JR∕T 0199-2020 金融科技创新安全通用规范(金融).pdf
《JR∕T 0199-2020 金融科技创新安全通用规范(金融).pdf》由会员分享,可在线阅读,更多相关《JR∕T 0199-2020 金融科技创新安全通用规范(金融).pdf(19页珍藏版)》请在咨信网上搜索。
1、ICS 35.240.40CCSA 11JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 01992020金融科技创新安全通用规范Security general specification for FinTech innovation2020 10 - 21 发布2020 10 21 实施中国人民银行发 布JR/T 01992020I目次前言.II1范围.12规范性引用文件.13术语和定义.14缩略语.25交易安全.26服务质量.57业务连续性.58算法安全.79架构安全.810数据安全.811网络安全.812内控管理.11附录(规范性附录)容灾等级划分及关键指标要求.13参考
2、文献.15JR/T 01992020II前言本文件按照GB/T 1.12020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。本文件由中国人民银行提出。本文件由全国金融标准化技术委员会(SAC/TC 180)归口。本文件起草单位:中国人民银行科技司、中国人民银行南京分行、中国人民银行营业管理部、中国人民银行深圳市中心支行、中国支付清算协会、中国互联网金融协会、中国工商银行股份有限公司、中国农业银行股份有限公司、中国银行股份有限公司、中国建设银行有限公司、中国金融电子化公司、北京银联金卡科技有限公司、北京中金国盛认证有限公司、北京金融科技产业联盟、交通银行股份有限公司、中国人寿财
3、产保险股份有限公司、中信银行股份有限公司、中国民生银行股份有限公司、招商银行股份有限公司、广发银行股份有限公司、上海浦东发展银行股份有限公司、渤海银行股份有限公司、中国银联股份有限公司、上海银行股份有限公司、成都银行股份有限公司、重庆银行股份有限公司、苏州银行股份有限公司、杭州银行股份有限公司、重庆农村商业银行股份有限公司、上海华瑞银行股份有限公司、深圳前海微众银行股份有限公司、浙江网商银行股份有限公司、四川新网银行股份有限公司、传化支付有限公司、百行征信有限公司、工银科技有限公司、建信金融科技有限公司、兴业数字金融服务(上海)股份有限公司、华为软件技术有限公司、腾讯云计算(北京)有限责任公司
4、、京东数字科技控股股份有限公司、度小满(重庆)科技有限公司、中金金融认证中心有限公司。本文件主要起草人:李伟、潘润红、李兴锋、张宏基、但孝磊、丁华明、李健、渠韶光、于园、汤沁、孙维挺、黄梦达、侯晓晨、贾铮、刘力慷、李博文、孙茂增、黄本涛、赵计博、周钰博、祁永、吴奕、徐激、孙昊、朱永红、马懿、钱卫星、刘炀、罗瑞、王若虹、李烨、吴峰、赵永、马杰、杨涛、白云飞、陈庆来、韩毅、李大栩、任雯雯、张德玮、傅杰、张奕华、朱一鸣、孙涵、杜霞、顾爱霞、何韬、佘科、李微羽、徐建芳、卢华玮、陈勤伟、李斌、黄超、李秀生、张勇钢、郭胜基、丁君之、何方竹、李洋、杜明灯、黄淼、范义鹏、吴同亮、孙越。JR/T 0199202
5、01金融科技创新安全通用规范1范围本文件规定了金融科技创新的基本安全要求,包括交易安全、服务质量、业务连续性、算法安全、架构安全、数据安全、网络安全、内控管理等。本文件适用于从事金融服务创新的持牌金融机构,也适用于从事相关业务系统、算力存储、算法模型等科技产品研发的科技公司以及安全评估机构等。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中, 注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T20988信息安全技术信息系统灾难恢复规范GB/T22240信息安全技术网络安全等级保护定级指
6、南JR/T0044银行业信息系统灾难恢复管理规范JR/T0071金融行业信息系统信息安全等级保护实施指引JR/T01182015金融电子认证规范JR/T0166云计算技术金融应用规范技术架构JR/T0167云计算技术金融应用规范安全技术要求JR/T0168云计算技术金融应用规范容灾JR/T01712020个人金融信息保护技术规范JR/T01932020区块链技术金融应用评估规则3术语和定义下列术语和定义适用于本文件。3.1金融科技创新应用fintech innovation在符合现行法律法规、部门规章、规范性文件等要求前提下,在尚不具备管理细则的领域,利用新技术设计、面向金融用户的产品或服务。
