
系统定义…………………………………………7 5．3
系统描述…………………………………………7 5．4
安全域……………………………………………8 6 安全规范……………………………………………………9 6．1
安全技术规范……………………………………9 6．2
安全管理规范……………………………………22 6．3
业务运作安全规范………………………………26 附l 基本的网络防护架构参考图……………………………30 附2 增强的网络防护架构参考图……………………………31
网上银行系统信息安全通用规范
前
言
本规范是在收集、分析评估检查发现的网上银行系统信息安全问题和已发生过的网上银行案件的基础上，有针对性提出的安全要求，内容涉及网上银行系统的技术、管理和业务运作三个方面。
本规范分为基本要求和增强要求两个层次。基本要求为最低安全要求，增强要求为本规范下发之日起的三年内应达到的安全要求，各单位应在遵照执行基本要求的同时，按照增强要求，积极采取改进措施，在规定期限内达标。
本规范旨在有效增强现有网上银行系统安全防范能力，促进网上银行规范、健康发展。本规范既可作为网上银行系统建设和改造升级的安全性依据，也可作为各单位开展安全检查和内部审计的依据。
1使用范围和要求
本规范指出了网上银行系统的描述、安全技术规范、安全管理规范、业务运作安全规范，适用于规范网上银行系统建设、运营及测评工作。
2规范性引用文件
下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本规范，然而，鼓励根据本规范达成协议的香方研究是否可使瑚这些文件的最新版本。凡是不注日期的引用文件，其最新 版本适用于本规范。
GB/'IT20983-202_信息安全技术网上银行系统信息安全保障评
网上银行系统信息安全通用规范
估准则
GB/T22239-202_信息安令技术信息系统安全等级保护基本要求
GB/T 20984-202_信息安全技术信息系统风险评估规范
GB/T 1 8336.1-202_信息技术安全技术信息技术安全性评估准则
网上银行系统信息安全通用规范
3术语和定义
GB/T 20274确立的以及下列术语和定义适用于本规范。3．1网上银行
商业银行等金融机构通过互联网等公众网络基础设施，向其客户提供各种金融业务。3．2互联网
因特网或其他类似形式的通用性公共计算机通信网络。3．3敏感信息
任何影响网上银行安全的密码、密钥以及交易数据等信息，密码包括但不限于转账密码、查询密码、登录密码、证书的PIN码等。
3．4客户端程序
为随上银行客户提供人机交互功能的程序，以及提供必需功能的组件，包括但不限于：可执行文件、控件、静态链接库、动态链接库等。
3．5 USB Key
一种USB接口的硬件设备。它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书。3．6 USB Key固件
影响USB Key安全的程序代码。3．7强效加密
一个通用术语，表示极难被破译的加密算法。加密的强壮性取决于所使用的加密密钥。密钥的有效长度应不低于可比较的强度建议所
网上银行系统信息安全通用规范
要求的最低密钥长度。对于基于密钥的系统(例如3DES)，应不低于80位。对于基于因子的公用密钥算法(例如RSA)，应不低于1024位。
4符号和缩略语
以下缩略语和符号表示适用于本规范：
CA
数字证书签发和管理机构(Certification Authority)Cookies
为辨别客户身份而储存在客户本地终端上的数据 COS
卡片操作系统(Card Operating System)C/S
客户机/服务器(Client/Server)DOS/DDOS
拒绝服务/分布式拒绝服务(Denial of Service／
Distributed of Service)IDS/IPS
入侵检测系统／入侵防御系统(Intrusion Detection
System／Intrusion Prevention System)IPSEC
IP安全协议
OTP
一次性密码(One Time Password)PKI
公钥基础设旅(Public Key Infrastructure)SSL
安全套接字层(Secure Socket Layer)SPA/DM
简单能繁分析／差分能量分析(Simple Power Analysis
／Differential Power Analysis)SEMA/DEMA
简单电磁分析／差分电磁分析
(Simple Electromagnetism Analysis Differential Electromagnetism Analysis)TLS
传输层安全(Transfer Layer Secure)VPN
虚拟专用网络(Virtual Private Network)
网上银行系统信息安全通用规范 网上银行系统概述
5.1 系统标识
在系统标识中应标明以下内容： 一名称：XX银行网上银行系统 一所属银行 5.2 系统定义
网上银行系统是商业银行等金融机构通过互联网等公众网络基础设施，向其客户提供各种金融业务服务的一种重要信息系统。网上银行系统将传统的银行业务同互联网等资源和技术进行融合，将传统的柜台通过互联网向客户进行延伸，是商业银行等金融机构在网络经济 的环境下，开拓新业务、方便客户操作、改善服务质量、推动生产关系变革等的重要举措，提高了商业银行等金融机构的社会效益和经济效益。
5．3 系统描述
网上银行系统主要由客户端、通信网络和服务器端组成。5．3.1客户端
网上银行系统客户端不具备或不完全具备专用金融交易设备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能力，因此，需要辅助安全设备，并通过接受、减轻、规避及转移的策略来应对交易风险。
因此，网上银行系统客户端应包括基本交易终端和专用辅助安全设备。
网上银行系统信息安全通用规范
基本交易终端目前主要为电脑终端，将来可包括手机、固定电话等。
专用辅助安全设备用于保护数字证书、动态口令和静态密码等，应按照其在交易中具备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能力等五种能力的组合对其进行分类分析，并制订与之适应的交易安全风险防范策略。5。3．2通信网络
网上银行借助互联网技术向客户提供金融服务，其通信网络的最大特点是开放性，开放性带来的优点是交易成本的降低和交易便利性的提高，缺点是交易易受到安全威胁及通讯稳定性降低。因此，网上银行业务设计应充分利用开放网络低成本和便利的特点，有效应对开 放网络通讯安全威胁，同时采取手段提高交易稳定性和成功率。5.3.3服务器端：
网上银行系统服务器端用于提供网上银行应用服务和核心业务处理，应充分利用各种先进的物理安全技术、网络安全技术、主机安全技术、访问控制技术、密码技术、安全审计技术、系统漏洞检测技术和黑客防范技术，在攻击者和受保护的资源间建立多道严密的安全防线。5.4 安全域
