51CTO下载-网上银行系统信息安全通用规范

《网上银行系统信息安全通用规范》概述及修订分析随着互联网的飞速发展，网上银行已经成为人们日常生活中不可或缺的服务之一。

随之而来的信息安全问题也给网上银行带来了很大的挑战。

为了规范网上银行系统信息安全，保障用户的资金安全和个人信息安全，国家相关部门出台了《网上银行系统信息安全通用规范》，对网上银行系统的信息安全进行了全面规范和要求。

本文将对《网上银行系统信息安全通用规范》进行概述，并对其修订进行深入分析。

《网上银行系统信息安全通用规范》是由国家相关部门发布的一项关于网上银行系统信息安全的通用规范，其目的在于规范和加强网上银行系统的信息安全管理，保护用户的合法权益，维护金融秩序和国家安全。

该规范包括了网上银行系统的整体架构、安全管理、风险控制等方面的要求，是网上银行运营过程中的重要指导文件。

《规范》分为引言、术语和定义、信息安全管理、网上银行业务信息系统安全技术要求、风险控制与监测、安全事件和应急处置、监督管理等七个部分，细致而系统地规范了网上银行系统信息安全方面的各项工作。

《规范》要求网上银行系统要建立健全完善的信息安全管理制度，加强对用户身份的验证和保护，确保用户信息的保密性和完整性。

对于网络安全技术方面也有具体的要求，包括对数据加密、网络防火墙、访问控制等方面的要求。

还要求网上银行系统对安全风险进行评估和控制，并建立应急响应机制，及时处置各类安全事件，保障系统的稳定与安全。

整体来说，《规范》为网上银行系统的信息安全提供了详细而全面的指导，对于提高网上银行系统的信息安全水平具有重要意义。

中国的互联网金融市场发展迅速，不断出现新的业务模式和技术手段，这就对《网上银行系统信息安全通用规范》提出了新的挑战和要求。

及时对《规范》进行修订，使之能够适应新的市场环境和技术发展，对于保障网上银行系统的信息安全具有十分重要的意义。

在修订《规范》时，应该充分考虑到新兴的互联网金融业务，如移动支付、P2P借贷等，这些新业务在传统的《规范》中可能未能覆盖到。

每次签名前验证用户身份
签名时有提示功能（指示灯、声音） 退出登录时应提示客户取下USB Key
防范USB Key远 程劫持
一段时间内无任何操作，自动关闭
增
强
要
屏幕显示或语音提示、按键确认功能 求
4、主要内容
4.1.2 安全技术—专用安全设备安全
时间机制的OTP令牌,时间窗口不 超过60秒
挑战应答的OTP令客户端程序应禁止在身份认证结束后存储敏感信息，防止敏感信息的泄露。
4、主要内容
4.1.1 安全技术—客户端安全
4.1.1 客户端安全 • 客户端程序安全
功能要求 防护功能：
客户端防分析： • 客户端程序应采取代码混淆等技术手段，防范攻击者对客户端程序的调试
、分析和篡改。 客户端防篡改： • 应对客户端程序进行签名，标识客户端程序的来源和发布者，保证客户所
4、主要内容
4.1.1安全技术—客户端安全
4.1.1 客户端安全 • 客户端环境安全：
采取有效措施提升客户端环境安全级别，例如在线杀毒服务、安全检测工具等。 发现移动终端平台的重大安全缺陷或安全威胁时，应在门户站点发布警示通知， 并通过短信、邮件等方式警示客户。
4、主要内容
4.1.2安全技术—专用安全设备安全
• 金融机构应采取有效技术措施保证客户端处理的敏感信息、客户端与服务器 交互的重要信息的机密性和完整性；应保证所提供的客户端程序的真实性和 完整性，以及敏感程序逻辑的机密性。
• 客户端程序应提供客户输入敏感信息的即时加密功能，例如，采用密码保护 控件。
• 客户端程序应提供敏感信息机密性、完整性保护功能，例如采取随机布放按 键位置、防范键盘窃听技术、计算MAC校验码等措施。
增强要求； • 使用获得国家主管部门认定的具有电子认证服务许可证的CA 证书及认证服务。

网上银行系统信息安全通用规范
网上银行系统信息安全通用规范是针对网上银行系统信息安全要求研
制的一组统一的基本要求，目的是使网上银行搭建的信息安全管理体系更
加完善。

1、保护客户个人隐私。

保护客户个人隐私是网上银行系统信息安全
要求的基本原则，不能侵害客户的个人隐私，不得泄露客户的个人信息。

2、实施信息安全技术防护。

采用完善的防火墙技术、系统安全评价
技术、认证技术、监视技术、识别技术等，实现网上银行系统的安全保护。

3、以口令及其他身份认证机制保护财产。

采取口令认证、数字签名
认证等机制，建立用户登录及业务交易的身份认证，保证网上银行系统的
安全。

4、保障数据完整性。

采用报文数字签名、报文数字摘要技术，建立
网上银行系统的数据完整性技术保障机制，确保网上银行系统的安全性。

5、强化系统安全管理。

建立内部安全管理机构及内部安全管理人员，实施网上银行系统安全管理体系，保障网上银行系统的安全性。

2021/7/5
29
3.4安全防护方案
防病毒网关
病毒、蠕虫和木马等对网银系统安全造成极大威胁。防 病毒必须软、硬件两手抓。设置防病毒网关对进入应用 区的信息进行扫描，同时网银系统的程序本身也要防止 SQL 注入等应用层的安全漏洞。
2021/7/5
30
3.4安全防护方案
传输加密
数据加密的方法里有链路层加密、网络层加密及应用层 加密。其中对网银来说，应用层的加密应用比较广泛。 网银客户端至服务器端的安全连接可以采用 SSL （Security Socket Layer）协议。SSL 已得到各主流浏览 器内置的支持。由于标准的 SSL 协议，在采用客户端证 书时，并未对用户的交易数据进行显式签名，所以一般 的网银系统可通过在客户浏览器安装签名控件来完成， 签名控件一方面可以完成数字签名，另一方面，通过自 定义签名格式，只对需要的页面要素进行签名，去除不 必要的数据被签名。
2021/7/5
11
2.数据安全需求
数据的可用性需求
数据可用性要求数据对于授权实体是有效、可用的，保证授 权实体对数据的合法存取权利。对数据可用性最典型的攻击 就是拒绝式攻击和分布式拒绝攻击，两者都是通过大量并发 的恶意请求来占用系统资源，致使合法用户无法正常访问目 标系统。
网银系统可用性需求体现在以下几个方面： 并发用户 / 并发连接。 同时在线人数。 中断允许的最大时间。 对系统的访问时间的要求。
2021/7/5
19
3.3安全策略
安全策略是整个安全体系的基础。构建安全系统需要 工程师来操作，这就需要建立健全的规章制度和操作 规范，使保护、检测、响应和恢复环节行之有效。
一般的安全系统需要以下规章制度和操作规范：设备 管理制度，机房管理制度，系统安全管理守则和明细， 网络安全管理守则和明细，应用安全管理守则和明细， 应急响应计划，灾难恢复计划等。