7、3.2金融科技创新机构fintech innovation institution从事金融服务创新的持牌金融机构及从事相关业务系统、 算力存储、 算法模型等科技产品研发的科技公司。JR/T 0199202023.3个人金融信息personal financial information金融科技创新机构通过提供金融服务或科技产品等方式获取、加工和保存的个人信息。注1:本文件中的个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。注2:改写JR/T 01712020,定义3.2。3.4业务连续性business continuity在
8、中断事件发生后,组织在预先确定的可接受的水平上连续交付产品或提供服务的能力。4缩略语下列缩略语适用于本文件。API:应用程序接口(Application Programming Interface)APP:客户端应用软件(Application Software)DDoS:分布式拒绝服务攻击(Distributed Denial of Service)IP:网际互连协议(Internet Protocol)LQA:可接受的最低质量(Lowest Quality Acceptable)QoS:服务质量(Quality of Service)RPO:恢复点目标(Recovery Point Obj
9、ective)RTO:恢复时间目标(Recovery Time Objective)SDK:软件开发工具包(Software Development Kit)UPS:不间断电源(Uninterruptible Power System)Web:全球广域网(World Wide Web)5交易安全5.1交易验证a)交易验证可以组合选用下列3类要素:仅客户本人知悉的要素;仅客户持有并特有的,不可复制或者不可重复利用的要素;客户本人生物特征要素。b)交易验证要素的使用,应满足以下要求:应确保采用的要素相互独立,即部分要素的损坏或者泄露不应导致其他要素损坏或者泄露;应严格限制使用初始交易密码并提示客户
10、及时修改,建立交易密码复杂度校验机制,避免交易密码过于简单(如“111111”、“123456”等)或与个人金融信息(如出生日期、证件号码、手机号码等)相似度过高;采用数字证书、电子签名作为认证要素的,数字证书及生成电子签名的过程应符合相关法律法规、JR/T 01182015 等有关规定,确保数字证书的唯一性、完整性及交易的抗抵赖性;JR/T 019920203采用一次性密码作为验证要素的,应切实防范一次性密码获取端与交易指令发起端为相同物理设备而带来的风险,并将一次性密码有效期严格限制在最短的必要时间内;采用客户本人生物特征作为验证要素的,应符合国家、金融行业标准和相关信息安全管理要求,防止
11、被非法存储、复制或重放;应采取交易验证强度与交易额度相匹配的技术措施,提高交易的安全性;应经过客户确认并进行交易验证,交易验证宜同时采用上述 3 类要素中的两类要素,不足 2 类的应采取相应的风险补偿措施。5.2交易确认交易确认应满足以下要求:a)应采取有效措施,确保客户在执行交易指令前可对交易内容、交易金额等交易信息进行确认,并在交易指令完成后展现交易信息或及时将结果通知客户。b)应确保交易信息的真实性、完整性、可追溯性以及在交易全流程中的一致性,不得篡改或者隐匿交易信息。c)应采用静态密码、动态口令、数字证书等可靠的技术手段实现本人主动确认,保障用户的知情权、财产安全权等合法权益。5.3交
12、易监控5.3.1交易监控系统建立金融科技创新机构应建立有效的交易监控系统,满足以下要求:a)应建立交易监控系统,能够甄别并预警潜在风险的交易,并生成风险监控报告。b)应根据交易的风险特征建立风险交易模型,有效监测可疑交易,对可疑交易建立报告、复核、查结机制。c)应采用大数据分析、客户行为建模等手段,建立交易风险监控模型和系统,对异常交易进行及时预警,并采取调查核实、风险提示、延迟结算等处理措施。d)应通过交易行为分析、机器学习等不断优化风险评估模型,提高欺诈交易拦截成功率,降低误判率,切实提升交易安全防护能力。5.3.2交易风险识别金融科技创新机构应支持欺诈风险和合规风险的识别。a)欺诈风险指