网上银行系统是一个涉及不同的应用系统、客户对象、数据敏感程度等的复杂信息系统。在网上银行系统的描述中，应根据应用系统、客户对象、数据敏感程度等划分安全域。
网上银行系统信息安全通用规范
安全域是一个逻辑的划分，它是遵守相同的安全策略的用户和系统的集合。通过对安全域的描述和界定，就能更好地对网上银行系统信息安全保障进行描述。具体而言，网上银行系统主要包括：客户端、网上银行访问子网、网上银行业务系统、中间隔离设备和安全认证设备等。如图1所示：．
外部区域：网上银行的用户，安装网上银行客户端，通过互联网访问网上银行业务系统；
安全区域一：网上银行访问子网，主要提供客户的Web访问； 安全区域二：网上银行业务系统，主要进行网上银行的业务处理； 银行内部系统：银行处理系统，主要进行银行内部的数据处理。6 安全规范
作为金融机构IT业务应用系统之一，网上银行系统需要与其
网上银行系统信息安全通用规范
他业务应用系统一起纳入金融机构全面的风险管理体系中。网上银行信息安全规范可分为安全技术规范、安全管理规范和业务运作安全规范。安全技术规范从客户端安全、专用辅助安全设备安全、网络通信安全和网上银行服务器端安全几个方面提出；安全管理规范从组织结构、管理制度、人员及文档管理和系统运行管理几个方面提出，业务运作安全规范从业务申请及开通、业务安全交易机制、客户教育几个力面提出。下面将分别对其进行阐述。6.1安全技术规范 6．1．1客户端安全 6．1．1．1客户端程序
A．基本要求：
a)客户端程序上线前应进行严格的代码安全测试，如果客户端程序是外包给
网上银行系统信息安全通用规范
Windows键盘消息等方式进行键盘窃听，并应具有对通过挂钩窃听键盘信息进行预警的功能。
f)客户端程序应防范恶意程序获取或篡改敏感信息，例如使用浏览器接口保护控件进行防范。B．增强要求：
a)客户端程序应保护在客户端启动的用于访问网上银行的进程，防止非法程序获取该进程的访问权限。
b)进行转账类交易时，客户端程序应采取防范调试跟踪的措施，例如开启新的进程。
c)客户端程序应采用反屏幕录像技术，防止非法程序获取敏感信息。6.1.1.2密码保护 A．基本要求：
a)禁止明文显示密码，府使心相同位数的同一特殊字符(例如*和#)代替。
b)密码应有复杂度的要求，包括：
·
长度至少6位，支持字母和数字共同组成。
·
在客户设置密码时，应提示客户不使用简单密码。c)如有初始密码，首次登录时应强制客户修改初始密码。
d)应具有防范暴力破解静态密码的保护措施，例如在登录和交易时使用图形认证码，图形认证码应满足：
·
由数字和字母组成。
·
随机产生。
网上银行系统信息安全通用规范
·
包含足够的噪音干扰信息，避免恶意代码自动识别图片上的信息。
·
具有使用时间限制并仅能使用一次。
e)使用软键盘方式输入密码时，应对整体键盘布局进行随机干扰。f)应保证密码的加密密钥的安全。g)应提醒客户区分转账密码与其他密码。B．增强要求：
a)采用辅助安全设备(例如USB Key或专用密码输入键盘)输入并保护密码。
b)密码输入后立即加密，敏感信息在应用层保持端到端加密，即保证数据在从源点到终点的过程中始终以密文形式存在。6.1.1.3登录控制 A．基本要求：
a)设置连续失败登录次数为10次以下，超过限定次数应锁定网上银行登录权限。
b)退出登录或客户端程序、浏览器页面关闭后，应立即终止会话，保证无法通过后退、直接输入访问地址等方式重新进入登录后的网上银行页面。
c)退出登录时应提示客户取下专用辅助安全设备，例如USB Key。B．增强要求：
屏蔽客户端使刚Ctrl+N等快捷键等方式重复登录。6。1．2专用辅助安全设备安全
网上银行系统信息安全通用规范
6.1.2.1 USB Key A。基本要求：
a)金融机构应使用指定的
网上银行系统信息安全通用规范
h)签名交易完成后，状态机鹿立即复位。i)应保证PIN码和密钥的安全：
·
采刚安全的方式存储和访问PIN码、密钥等敏感信息。
·
PIN码和密钥(除公钥外)不能以任何形式输出。
·
经客户端输入进行验证的PIN码在其传输到USB Key的过程中，应加密传输，并保证在传输过程中能够防范重放攻击。
·
PlN码连续输错次数达到错误次数上限(不超过6次)，US8 Key应锁定。
·
同一型号USB Key在不同银行的网上银行系统中应用时，应使用不同的根密钥，且主控密钥、维护密钥、传输密钥等对称算法密钥应使用根密钥进行分散。
j)USB Key使用的密码算法应经过国家主管部门认定。
k)应设计安全机制保证USB Key驱动的安全，防止被篡改或替换。I)对USB Key固件进行的任何改动，都必须经过归档和审计，以保证USB Key中不含隐藏的非法功能和后门指令。m)USB Key应具备抵抗旁路攻击的能力，包括但不限于：
·
抗SPA/DPA攻击能力
·
抗SEMA/DEMA攻击能力
n)外部环境发生变化时，USB Key不应泄漏敏感信息或影响安全功能。外部环境的变化包含但不限于：
·
高低温
·
高低电压
网上银行系统信息安全通用规范
·
强光干扰
·
电磁干扰
·
紫外线干扰
·
静电干扰
·
电压毛刺干扰 B.增强要求：
a)USB Key应能够防远程挟持，例如具有屏幕显示、语音提示、按键确认等功能，可对交易指令完整性进行校验、对交易指令合法性进行鉴别、对关键交易数据进行输入和确认。
b)未经按键确认，USB Key不得签名和输出，在等待一段时间后，可自动清除数据并复位状态。
c)USB Key应能够自动识别待签名数据的格式，识别后在屏幕上是示签名数据或对其语音提示。6.1.2.2文件证书
此部分要求仅针对C/S模式客户端。A.基本要求：
a)应强制使用密码保护私钥，防止私钥受到未授权的访问。b)用于签名的公私钥对应在客户端生成，禁止由服务器生成。私钥只允许在客户端使用和保存。
c)私钥导出时，客户端应对客户进行身份认证，例如验证访问密码等。
d)应支持私钥不可导出选项。
网上银行系统信息安全通用规范
e)私钥备份时，应提示或强制放在移动设备内，备份的私钥应加密保存。B．增强要求：
在备份或恢复私钥成功后，金融机构应通过
网上银行系统信息安全通用规范
·
静电干扰 B.增强要求：
a)采用基于挑战应答的动态口令，以防范中间人攻击。b)OTP认证系统应提供双因素认证功能。
c)OTP令牌设备应使用PIN码保护等措施，确保只有授权客户才可以使用。
d)PIN码和种子应存储在OTP令牌设备的安全区域内或使用其他措施对其进行保护。
e)PIN码连续输入错误次数达到错误次数上限(不超过6次)，OTP令牌应锁定。6.1.2.4 动态密码卡 基本要求：
a)动态口令的长度不应少于6位。b)服务器端应随机产生口令位置坐标。
c)应设定动态密码卡使用有效期，超过有效期应作废。d)应使用涂层覆盖等方法保护口令。e)动态密码卡应与客户唯一绑定。6.1.2.5 其他专用辅助安全设备
本部分规定的是已使用的其他专用辅助安全设备，如出现新的专用辅助安全设备，可参照6．1．2节的要求。a)手机短信动态密码：
