第三方机构接入中国银联
的技术安全要求
中国银联 技术管理部
2012年6月
版本控制信息
版 本 控 制 信 息
版本 0.1 0.2 0.35 0.５ 0.6 0.7 0.8 1.1 2.0
本文档中的所有内容为银联股份有限公司的机密和专属所有。未经银联股份有限公司的明确书面许可，任何组织或个人不得以任何目的、任何形式及任何手段复制或传播本文档部分或全部内容。 日期 2007-08-24 2007-09-14 2007-10-08 2007-12-4 2007-12-26 2009-03-25 2009-5-20 2012-4-16 2012-6-25 拟稿和修改 王晓芸 王晓芸 王晓芸、李煜 王晓芸、李煜 王晓芸、李煜 王晓芸、李煜 张威 夏蕊 夏蕊 说明 初稿 根据室内反馈修改 根据公司内第一次征求意见修改 根据技术规划交流会的意见修改 根据公司内第二次征求意见修改 根据十七大银行回复意见修改 根据技术专家委员会委员函审意见修改 文档定期评审修订 根据各部门反馈意见修改完善 目录
目 录
1
概述 ............................................................................................................................................ - 3 - 1.1 1.2 1.3 2
范围 ..................................................................................................................................... - 3 - 规范性引入文件 ................................................................................................................. - 3 - 术语和缩略语 ..................................................................................................................... - 4 -
第三方机构接入强制性安全要求 ............................................................................................ - 5 - 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8
安全管理 ............................................................................................................................. - 5 - 机房安全 ............................................................................................................................. - 5 - 网络安全要求 ..................................................................................................................... - 6 - 受理银联卡终端安全要求 ................................................................................................. - 8 - 主机系统安全要求 ............................................................................................................. - 9 - 应用系统安全要求 ........................................................................................................... - 10 - 托管设备在银联机房的安全要求 ................................................................................... - 11 - 账户信息安全和密钥管理要求 ....................................................................................... - 12 -
3 第三方机构技术安全指导性要求 .......................................................................................... - 15 - 3.1 3.2 3.3 3.4 3.5 3.6 3.7
安全管理 ........................................................................................................................... - 15 - 机房安全 ........................................................................................................................... - 15 - 网络安全 ........................................................................................................................... - 16 - 系统与应用安全 ............................................................................................................... - 16 - 恶意代码防护 ................................................................................................................... - 17 - 账户信息和密钥管理 ....................................................................................................... - 18 - 应急预案、数据备份和业务持续性计划 ....................................................................... - 18 -
附件1：各类现有的接入方式 ....................................................................................................... - 20 - 附件2：使用VPN接入的安全要求 ............................................................................................. - 21 - 附件3：第三方机构接入安全的符合性自评估表 ....................................................................... - 24 -
I
第三方机构接入银联网络的技术安全要求
前 言
本文档规定了第三方机构接入中国银联强制性安全要求和指导性安全要求，同时规定了第三方机构接入中国银联的申请审批和日常管理流程。
本文档第2节规定了第三方机构接入中国银联的强制性安全要求，第三方机构在接入中国银联前必须达到，如不满足，银联可限制第三方机构业务开展的种类、范围等，甚至拒绝第三方机构接入中国银联。第3节作为指导性安全要求，用于指导第三方机构采取相关安全措施，降低自身信息系统和给银联卡业务带来的安全风险，不作强制要求。第4节描述了对第三方机构接入中国银联的申请审批和日常管理流程。
II
第三方机构接入银联网络的技术安全要求
1 概述
1.1 范围
本文档适用对象为系统平台或终端接入中国银联的第三方机构。这里的“第三方机构”是指受中国银联成员机构委托，为中国银联成员机构收单和发卡业务提供终端运营、接入渠道、系统运营等服务的机构，包括为其他成员机构提供服务的成员机构。第三方机构分为业务涉及银联卡账户信息的处理、传输或存储和业务不涉及银联卡账户信息的处理、传输或存储的两类。前者简称为涉及账户信息类，后者简称为不涉及账户信息类。
1.2 规范性引入文件
下列文件中的条款通过本标准的引用而成为本规范的条款。 GB 2887-2000 电子计算机场地通用规范 GB 9361-2000 计算机场地安全要求 《银联卡受理终端安全规范》
《中国银联移动终端支付应用软件安全规范》 《银联卡账户信息与交易数据安全管理规则》 《银联卡收单机构账户信息安全标准》
《银联卡账户信息与交易数据安全管理指南》《银联卡密钥安全管理规则》
《银行卡联网联合安全规范》第五部分“联网联合安全技术应用” 《银行卡联网联合技术规范》第四部分“数据安全传输控制规范” 《GB/T22239-2008信息安全技术 信息系统安全等级保护基本要
- 3 -
第三方机构接入中国银联的技术安全要求(PDF 44页)