13、不法分子利用虚假申请、伪造或变造、盗用账户等手段盗取交易资金的风险,是非用户本人意愿发起的交易,或者不法分子勾结用户通过虚构交易等方式造成金融机构资金、权益等方面损失的风险,包括但不限于:非面欺诈,指欺诈分子窃取或骗取账号、PIN、有效期、短信验证码及其他关键身份验证信息后,通过邮购/电购、互联网、手机等非面对面渠道进行欺诈冒用;账户盗用,指欺诈分子冒充真实账户所有人的身份,通过修改账单地址、虚假挂失等一系列手段获取重制账户信息进行的欺诈交易;伪冒申请,指使用虚假身份或冒用他人身份开立账户完成欺诈交易;商户合谋,指特约商户在受理交易时,违规操作、蓄意进行欺诈交易或纵容、包庇、协助账户所有人开展
14、欺诈交易的行为;营销欺诈,指不法分子利用营销主办方的营销漏洞,与商家勾结、虚构交易,骗取营销活动主办机构的营销费用,获得不正当收益。JR/T 019920204b)合规风险指虽然是用户本人意愿发起的交易,但该交易行为违反国家法律法规和监管要求,属于禁止的或不当的交易行为,包括但不限于:洗钱风险,指将通过各种手段掩饰违法所得,隐瞒违法来源,使其在形式上合法化,常见于毒品犯罪、黑社会性质的组织犯罪、恐怖活动犯罪、走私犯罪、贪污贿赂犯罪、破坏金融管理秩序犯罪、金融诈骗犯罪等各类违法犯罪过程;电信诈骗,指不法分子通过电话、网络和短信方式,编造虚假信息,设置骗局,对受害人实施远程、非接触式诈骗,诱使受害
15、人本人给不法分子汇款、转账、购物或代付等的犯罪行为,从而给受害人造成资金和权益方面的损失;非法集资,指单位或者个人未依照法定程序经有关部门批准,以发行股票、债券、彩票、投资基金证券或者其他债权凭证的方式向社会公众筹集资金,并承诺在一定期限内以货币、实物以及其他方式向出资人还本付息或给予回报的行为;移机切机,指交易终端出现了不正当的位置移动,以及被非法接入其他收单机构,发生与注册登记信息不符的行为。5.3.3交易风险处置金融科技创新机构应建立交易风险处置机制。交易风险处置是在风险决策结束后进行的评估反馈、风险核查、关联排查、案件协查和损失处置的相关后续活动。风险处置的结果旨在完善现有风险防控的策
16、略、风险信息处理的内容与交易风险评估的能力,实现风险防控流程的闭环反馈优化。a)风险核查指基于风险评估和决策输出的结果,对于已识别存有风险的业务进行调查,分析原因与风险特征,以确认当时的决策是否准确恰当,包括但不限于以下方式开展:对于拦截阻断的交易:应配套后续调查流程完善防控手段;宜与业务方进行确认,判断拦截阻断的准确性;经调查拦截无误的, 相关信息可纳入黑灰名单和负面样本, 作为后续优化事中监测依据;经调查拦截不准确的,宜恢复交易权限,及时调整事中监测策略。对于挂起确认和提示预警的交易:应配套调查处置流程,并借鉴简化后续类似情况下的处理流程;可事后统计分析存在的可疑点, 集中与业务方沟通确认
17、, 回溯挂起确认和提示预警的必要性与准确性,并判断下一次类似条件的业务风险处理方式。b)关联排查指对于存有风险的业务相关元素,基于潜在关系进行关联分析,以挖掘是否存在同类风险或衍生风险, 弥补事中监测决策可能未识别的潜在风险敞口, 关联排查包括但不限于以下方式开展:应对存在风险交易的同账户关联交易进行分析。应对存在信息泄露风险的用户在一段时间内有交易的账户进行分析。宜对存在虚假申请风险的账户关联的设备信息进行分析。宜对存在风险交易的账户或者所属用户的位置信息进行分析。宜对存在风险交易的手机号码进行分析,包括验证手机号码、注册手机号码等。c)案件协查主要是指配合公安、司法机关开展的风险案件协查,
18、包括但不限于以下方式开展:应对公安、司法机关提供必要的交易明细。应对公安、司法机关提供必要的用户开户获批的相关信息。应根据公安、司法机关的指令冻结账户和资金。宜对公安、司法机关提供已采集的交易信息、账户信息以外的风险案件行为特征,例如JR/T 019920205IP、MAC 等。d)损失处置主要指对于明确产生的风险损失,通过快速挽损、风险责任认定,将风险化解、转移或者赔偿的处置方式,并控制后续风险损失敞口,可采取的主要方法包括但不限于:延迟结算:采取结算资金延迟到账方式挽回损失。货物拦截:针对互联网渠道实物类商品销售付款与收货存在较长时间的特性,在风险识别后及时控制在途货物,采取退款措施,控制
19、风险损失敞口。追偿结算:通过事后损失追偿,转移化解已有风险损失。限制功能:针对识别的具有高风险特征的交易行为,对相关资金账户、商户终端采取限制交易权限措施。关闭通道:关闭交易通道,防范新增损失。保险赔付:通过事先投保、事后理赔方式,分散化解风险损失。法律诉讼:通过提起法律诉讼方式,解决风险责任认定和损失处置争端,转移化解风险损失。6服务质量金融科技创新机构应建立有效的服务质量管理机制,满足以下要求:a)应建立服务质量管理规范,包括 QoS 预测、QoS 建立、QoS 监控、QoS 维护等过程管理。b)应通过对创新应用的业务功能、预期用户数、服务地域、服务时间等特性进行充分分析,从服务可用性、吞
