JR∕T 0234—2021 数字函证金融应用安全规范(金融).pdf
《JR∕T 0234—2021 数字函证金融应用安全规范(金融).pdf》由会员分享,可在线阅读,更多相关《JR∕T 0234—2021 数字函证金融应用安全规范(金融).pdf(15页珍藏版)》请在咨信网上搜索。
1、ICS 35.240.40CCS A 11JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 02342021数字函证金融应用安全规范Security specification for financial digital confirmation2021 - 09 - 27 发布2021 - 09 - 27 实施中国人民银行发 布JR/T 02342021I目次前言. II1范围.12规范性引用文件.13术语和定义.14缩略语.35数字函证业务.35.1业务概述.35.2系统构成.46数字函证安全要求.46.1安全要求概述.46.2安全技术要求.46.3安全管理要求.86.4安全
2、运营要求.87互联互通安全要求.97.1通用安全.97.2接入网络安全.97.3区块链应用安全.10参考文献.11JR/T 02342021II前言本文件按照GB/T 1.12020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国人民银行提出。本文件由全国金融标准化技术委员会(SAC/TC 180)归口。JR/T 023420211数字函证金融应用安全规范1范围本文件规定了金融机构数字函证业务系统和数字函证基础设施的安全技术要求、 安全管理要求、 业务运营安全要求等。本文件适用于开展数字函证业
3、务的金融机构以及数字函证基础设施建设运营单位。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中, 注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 22239信息安全技术网络安全等级保护基本要求GB/T 25069信息安全技术术语GB/T 39786信息安全技术信息系统密码应用基本要求JR/T 0068网上银行系统信息安全通用规范JR/T 0071金融行业网络安全等级保护实施指引JR/T 0118金融电子认证规范JR/T 0184金融分布式账本技术安全规范JR/T 0185商业银行应
4、用程序接口安全管理规范JR/T 0193区块链技术金融应用评估规则JR/T 0197金融数据安全数据安全分级指南JR/T 0223金融数据安全数据生命周期安全规范3术语和定义下列术语和定义适用于本文件。3.1函证 confirmation会计师事务所等在取得被审计单位授权后, 直接向金融机构发出询证函, 金融机构针对所收到的询证函,查询、核对相关信息并直接提供书面回函的过程。3.2数字函证 digital confirmation会计师事务所等在取得被审计单位授权后, 应用数字化手段向金融机构发出询证函, 金融机构应用数字化手段受理会计师事务所等数字函证请求,提供符合函证数据标准的数字回函的过
5、程。JR/T 0234202123.3数字函证联系 digital confirmation correspondence指会计师事务所或被审计单位与金融机构的数字函证联系,可通过金融机构数字函证业务系统直接连接或通过数字函证基础设施间接连接方式实现。3.4数字函证基础设施 digital confirmation infrastructure由独立第三方提供的支持会计师事务所、 被审计单位与金融机构实现数字函证联系的公共基础设施,符合集约化、规范化、数字化的要求。3.5会计师事务所 accounting firm经被审计单位授权后,发起数字函证请求的具有合法执业资质的机构。3.6被审计单位
6、auditee会计师事务所的审计对象。注:被审计单位授权会计师事务所向银行业金融机构等发起询证函并接收函证。3.7金融机构数字函证业务系统 financial institutions digital confirmation system可汇总提供被审计单位在金融机构的所有函证业务信息的集中处理系统。3.8证书 certificate关于实体的一种数据,该数据由认证机构的私钥或秘密密钥签发,并无法伪造。来源:GB/T 25069,2.2.2.2183.9数字签名 digital signature附加在数据单元上的数据, 或是对数据单元所作的密码变换, 这种数据或变换允许数据单元的接收者用以