基本要求：
网上银行系统信息安全通用规范
·
开通手机动态密码时，应使用人工参与控制的可靠手段验证客户身份并登记手机号码。更改手机号码时，应对客户的身份进行有效验证。
·
手机动态密码应随机产生，长度不应少于6位。
·
应设定手机动态密码的有效时间，最长不超过10分钟，超过有效时间应立即作废。
·
交易的关键信息、应与动态密码一起发送给客户，并提示客户确认。b)指纹识别：
基本要求：
·
如果通过指纹鉴别客户身份，应防止指纹数据被记录和重放。
·
禁止在远程身份鉴别中采用指纹识别。近距离身份鉴别(例如，使用专用辅助安全设备对使用者的身份鉴别)可采用指纹识别。6.1.3 网络通信安全
本部分内容指数据在网络传输过程中采用的通讯协议和安全认证方式，不包括网络基础设施方面的内容。
6.1.3.1通讯协议 基本要求：
a)应使用强壮的加密算法和安全协议保护客户端与服务器之间所有连接，例如，使用SSL/TLS和IPSEC协议。
b)如果使用SSL协议，应使用3.0及以上相对高版本的协议，取消
网上银行系统信息安全通用规范
对低版本协议的支持。
c)客户端到服务器的SSL加密密钥长度应不低于128位；用于签名的RSA密钥长度应不低于1024位，用于签名的ECC密钥长度应不低于160位。
d)应可防止对交易报文的重放攻击。6.1.3.2 安全认证 A.基本要求：
a)网上银行服务器与客户端应进行双向身份认证。
b)整个通讯期间，经过认证的通讯线路应一直保持安全连接状态。c)网上银行系统应可判断客户的空闲状态，当空闲超过一定时间后，自动关闭当前连接，客户再次操作时必须重新登录。
d)应确保客户获取的金融机构Web服务器的根证书真实有效，可采用的方法包括但不限于：在客户开通网上银行时分发根证书，或将根证书集成在客户端控件下载包中分发等。B．增强要求：
a)网上银行系统应判断同一次登录后的所有操作必须使用同一IP地址和MAC地址，否则服务器端自动终止会话。
b)金融机构应使用获得国家主管部门认定的具有电子认证服务许可证的CA证书及认证服务。6．1．4服务器端安全 6．1．4．1网络架构安全 基本要求：
网上银行系统信息安全通用规范
a)合理部署网上银行系统的网络架构：
·
合理划分网络区域，并将网上银行网络与办公网及其他网络进行隔离。
·
维护与当前运行情况相符的网络拓扑图，并区分可信区域与不可信区域。
·
采用IP伪装技术隐藏内部IP，防止内部网络被非法访问。·
部署入侵检测系统/入侵防御系统(IDS/IPS)，对网络异常流量进行监控。
·
在所有互联网入口以及隔离区(DMZ)与内部网络之间部署防火墙，对非业务必需的网络数据进行过滤。
·
采取措施保障关键服务器时间同步，例如，设置网络时间协议(NTP)服务器。
·
互联网接入应采用不同电信运营商线路，相互备份且互不影响。·
核心层、汇聚层的设备和重要的接入层设备均应双机热备，例如，核心交换机、服务器群接入交换机、重要业务管理终端接入交换机、核心路由器、防火墙、均衡负载器、带宽管理器及其他相关重要设备。
·
保证网络带宽和网络设备的业务处理能力具备冗余空间，满足业务高峰期和业务发展需要。b)访问控制：
·
在网络结构上实现网问的访问控制，采取技术手段控制网络访问权限。
网上银行系统信息安全通用规范
·
应对重要主机的IP地址与MAC地址进行绑定。
·
禁止将管理终端主机直接接入核心交换机、汇聚层交换机、服务器群交换机、网间互联边界接入交换机和其他专用交换机。·
明确业务必需的服务和端口，不应开放多余的服务和端口。·
禁止开放远程拨号访问。c)网络设备的管理规范和安全策略：
·
将关键或敏感的网络设备存放在安全区域，应使用相应的安全防护设备和准入控制手段以及有明确标志的安全隔离带进行保护。·
应更改网络安全设备的初始密码和默认设置。
·
在业务终端与服务器之间通过路由控制建立安全的访问路径。·
指定专人负责防火墙、路由器和IDS/IPS的配置与管理，按季定期审核配置规则。
·
所有设备的安全配置都必须经过审批。
·
在变更防火墙、路由器和IDS/IPS配置规则之前，确保更改已进行验证和审批。d)安全审计和日志：
·
应对网络设备的运行状况、网络流量、管理员行为等信息进行日志记录，日志至少保存3个月。
·
审计记录应包括但不限于：事件发生的时间、相关操作人员、事件类型、事件是否成功及其他与审计相关的信息。
·
应根据记录进行安全分析，并生成审计报表。
·
应对审计记录进行保护，避免被未授权删除、修改或者覆盖。
网上银行系统信息安全通用规范
e)入侵防范：
·
应严格限制下载和使用免费软件或共享软件，应确保服务器系统安装的软件来源可靠，且在使刚前进行测试。
·
所有外部存储设备(软盘、移动硬盘、U盘等)在使用前应进行病毒扫描。
·
制订合理的IDS/IPS的安全配置策略，并指定专人定期进行安全事件分析和安全策略配置优化。
·
应在网络边界处监视并记录以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。
·
当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标和攻击时间，在发生严重入侵事件时应提供报警或自动采取防御措施。
基本型网络防护架构参考图和增强型络防护架构参考图分别见附1和附2。
6.1.4.2 系统设计安全 A．基本要求：
A)敏感客户参数修改(包括但不限于密码、转账限额、地址以及电话联系方式)应在一次登录过程中进行二次认证(包括但不限于静态密码+动态密码)。
b)网上银行系统应具有保存和显示客户历史登录信息(例如时间、IP地址、MAC地址等)的功能，支持客户查询登录(包括成功登录和
网上银行系统信息安全通用规范
失败登录)、交易等历史操作。
c)网上银行系统应根据业务必需的原则向客户端提供数据，禁止提供不必要的数据。
d)在显示经认证成功后的客户身份证件信息时，应屏蔽部分关键内 容。
e)网上银行系统应具有详细的交易流水查询功能，包括但不限于日期、时间、交易卡号、交易金额和资金余额等信息。
f)网上银行系统应具有账户信息变动提醒功能，可使用手机短信、电子邮件等方式实时告知客户其账户的资金变化、密码修改等重要信息。
g)网上银行系统应具有防网络钓鱼的功能，例如显示客户预留信息等。B．增强要求：
a)网上银行系统应具有设置交易限额的功能并且具有默认的金额上限。
b)网上银行系统应支持批量银行账号查询功能和线索排查功能。6.1.4.3 web应用安全
A.基本要求： a)资源控制：
·
应能够对系统的最大并发会话连接数进行限制。
·
应能够对单个用的多重并发会话进行限制。
·
应能够对一个时间段内可能的并发会话连接数进行限制。
网上银行系统信息安全通用规范
·
当应用系统通信双方中的一方在指定时间内未作任何响应，另一方应能够自动结束会话
b)编码规范约束：
·
应依据安全规范编写代码，例如，在应用系统开发中，不能在程序中写入固定密钥。
·
在应用系统上线前，应对程序代码进行代码复审，识别可能的后门程序、恶意代码和安全漏洞，例如，缓冲区溢出漏洞。c)会话安全：