20、吐量、时间延迟等方面预测 QoS。c)应以满足用户或相关方的业务期望为基础, 根据具体资源情况建立 QoS 目标, 设置可接受最低质量(LQA)极限。d)应对通信线路、网络设备、主机设备、应用软件的运行情况进行 QoS 监控,检查服务可用性、吞吐量、时间延迟等是否满足 QoS 目标,对系统的服务水平低于 LQA 时进行预警。e)应在可接受的级别上为满足 QoS 进行资源分配。7业务连续性7.1业务影响分析金融科技创新机构应根据业务连续性目标和业务发展规划, 对金融科技产品及其服务模式进行详细的业务影响分析,满足以下要求:a)应根据当前的业务场景, 使用恰当的分析方法, 对所面临的威胁和当前体系
21、的脆弱性进行深入剖析,评估各类风险发生的概率和可能导致的损失。b)应对风险可能造成的业务影响进行研判。c)应根据监管要求、业务性质、业务服务范围、数据集中程度、业务时间敏感性、功能关联性等要素进行业务功能分析,并在此基础上评估业务中断可能造成的影响,确定灾难恢复目标及恢复优先级。7.2业务连续性管理金融科技创新机构应采取有效的业务连续性管理措施,满足以下要求:a)应制定业务连续性策略及计划。b)应从应用和数据等技术方面确保业务连续性,避免单点故障。JR/T 019920206c)应将业务连续性管理整合到组织的流程和架构中,明确指定相关部门负责业务连续性的管理。d)应制定员工在业务连续性方面的培
22、训计划和考核标准。e)应定期或在业务系统发生显著变化时, 测试并更新业务连续性计划与过程, 以确保其持续有效。f)应至少每年组织 1 次业务连续性专项内部审计或委托第三方进行的审计,并形成包括审计意见、改进计划和改进结果的审计报告。g)使用的科技产品应至少支持容灾能力 3 级要求,容灾等级划分及关键指标要求参见附录。7.3业务连续性资源配置金融科技创新机构应采取有效的业务连续性资源配置措施,满足以下要求:a)应避免机房采用的多路市电输入均来自于同 1 个变电站,应对 UPS 等重要设备的报警日志进行及时审核和处理。b)应提供冗余通信线路,并选择与主用通信线路不同的电信运营商和不同的物理路径。c
23、)核心层、汇聚层的设备和重要的接入层设备均应双机热备或多机集群,例如,核心交换机、服务器群接入交换机、重要业务管理终端接入交换机、核心路由器、防火墙、均衡负载器、带宽管理器及其他相关重要设备。d)Web 服务器、中间件服务器、前置服务器、数据库服务器等关键数据处理系统均应双机热备或多机集群,并设置磁盘冗余阵列或分布式多副本存储技术,以避免单一部件故障影响设备运行的风险。e)应梳理并维护关键的设备部件、备件清单,采取有效的措施防止因单个设备部件出现故障,导致冗余设备无法正常启用或切换的风险。7.4备份与恢复管理金融科技创新机构应采取有效的备份与恢复管理措施,满足以下要求:a)应根据系统的业务影响
24、性分析结果,制定不同数据的备份策略,并实施应用级备份,以保证灾难发生时,能尽快恢复业务运营。b)应建立控制数据备份和恢复过程的程序,对备份过程进行记录,所有文件和记录应妥善保存,明确规定备份数据的保存期,做好备份数据的销毁申请、审查和登记工作。c)应定期执行恢复程序, 检查并测试备份介质的有效性, 确保可以在恢复程序规定的时间内完成备份恢复。d)应对技术方案中关键技术应用的可行性进行验证测试, 并记录和保存验证测试的结果, 以满足灾难恢复策略的要求。e)应在统一的灾难恢复策略下建立完善的系统灾难恢复体系, 开展灾难恢复需求分析、 策略及计划制定、灾备系统建设及演练等工作,并根据实际情况对其进行
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- JRT 0199-2020 金融科技创新安全通用规范金融 JR 0199 2020 金融 科技 创新 安全 通用 规范
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【曲****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【曲****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。