7、确认数据单元的来源和完整性,并保护数据防止被人(例如接收者)伪造或抵赖。来源:GB/T 25069,2.2.2.1763.10访问控制 access control一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段。来源:GB/T 25069,2.2.1.423.11智能密码钥匙 cryptographic smart token提供密码运算、密钥管理等密码服务的终端密码设备,一般使用USB、蓝牙、音频、SD等接口形态。JR/T 023420213来源:JR/T 0068,3.74缩略语下列缩略语适用于本文件。API:应用程序接口(Application Programming
8、 Interface)App_ID:应用唯一标识(Application unique ID)App_Secret:应用鉴别密文(Application Secret)CA:证书颁发机构(Certificate Authority)LEI:全球法人识别编码(Legal Entity Identifier)SD:安全数码(Secure Digital)SQL:结构化查询语言(Structured Query Language)TEE:可信执行环境(Trusted Execution Environment)USB:通用串行总线(Universal Serial Bus)VPN:虚拟专用网络(Vi
9、rtual Private Network)5数字函证业务5.1业务概述数字函证联系模式可以分为数字函证基础设施间接连接模式和金融机构数字函证业务系统直接连接模式,数字函证业务模式如图所示。图 数字函证业务模式在间接连接模式下, 数字函证基础设施运营单位与金融机构互为合作方, 会计师事务所等为被服务方。该模式下,会计师事务所通过数字函证基础设施发送函证至金融机构,金融机构受理被审计单位授权的函证并回函, 会计师事务所通过数字函证基础设施获取金融机构的回函。 数字函证基础设施应符合集约化、规范化、数字化的要求,应在数据安全防护、控制权设计、运营模式等方面采取必要的安全措施。 数字函证基础设施应具
10、有网络安全等级保护三级认证。 通过数字函证基础设施传输的函证数据应由会计师事务所或金融机构加密,数字函证基础设施应无法对函证数据进行解密。JR/T 023420214在直接连接模式下,金融机构通过自建数字函证业务系统直接为会计师事务所提供数字函证服务。该模式下, 会计师事务所发送函证至金融机构数字函证业务系统, 金融机构通过数字函证业务系统受理被审计单位授权的函证并回函,会计师事务所通过金融机构数字函证业务系统获取回函。数字函证基础设施运营单位和金融机构应支持配合监管部门开展函证业务监管工作。 监管部门在保证函证数据安全、数字函证业务合规的前提下,对数字函证业务进行监管。数字函证基础设施运营单
11、位及合作单位应获得监管部门的授权或认可。5.2系统构成数字函证基础设施和金融机构数字函证业务系统主要由接入端、通信网络、服务端组成。对于数字函证基础设施间接连接模式,会计师事务所和金融机构是接入端,数字函证基础设施是服务端;对于金融机构数字函证业务系统直接连接模式,会计师事务所等是接入端,金融机构是服务端。数字函证基础设施和金融机构数字函证业务系统在设计、开发、部署和运营过程中,应审慎评估业务、网络安全、数据安全及外包等风险,并针对各类风险进行有效防护。数字函证基础设施之间应支持互联互通, 为金融机构、 会计师事务所等开展数字函证业务和监管部门统筹监管提供便利。5.2.1接入端数字函证基础设施
12、和金融机构数字函证业务系统通过网页(Web)应用或API对接方式提供发函、回函、流程管理等服务,会计师事务所可根据实际情况进行适配。5.2.2通信网络数字函证基础设施和金融机构数字函证业务系统通过互联网或专用网络向会计师事务所提供数字函证联系服务,应从网络安全层面采取措施有效应对安全风险。5.2.3服务端数字函证基础设施和金融机构数字函证业务系统应充分利用物理与环境安全、 网络与通信安全、 设备与计算安全、应用与数据安全等领域的防护手段,综合使用密码学、安全协议、TEE等技术保证函证数据的机密性、完整性和不可抵赖性。6数字函证安全要求6.1安全要求概述数字函证基础设施和金融机构数字函证业务系统
13、应遵照国家和金融行业相关安全标准进行建设, 并遵循本文件关于安全技术、安全管理和安全运营的相关要求。6.2安全技术要求6.2.1通用安全数字函证基础设施和金融机构数字函证业务系统的物理与环境安全、 网络与通信安全、 设备与计算安全、应用与数据安全应遵循JR/T 0071中关于系统第三级安全保护的要求。6.2.2密码安全JR/T 023420215数字函证基础设施和金融机构数字函证业务系统使用的密码算法、 密码产品以及密码服务应遵循国家密码管理部门相关要求,并遵循GB/T 39786的要求。6.2.3数字函证业务安全6.2.3.1接入端安全数字函证基础设施和金融机构数字函证业务系统使用的密码硬件