·
会话标识应随机并且唯一。
·
会话过程中应维持认证状态，防止客户通过直接输入登录后的地址访问登录后的页面。
·
转账交易后，应确保使用浏览器的“后退”功能无法查看上一交易页面的重要客户信息。
· 网上银行系统Web服务器应用程序应设置客户登录网上银行后的空闲时间，当超过指定时间，应自动终止会话。d)源代码管理：
·
源代码应备份在只读介质中(例如光盘)。
·
应严格控制对生产版本源代码的访问。
·
应对生产库源代码版本进行控制，保证当前系统始终为最新的稳定版本。
e)防止敏感信息泄漏：
·
在网上银行系统上线前，应删除Web目录下所有测试脚本、网上银行系统信息安全通用规范
程序。
·
如果在生产服务器上保留部分与Web应用程序无关的文件，应为其创建单独的目录，使其与Web应用程序隔离，并对此目录进行严格的访问控制。
·
禁止在Web应刚程序错误提示中包含详细信息，不向客户显示调试信息。
·
禁止在Web应用服务器端保存客户敏感信息。
·
应对网上银行系统Web服务器设置严格的目录访问权限，防止未授权访问。
·
统一目录访问的出错提示信息，例如，对于不存在的目录或禁止访问的目录均以“目录不存在”提示客户。
·
禁止目录列表浏览，防止网上银行站点重要数据被未授权下载。f)防止SQ注入攻击：
· 网上银行系统Web服务器应用程序应对客户提交的所有表单、参数进行有效的合法性判断和非法字符过滤，防止攻击者恶意构造SQL语句实施注入攻击。
·
禁止仅在客户端以脚本形式对客户的输入进行合法性判断和参数字符过滤。
·
数据库应尽量使用存储过程或参数化查询，并严格定义数据库用户的角色和权限。g)防止跨站脚本攻击：
·
应通过严格限制客户端可提交的数据类型以及对提交的数据进
网上银行系统信息安全通用规范
行有效性检查等有效措施防止跨站脚本注入。h)防止拒绝服务攻击：
应防范对网上银行服务器端的DOS/DDOS攻击。可参考的加固措施包括但不限于：
·
与电信运营商签署I)OS/DDOS防护协议。
·
防火墙只开启业务必需的端口并开启DOS/DDOS防护功能。
·
使用DOS/DDOS防护设备。
·
使用IDS/IPS设备监控并阻断恶意流量。
·
使用负载均衡设备。6.1.4.4 数据安全 A．基本要求： a)身份鉴别：
·
应对登录操作系统和数据库的用户进行身份标识和鉴别，严禁匿名登录。
·
应用系统应启用登录失败处理功能，可采取结束会话。限制非法登录次数和自动退出等措施。
·
为不同的操作系统和数据库访问用户分配不同的账号并设置不同的初始密码，禁止共享账号和密码。
·
首次登录应用系统或操作系统时应强制修改密码，定期更改密码。
·
应要求用户的密码长度最低为6位，密码必须包含字母和数字并且最长有效期为6个月。
网上银行系统信息安全通用规范
·
应确保对密码进行强效加密保护，不允许明文密码出现。
·
在收到用户重置密码的请求后，应先对用户身份进行核实再进行后续操作。
·
对服务器进行远程管理时，应采取加密通信方式，防止认证信息在网络传输过程中被窃听。
b)访问控制：
·
根据“业务必需”原则授予不同用户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。
·
明确系统中各类用户的级别及权限，操作系统和数据库特权用户应进行权限分离。
·
严格限制默认用户的访问权限，重命名系统默认用户，修改默认用户密码，及时删除多余的、过期的用户。
·
严格控制操作系统重要目录及文件的访问权限。c)安全审计：
·
审计范围应覆盖到服务器和管理终端上的每个操柞系统用户和数据库用户。
·
审计内容应包括重要用户行为、系统资源的异常使用和重要信息系统命令的使用等系统内重要的安全相关事件。·
审计记录包括时间、类型、访问者标识、访问对象标识和事件结果。
·
应根据记录数据进行安全分析，并生成审计报表。·
应保护审计记录，避免遭受未授权的删除、修改或覆盖。
网上银行系统信息安全通用规范
d)日志管理：
·
日志系统应记录系统管理员登录的时间、登录系统的方式、失败的访问尝试、系统管理员的操作以及其他涉及数据安全的访问记录。
·
严格控制系统日志的访问权限，只有工作需要并通过审批的岗位人员才能查看系统日志。
·
定期检查日志，对其中可疑的记录进行分析审核。
·
配置专门的日志服务器，及时将日志备份到日志服务器或安全介质内。
e)灾难备份和恢复：
·
应建立重要数据的定期数据备份机制，至少每天进行一次完整的数据增量备份，并将备份介质存放在安全区域内。
·
应对关键数据进行同城和异地的实时备份，保证业务应用能够实现实时切换。
·
应制订灾难恢复计划并定期进行测试，确保各个恢复程序的正确性和计划整体的有效性。B．增强要求：
a)采用监控软件保证日志的一致性与完整性。b)保护审计进程，避免遭受未预期的中断。6.2 安全管理规范 6.2.1 组织机构 基本要求：
网上银行系统信息安全通用规范
a)金融机构应设置独立的网上银行系统研发、测试、集成、运行维护、管理等部门或团队。
b)金融机构应制订明确的网上银行部门章程并详细定义各部门人员配置。
c)金融机构应建立风险管理架构，相关人员应详细了解本单位网上银行研发、运行及管理机构职责设置。6．2．2管理制度 基本要求：
a)金融机构应建立安全管理制度体系，明确工作职责、规范工作流程、降低安全风险：
·
应制订网上银行安全管理工作的总体方针和策略。
·
应建立贯穿网上银行系统设计、编码、测试、集成、运行维护以及评估、应急处置等过程，并涵盖安全制度、安全规范、安全操作规程和操作记录手册等方面的信息安全管理制度体系。
b)金融机构应指定或授权专门的部门或人员负责安全管理制度的制订。
c)金融机构应定期组织相关部门和人员对安全管理制度体系的合理性和适用性进行审计，及时针对安全管理制度的不足进行修订。6.2.3 安全策略 A．基本要求：
a)金融机构应制订明确的网上银行系统总体安全保障目标。
网上银行系统信息安全通用规范
b)金融机构应制订针对网上银行系统设计与开发、测试与验收、运行与维护、备份与恢复、应急事件处置以及客户信息保密等的安全策略。
c)金融机构应制订网上银行系统使用的网络设备、安全设备的配置和使用的安全策略。
d)金融机构应维护详细的资产清单，资产清单应包括资产的价值、所有人、管理员、使用者和安全等级等条目，并根据安全等级制订相应的安全保护措施。
e)金融机构应明确系统存在的威胁，并根据威胁分析系统的脆弱性，对于已发现的风险应尽快修补或制订规避措施。
f)金融机构应针对不同的风险规定相应的可能性等级列表，并根据风险严重等级制订应急恢复方案和演练计划。B．增强要求：
a)金融机构应规定所有数据的安全级别，芳制订与其安全级别相应的保护措施。
b)金融机构应加强风险预警能力，对短时间内单个账户在异地多笔交易等异常情况进行监控。6.2.4 人员及文档管理 基本要求：
a)金融机构应设置信息安全管理岗位，明确本单位各相关岗位在信息安全管理过程中所承担的责任。
b)金融机构应与员工签署保密协议，或在劳动合同中设置保密条款。
网上银行系统信息安全通用规范
c)金融机构应加强关键岗位员工的安全培训，确保员工了解各自岗位职责以及违反安全规定可能导致的后果。
d)金融机构应具有员工岗位调动或离职的安全管理制度，避免账号、设备、技术资料及相关敏感信息等泄露。
e)金融机构应建立外来人员管理制度，提交操作记录，必要时要求其签订保密协议。
f)金融机构应建立文档管理制度，文档资料按密级或敏感程度进行登记、分类并由专人保管，重要文档资料的使用、外借或销毁应经过审批流程并进行记录。6.2.5 系统运行管理 6.2.5.1 网络安全管理 基本要求：
a)金融机构应建立网络安全管理制度，并对网络安全配置、日志保存时间、安全策略、系统升级、补丁更新等方面作出规定。b)金融机构应实现设备的最小服务配置，并定期离线备份配置文件。c)所有与外部系统的连接应经过授权。
d)金融机构应根据安全策略允许或者拒绝便携式和移动式设备的网络接入。
e)金融机构应定期检查违反规定拨号上网或其他违反网络安全策略 的行为。
f)金融机构应定期对系统进行漏洞扫描，及时修补发现的系统安全漏洞。
网上银行系统信息安全通用规范
g)金融机构应根据厂家提供的升级版本软件对网络设备进行更新，并在更新前对现有的重要文件进行备份。6.2.5.2 密钥管理。
基本要求：
a)金融机构应制订与网上银行相关的密钥管理制度，并严格实施。
b)敏感信息在传输前应先进行强效加密，然后通过VPN等加密信道在网络中传输。c)密钥和密码应加密存储。
d)金融机构采用的密码算法应经过国家主管部门认定。
e)对于所有用于加密客户数据的密钥，金融机构应制订并实施全面的密钥管理流程，包括：密钥生成、密钥分发、密钥存储、密钥更换、密钥销毁、知识分割以及双重控制密钥、防止未授权的密钥更换、更换已被知晓或可能被泄漏的密钥、收回过期或失效的密钥等。
6.2.5.3 业务连续性管理 a)业务运行连续性：
基本要求：
·
金融机构应定期评估网上银行所面临的风险、风险发生的概率及影响。
·
金融机构应制订网上银行业务连续性策略。
·
金融机构应将网上银行业务持续性管理整合到组织的流程和结构
网上银行系统信息安全通用规范
中，明确指定相关部门负责业务持续性的管理。
·
金融机构应制订员工在应急处理和安全方面的培训计划和考核标准。
·
金融机构应定期测试并更新业务连续性计划与过程。b)备份与恢复：
基本要求：
· 金融机构应明确需要定期备份的重要业务数据、系统数据等。
· 金融机构应建立与备份、恢复相关的安全管理制度，对数据的备份方式、备份周期、存储介质和保存期限等方面进行规范。
· 金融机构应根据数据的重要性和数据对系统运行的影响，制订数据的备份和恢复策略，备份策略需指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输的方式等。
· 金融机构应建立控制数据备份和恢复过程的程序，对备份过程进行记录，所有文件和记录应妥善保存。
· 金融机构应定期执行恢复程序，检查并测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。
c)应急管理： 基本要求：
· 金融机构应在网上银行统一的应急预案框架下，制订针对不同事件的应急预案，应急预案至少包括各类事件场景下启动应急预案的条
网上银行系统信息安全通用规范
件、应急处理流程、系统恢复流程、事后经验总结和培训等内容。
· 金融机构应对网上银行系统相关人员进行应急预案培训，应急预
案的培训应至少每年举办一次。
·
金融机构应制订应急预案演练计划，定期对网上银行系统应急预案进行演练，每年至少开展一次实战演练。·
应急预案应定期审查并根据实际情况及时更新。6．3业务运作安全规范 6．3．1业务申请及开通 A．基本要求：
a)网上银行转账功能的开通必须由客户本人到柜台申请。申请时，金融机构应对其进行风险提示，验证客户的有效身份，并要求客户书面确认。客户通过已采取电子签名验证的网上银行渠道申请转账类业务的，视同客户本人主动申请并书面确认。以下转账类业务可不受上述限制：开通同一客户账户之间转账并且金融机构能有效识别转入、转出方为同一客户账户的；客户预先通过柜台签约对转入账户进行绑定同时指定交易电话的。
b)企业网上银行开通必须到柜台申请，申请时，金融机构应审查其申请材料的真实性、完整性和合规性。
c)客户申请USB Key作为数字证书载体时，应持有效身份证件到柜台办理，金融机构应将USB Key设备序列号与客户进行绑定，并在客户下载证书时将其作为客户身认证因素之一；如果USB Key丢失，应由客户本人持有效证件到柜台重新办理，原有数字证书作
网上银行系统信息安全通用规范
废。
d)如果网上银行登录密码以密码信封方式发送给客户或者登录密码被设置为统一初始密码，金融机构应强制客户首次登录时修改初始密码。
6.3．2业务安全交易机制 6.3.2.1身份认证 基本要求：
a)网上银行转账类操作应使用双因素身份认证。双因素身份认证由以下两种身份认证方式组成：一是客户知晓、注册的客户名称及密码；二是客户持有、特有并用于实现身份认证的信息，包括但不限于物理介质或电子设备等。以下转账类业务可不受上述限制：同一客户账户之间转账并且金融机构能有效识别转入、转出方为同一客户帐户的。
b)禁止仅使用文件证书或使用文件证书加静态密码的方式进行转账类操作。
c)使用企业网上银行进行转账类操作时，应至少使用硬件承载的数字证书进行签名等安全认证方式。
d)客户登录网上银行时或登录后执行账户资金操作时，若身份认证连续失败超过一定次数(不超过10次)，应在短时间内锁定该客户网上银行登录权限，并立即通过短信或电话等方式通知客户。e)申请客户数字证书时，应验证公钥的有效性，证书签名请求在进入SSL通道前应采取安全保护措施。
网上银行系统信息安全通用规范
f)客户数字证书只能被下载一次。下载证书时，应有身份认证的过程，例如提交授权码和参考码。身份认证信息应设置肴效期，超出有效期而未下载证书，应重新办理。6.3.2.2交易流程 A．基本要求：
a)网上银行系统应能够对客户端提交的交易进行唯一性认证，应能识别并拒绝重复交易。
b)转账类交易中，如果客户端对交易数据签名，签名数据除流水号、交易金额、转入账号、交易日期和时间等要素外，还应包含由服务器生成的随机数据。对于从网上银行客户端提交的交易数据，服务器应验证签名的有效性并安全存储签名。
c)转账类交易中，网上银行系统应具有防范客户端数据被篡改的机制，应由客户确认转账交易关键数据(至少包含转出账号、转入账号、交易金额、交易日期和时间)，并采取有效确认方式以保证待确认的信息不被篡改，例如，由服务器以图片的形式返回待客户确认的信息或者在USB Key内完成确认。
d)转账类交易中，网上银行系统应对客户端提交的敏感信息间的隶属关系进行严格校验，例如，验证提交的账号和卡号间的隶属关系以及账号、卡号与登录用户之间的关系。
e)对于转账类交易，金融机构应充分提示客户相关的安全风险并提供及时通知客户资金变化的服务，如果客户选择该服务，应在交易发生后实时告知客户其资金变化情况。