14、设备 (如智能密码钥匙、 加密卡等)及安全认证设备应符合行业主管部门和国家密码管理部门的要求,同时应满足JR/T 0068中6.2.2的要求。6.2.3.2身份认证对使用数字函证基础设施和金融机构数字函证业务系统的用户(以下简称用户)进行身份认证时,遵循如下要求:a)对通过API方式对接的用户进行身份认证时,应遵循如下要求:1)使用的验证要素包括 App_ID 和 App_Secret,App_ID 和数字证书,App_ID 和公私钥对,或上述三对要素的组合。2)使用包含数字证书或公私钥对的方式进行双向身份认证。3)建立 IP 地址白名单, 仅允许在白名单内的 IP 地址进行网络通信并访问函证
15、业务接口, 应支持 IP 地址白名单动态更新。b)对通过Web方式对接的用户进行身份认证时,应遵循如下要求:1)按照审慎原则,采取有效、可靠的身份认证手段,保证数据安全。2)采取验证强度与数据敏感度相匹配的技术措施, 提高安全性。 高风险业务应在下列三类要素中选用两组及以上进行验证:一是用户知悉的要素,如静态密码等;二是仅用户本人持有并特有的, 不可复制或者不可重复利用的要素, 如经过安全认证的数字证书、 电子签名,以及通过安全渠道生成和传输的一次性密码等;三是用户本人生物特征要素,如指纹、虹膜等。要素应相互独立,部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。3)提供登录失败处理功能,可
16、采取结束会话、限制非法登录次数和自动退出等措施。4)对于系统自动分配或者预设的强度较弱的初始密码, 应强制用户首次登录时修改初始密码,并要求用户设置具有一定密码强度的密码。应要求用户定期更换密码,修改密码时,新设定的密码不应与旧密码相同。应支持用户锁定策略。采用一次性密码作为验证要素的,应将一次性密码有效期严格限制在最短的必要时间内。5)仅支持同一用户单点登录, 同一用户多点登录仅保留最新会话, 并向用户发送系统消息和短信进行提醒。6)具备良好的可扩展性,可快速实现对动态口令、生物识别等其他认证方式的支持。6.2.3.3通信链路安全数字函证基础设施和金融机构数字函证业务系统通信链路的建立过程和
17、传输过程应使用密码技术进行保护,并遵循如下要求:a)应在客户端程序与服务器之间建立安全的信息传输通道, 采用安全稳定的安全协议并及时更新至最新版本,不可使用存在重大安全隐患版本的协议。b)每次会话宜采取独立不同密钥对业务数据进行加密处理,防止业务数据被窃取或者被篡改。c)应使用密码技术和安全通信协议保证传输数据的机密性和完整性, 且密码算法应符合国家密码管理部门的相关要求。d)通过公开网络进行数据传输时,应通过密钥对、证书等密码技术手段进行双向认证。JR/T 023420216e)可采用隧道技术、加解密技术、密钥管理技术、身份认证技术在系统与用户之间构建虚拟专用网络(VPN),拥有适当权限的用
18、户才能通过远程访问建立连接。6.2.3.4Web 应用安全数字函证基础设施和金融机构数字函证业务系统在Web应用安全方面遵循如下要求:a)应能够防范函证敏感信息泄露。b)应能够防范SQL注入攻击。c)应能够防范跨站脚本攻击。d)应对Web页面提供的链接和内容进行控制,定期检查外部链接和引用内容的安全性。e)应采取网站页面防篡改措施,应具备对Web后门进行检测和报警的能力。f)应加强对开源及商业应用系统或组件的安全管理,进行安全评估并及时修复安全漏洞。g)应对文件的上传和下载进行访问控制,避免攻击者执行恶意文件或发起未授权访问。h)应采取有效措施防范针对服务器端应用层的拒绝服务攻击。6.2.3.
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- JRT 02342021 数字函证金融应用安全规范金融 JR 0234 2021 数字 金融 应用 安全 规范
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【曲****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【曲****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。