网上银行系统信息安全通用规范
f)对于大额转账等高风险操作(金融机构可根据自身情况对高风险操作进行界定)发生后，金融机构应在确保客户有效联系方式前提下，立即将资金变动情况通知客户。B．增强要求：
转账类交易应使用
网上银行系统信息安全通用规范
b)商户应将客户详细账单信息传送至网上银行系统，在网上银行系统支付页面中显示供客户确认。.3.3 客户教育 基本要求：
a)金融机构应通过各种宣传渠道向大众提供正确的网上银行官方网址和呼叫中心号码。
b)金融机构应向客户印发通俗、易懂的网上银行信息安全宣传手册。c)在网上银行使用过程中，应向客户明确提示相关的安全风险和注意事项。
d)在网上银行官方网站首页显著位置开设信息安全教育栏目，包括但不限于维护良好的客户端环境、谨防虚假网上银行链接、注意对网上银行的敏感信息进行保护等内容。
附1 基本的网络防护架构参考图
以下给出一个基本的网络安全防护架构参考图，其中： 1.外联区：主要处理外部访问的区域。
2.DMZ区：是一个公布信息的区域，通过互联网接入的外部客户可以访问该区域。
3.生产应用区：是网络应用程序所处区域，处理各种逻辑业务。4.生产数据区：主要处理各种数据操作，是数据库所在区域。5.管理区域：主要负责管理设备的接入。6.测试区域：单独的互联网测试环境区域。
7.系统互联区域：主要处理互联网应用系统与其他系统互联的区域。
网上银行系统信息安全通用规范
附2增强的网防护架构参考图
增强的网络安全防护是在基本安全防护的基础上，部署应用防火墙和文件摘要保护来进一步保障网络的安全性和完整性，同时通过协议分析和流量统计、操作审计、数据审计和监控审计系统来完善审计响应的需求，以下给出增强的网络安全防护架构参考图。
网上银行系统信息安全通用规范
第二篇：信息系统安全管理规范
信息系统安全管理规范
1、目标
此文档用于规范公司业务系统的安全管理，安全管理所达到的目标如下：
确保业务系统中所有数据及文件的有效保护，未经许可的用户无法访问数据。对用户权限进行合理规划，使系统在安全状态下满足工作的需求。
2、机房访问控制
机房做为设备的集中地，对于进入有严格的要求。只有公司指定的系统管理员及数据库管理员才有权限申请进入机房。系统管理员及数据库管理员因工作需要进入机房前必须经过公司书面批准。严格遵守机房管理制度。
3、操作系统访问控制
保护系统数据安全的第一道防线是保障网络访问的安全，不允许未经许可的 用户进入到公司网络中。第二道防线就是要控制存放数据及应用文件的主机系统 不能被未经许可的用户直接访问。为防止主机系统被不安全访问，采取以下措施： 操作系统级的超级管理用户口令、数据库管理用户口令、应用管理用户口令 只能由系统管理员设定并经办公室审核，１个月做一次修改，口令要向其他人员 保密。在应用系统实施阶段，考虑到应用软件提供商需要对自己的产品进行调试，可以在调试时将应用管理用户口令暂时开放给应用软件提供商； 调试一结束系统 管理员马上更改口令。对口令设定必需满足以下规范： 最多允许尝试次数 口令最长有效期 口令的最大长度 口令的最小长度 5 30 天 不受限 6 口令的唯一性要求。
4、系统的安全控制
最近三次所更改的口令不能相同 通过口令控制及对象的安全控制实现。
5、数据库访问控制
为有效的保障业务数据的安全，采取以下措施：
数据库内具有较高权限的管理用户口令由办公室数据库管理员设定,并由办公室审核，不能向其他人开放。口令必须１个月做一次修改。业务系统后台数据库对象创建用户的口令由办公室数据库管理员设定，由办公室审核。不能向其他人开放。口令必须 1 个月做一次修改。
对口令设定必需满足以下规范：
口令最长有效期 口令的最大长度 口令的最小长度 口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同 根据操作需求，在数据库中分别建立对业务数据只有“增、删、改”权限的用户；对业务数据只有“查询”权限的用户。不同的操作需求开
放不同权限的用 户。除办公室门的人员外，其他部门的任何人员均没有权限从后台数据库直接进行数据的“增、删、改”操作 对于业务必须的后台 job 或批处理，必须由办公室门人员执行。
6、应用系统访问控制
应用系统访问依靠系统内部定义的操作用户权限来控制,操作用户权限控制到菜单一级，对于操作用户的安全管理有如下规范：
所有应用级的操作用户及初始口令统一由办公室门设定，以个人邮件的形式分别发给各部门的操作人员。各部门操作人员在首次登录时必须修改口令，口令必须１个月做一次修改。
对于口令设定必需满足以下规范：
口令最长有效期 口令的最大长度口令的最小长度口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同操作人员不能将自己的用户及口令随意告诉他人所有使用者的认可都由系统管理员来逐一分配。必须由部门经理提交访问权认可的申请表，然后由办公室批准。当应用系统中需要加入新的使用者时，首先使用者需要填写“权限申请表”。该申请表应该得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助 应用系统的使用者开通账户，并建立相应的访问等级和权限。当应用系统需要关闭某位使用者的账户时，首先该部门应该填写“权限申请 表”，并得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助应用系 统使用者关闭该账户。大多数的主文件都会与审查日志一起更新。使用者号码、处理日期以及时间 将写入日志，以备今后查询之用。
7、个人义务
如果技术上可行，每一位使用者都应该通过一个唯一的使用者身份号码来识别，该号码设有密码，并不得与任何人共享。使用者的身份号码意味着不允许存在公共使用。然而，支持网关和服务器的设备是一个例外，例如：互联网服务器等。只有得到 IT 经理的批准，才能使用这些公共使用身份号码。使用者不得与他人共享密码。如果已经告知了他人，那么使用者将对他人利 用密码所做的任何行为的后果负责。若使用者怀疑他的密码已经被泄露了，那么他应该尽快更换密码。并应该在 第一时间向 IT 系统管理员汇报。3使用者不应该书面记录下密码，并放在别人可以轻易看到的地方。密码不得设置成特定词汇或其他能被轻易猜到的字词。类似姓名、电话号码、身份证号、生日等都是不合格的密码。使用者不得向他人泄漏密码。如果 IT 技术支持人员要求运用使用
者的号码 访问，则必须当着使用者的面登录。如果使用者泄漏了密码，则必须尽快更改密 码。如果他们因诱骗而泄漏了密码，则必须尽快向 IT 系统管理员汇报。如果使用者怀疑我们信息系统的安全性受到威胁，则必须尽快向 IT 系统管 理员汇报。使用者对他们自己输入系统的数据的精确性负责，同时也对他们指示系统开发下载到我们系统上的数据的精确性负责。他们必须尽力保证数据的准确性。如 果发现错误，并且自己能够修改的话，则应该将其改正。如果自己改正不了，则应该向他们的主管汇报。如果是在源文件发现数据错误，则应该尽快改正这些错误，而不是故意将这些错误输入我们的电脑系统。使用者在离开终端机器或电脑以前必须下线，这一点应该强制执行。如果是 在使用不带下线功能的单机个人电脑，则必须在离开电脑前终止程序。只有当执 行批处理任务时是例外。当使用者的工作职责有变动时，他的访问权也应该作相应的变更。部门经 理应该及时递交“权限申请表”以通知 IT 系统管理员。特别是在员工辞职的情 况下，他/她的部门经理以及人事部经理应该及时通知 IT 系统管理员，以保证在 最短的时间内撤销他/她的系统访问权。
8、局域网和广域网安全
在可能的情况下，我们都应将端口转换到使用者的个人电脑。如果没有足够的转换，已转换的端口将根据以下优先等级来分配：
需要带宽的使用者可以访问机密数据的使用者职务等级，例如：公司领导优先于管理员，管理员优先于经理，依此类推。所有的访问我们本地网络的端口只有在部门经理指定授权使用者时才可以 开通。因此，在公共区域（例如：会议室）的访问端口只能在使用时开通。4 交换机位于数据中心，对该中心的物理访问应该控制。除了授权的 IT 支持人员以外，任何使用者都不得在公司办公地点的个人电脑上安装任何带有数据包监听、端口或地址扫描功能的软件。IP 地址只能由经授权的 IT 支持人员来分配。使用者不得自行分配他们的 IP 地址。所有的交换机、路由器、互联网服务器以及防火墙都应该设置密码，此密码 不得为原厂密码。交换机、路由器、互联网服务器以及防火墙的所有不同等级的密码都应该记 录在案。IT 经理应该保留一个备份。所有服务器的管理员密码和主管密码都应该记录在案。IT 经理应该保留一 个备份。对于交换机、路由器、网络集线器以及服务器的结构等级的访问应该只限授 权的 IT 支持人员。关于安全的信息以及通往网络的网关的保护机制应该只有授权的 IT 支持人 员知道。所有的交换机和路由器都应该由非间断电原提供至少 60 分钟的电源供应。如可能，非间断电源供应机应该轮流由一台备用的发电机来充电。只有经授权的使用者才允许安装和使用
网络发明和监控工具。
第三篇：信息系统安全
数字签名过程 “发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要,然后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两个摘要相同、那么接收方就能确认该数字签名是发送方的。
数字签名有两种功效：一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。二是数字签名能确定消息的完整性。因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。不同的文件将得到不同的数字签名。一次数字签名涉及到一个哈希函数、发送者的公钥、发送者的私钥。”这报文鉴别的描述！数字签名没有那么复杂。数字签名： 发送方用自己的密钥对报文X进行E运算，生成不可读取的密文Esk，然后将Esx传送给接收方，接收方为了核实签名，用发送方的密钥进行D运算，还原报文。
口令攻击的主要方法
1、社会工程学(social Engineering)，通过人际交往这一非技术手段以欺骗、套取的方式来获得口令。避免此类攻击的对策是加强用户意识。
2、猜测攻击。首先使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，像名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就可以完成猜测攻击。
3、字典攻击。如果猜测攻击不成功，入侵者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据有的传媒报导，对于一个有8万个英文单词的集合来说，入侵者不到一分半钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。
4、穷举攻击。如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。
5、混合攻击，结合了字典攻击和穷举攻击，先字典攻击，再暴力攻击。
避免以上四类攻击的对策是加强口令策略。
6、直接破解系统口令文件。所有的攻击都不能够奏效，入侵者会寻找目标主机的安全漏洞和薄弱环节，饲机偷走存放系统口令的文件，然后破译加密的口令，以便冒充合法用户访问这台主机。
7:网络嗅探(sniffer)，通过嗅探器在局域网内嗅探明文传输的口令字符串。避免此类攻击的对策是网络传输采用加密传输的方式进行。
8:键盘记录，在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件，木马等都可能会盗取你的口述。
9:其他攻击方式，中间人攻击、重放攻击、生日攻击、时间攻击。
避免以上几类攻击的对策是加强用户安全意识，采用安全的密码系统，注意系统安全，避免感染间谍软件、木马等恶意程序。
第四篇：信息系统安全等级保护备案操作规范
信息系统安全等级保护备案操作规范
一、项目名称、性质
（一）名称：信息系统安全等级保护备案
（二）性质：非行政许可
二、设定依据
二ＯＯ七年六月二十二日公安部、国家保密局、国家密码管理局、国务院信息化工作办公室公通字[202_]43号印发《信息安全等级保护管理办法》第十五条规定：
已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。
三、实施权限和实施主体
根据《信息安全等级保护管理办法》第十五条规定，实施主体和权限为： 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续；
跨省或者全国统一联网运行的信息系统在自治区一级运行、应用的分支系统及各区直单位运营、使用的信息系统，应当向自治区公安厅网络警察总队备案。
跨省或者全国统一联网运行的信息系统在各市运行、应用的分支系统及各市直单位运营、使用的信息系统，应当向市级公安机关网络警察支队备案。
四、行政审批条件
无。
五、实施对象和范围
根据《信息安全等级保护管理办法》第十五条的规定，实施对象和范围是：不涉及国家涉密信息系统的运营使用单位、信息系统主管部门。
六、申请材料
（一）、《信息系统安全等级保护备案表》；
（二）、《信息系统安全等级保护定级报告》；
（三）根据《信息安全等级保护管理办法》第十六条的规定，第三级以上信息系统应当同时提供以下材料：（1）系统拓扑结构及说明；
（2）系统安全组织机构和管理制度；（3）系统安全保护设施设计实施方案或者改建实施方案；（4）系统使用的信息安全产品清单及其认证、销售许可证明；
（5）测评后符合系统安全保护等级的技术检测评估报告；（6）信息系统安全保护等级专家评审意见；
（七）主管部门审核批准信息系统安全保护等级的意见。(提交复印件的应交验原件，复印件规格统一采用A4纸,以上提交材料均为一份)。
七、办结时限
（一）法定办结时限：10个工作日。
（二）承诺办结时限：10个工作日。
八、行政审批数量 无数量限制。
九、收费项目、标准及其依据
不收费。
十、办理时间
夏令时：早上8：30-12：00，下午15：00-18：00
冬令时：早上8：30-12：00，下午14：30-17：30
信息系统安全等级保护备案流程图.doc 附件1.行政审批流程图
2.申请书示范文本
申请书示范文本.doc
第五篇：《网上银行系统信息安全通用规范(试行)》技术解读
《网上银行系统信息安全通用规范（试行）》技术解读
发表于:202_-5-1
4为加强我国网上银行安全管理，促进网上银行业务健康发展，有效增强网上银行系统信息安全防范能力，202_年1月19日中国人民银行向银行业金融机构发布 了《网上银行系统信息安全通用规范（试行）》（以下简称《规范》），本文将就《规范》的内容和技术特点做重点解读。
一、《规范》出台的背景
自1998年招商银行率先在国内推出“一网通”领跑网上金融业以来，国内已有近百家国有银行和城市商业银行加入了网上银行行列，纷纷开通网络转账、付款、贷款和投资等业务。据中国银行业协会发布的《202_中国银行业服务改进情况报告》数据显示，截止202_年底，我国网上银行注册用户数达到1.89 亿，网银交易额达404.88万亿元。网上银行交易快捷、方便和操作简单的特性，极大地满足了网民的交易需求，因而倍受网民的青睐。
但是，由于互联网的开放性，网上银行系统的安全性问题令人担忧。目前，犯罪分子作案手段层出不穷，通过木马、钓鱼网站等威胁客户资金安全，甚至对网银系统 进行恶意渗透破坏和拒绝服务攻击。网上银行趋利性犯罪的高发态势，不仅会损害广大用户的经济利益，也将成为网上银行业务进一步发展的掣肘。因此，我国金融 行业亟需出台一项网上银行系统安全方面的标准，从技术标准层面引导网银业务的发展。
二、《规范》的基本内容
众所周知，网上银行系统在客户端、认证介质、网银后台三个主要安全点可能存在安全隐患，而将这三个安全点串联起来的交易传输网络也可能存在一定的安全风 险，由此构成了整个网上银行系统的安全风险链。在《信息安全技术网上银行系统信息安全保障评估准则（GB/T 20983-202_）》的基础上，结合网上银行系统的技术和业务特点，人民银行及时出台了该《规范》。
该《规范》共分为安全技术、安全管理和业务运作三部分，各部分又分别包含基本要求和增强要求两个层次，基本要求为最低安全要求，增强要求为三年内应达到的 安全要求。其中，安全技术规范内容包括：客户端安全、专用辅助设备
安全、网络通信安全、银行服务器端安全四个方面；安全管理规范内容包括：组织机构、管理 制度、安全策略、人员/文档管理和系统运行管理五个方面；业务运作安全内容包括：业务申请及开通、业务安全交易机制和客户宣传教育三个方面。
《规范》要求银行业金融机构现阶段要遵照执行基本要求，同时积极采取改进措施，在规定期限内达到增强要求。
三、《规范》的技术特点
《规范》对目前已知的网上银行犯罪案例、网上银行常见交易认证机制存在的问题进行挖掘和分析，通过对商业银行网上银行安全检查进行深入分析和总结，从正面 提出规范性要求，具有较强的针对性和可操作性；不仅针对网上银行现实问题，而且针对潜在风险点均提出了应对措施，具有前瞻性；同时内容涵盖了网上银行系统 各个部分、交易的全过程，具有全面性。《规范》的主要技术特点包括：
（1）明确规定禁止仅使用文件证书或文件证书加静态密码的方式进行转账类操作
目前，用户使用文件证书作为认证方式时，其私钥保存在客户端计算机内，而且签名等涉及私钥的敏感操作也在客户的计算机上进行。大部分对于文件证书的保护机 制都依赖于浏览器，而浏览器对于文件证书的保护机制已经不足以抵御目前的各种攻击。因此，《规范》明确禁止仅使用文件证书进行转账类操作，从而能够有效规 避不法分子对客户资金安全的直接威胁，约束金融机构更好地保护客户利益。
（2）强调客户端的安全性
目前，绝大多数网上银行安全事件源于客户端安全隐患。由于客户端受到网上银行木马程序、网上钓鱼等黑客技术的侵害，且客户端程序基于通用浏览器开发，这会 存在利用通用浏览器的漏洞获取客户的网上银行登录信息的风险，另外客户端采用的安全控件防护强度较弱等问题都有可能导致其无法抵御一些常见攻击，因此对客 户端程序的检测就显得十分重要。
《规范》要求在客户端程序上线前要进行严格的代码测试，并关注最新的安全技术和安全漏洞，定期对客户端程序进行检查，从而能够及时发现客户端程序存
在的漏 洞并采取相应的规避措施。同时，金融机构应通过专业的第三方测试机构对客户端程序进行安全检测，目的是通过内部和外部的检测，能够公正、及时、全面地反映 客户端程序存在的问题，从而尽可能地保证其防范常见的针对网上银行客户端的攻击，例如防范采用挂钩Windows键盘消息等方式进行键盘窃听。
（3）对硬件数字证书的应用提出规范要求
USB Key作为专用辅助安全设备的主流产品，其相关安全测试和准入机制还不完善，黑客可能利用USB Key设计上存在的缺陷获得对Key的控制权。《规范》要求USB Key能够防范常见的物理攻击和逻辑攻击，进行PIN码加密传输，并在进行敏感操作时具有提示功能。同时《规范》要求对网上银行上经常使用的USB Key、OTP令牌、动态口令卡和其他专用辅助安全设备进行安全性检测，从源头上解决专用辅助安全设备的安全缺陷所导致的网上银行安全问题，有效防范应用 中的漏洞隐患。
（4）交易机制的规范化基于客户计算机终端不安全的假定
《规范》要求网上银行系统应具有防范客户端数据被篡改的机制，校验客户提交的数据之间的隶属关系，并由客户确认转账交易关键数据，以确保交易数据的真实有 效。在进行确认时，推荐使用手机短信或电话等第二通信渠道请求客户反馈确认交易信息。同时，为了使客户能够及时获取资金变化的信息并发现可疑交易，《规 范》规定了转账交易中，金融机构应提供及时通知客户资金变化的服务，通过采取有效措施，最大限度地保障客户信息和资金安全。
（5）关注Web应用安全
大部分网上银行系统都通过Web向用户提供服务，在Web应用中，《规范》要求应注意防范SQL注入、跨站脚本攻击、拒绝服务攻击等，保障网上银行系统能 够经受黑客等不法分子的攻击，从而保证系统持续、安全运行。
四、《规范》出台的意义
《规范》是人民银行多年来对银行业网上银行信息安全管理工作实践与经验总结的提升，是对金融信息安全认识不断深化的重要成果，也是有效降低金融网络案件、维护金融稳定的重要举措。
《规范》为金融机构开展网上银行系统建设，内部安全检测和合规性审计提供了规范性依据，为行业主管部门、评估测试机构进行检查、检测提供了标准化依
据。《规范》实施后，必将明显提高网上银行整体安全水平，特别是认证机制、交易机制安全性的完善提高，能够有效保障客户信息和资金的安全，增强客户信心，对推 动网上银行更好更快发展，具有里程碑意义。
作为《规范》起草工作的参与单位，银行卡检测中心将继续配合人民银行科技司制订相应的《网上银行安全检测大纲》，通过试点检测，进一步完善《规范》，形成 行业标准，并通过检查使标准落到实处。
