《非金融机构支付业务设施技术要求》由会员分享，可在线阅读，更多相关《非金融机构支付业务设施技术要求（139页珍藏版）》请在金锄头文库上搜索。
1、非金融机构支付业务设施技术要求Technical requirements of Non-financial institutions payment service facilities（本稿完成时间 2013-12-20）2013 - 12-31发布2014 - 1-1实施北京中金国盛认证有限公司中国信息安全认证中心联合发布目次前言VI引言VII1范围12规范性引用文件13等级划分14术语15评判原则25.1客观性原则35.2公正性原则35.3科学性原则35.4审慎性原则36互联网支付技术要求36.1功能要求36.1.1客户管理36.1.2账户管理36.1.3交易处理46.1.4资金结算5
2、6.1.5对账处理56.1.6差错处理56.1.7统计报表66.1.8运营管理66.2风险监控要求66.2.1账户风险管理66.2.2交易监控76.2.3交易审核76.2.4风控规则76.2.5商户风险管理86.3性能要求86.3.1系统要求86.4安全性要求86.4.1网络安全性要求86.4.2主机安全性要求126.4.3应用安全性要求166.4.4数据安全性要求206.4.5运维安全性要求226.4.6业务连续性要求266.5文档要求286.5.1用户文档286.5.2开发文档286.5.3文档297预付卡发行与受理技术要求307.1功能要求307.1.1账户管理307.1.2特约商户管理
3、307.1.3卡片管理317.1.4密钥和证书管理327.1.5交易处理327.1.6资金结算347.1.7对账处理347.1.8差错处理347.1.9统计报表347.2风险监控要求347.2.1联机交易风险管理347.2.2脱机交易风险管理367.2.3终端风险管理367.3性能要求377.3.1系统要求377.4安全性要求377.4.1网络安全性要求377.4.2主机安全性要求417.4.3应用安全性要求447.4.4数据安全性要求517.4.5运维安全性要求537.4.6业务连续性要求577.5文档要求597.5.1用户文档597.5.2开发文档597.5.3文档608银行卡收单技术要求
4、618.1功能要求618.1.1特约商户管理618.1.2终端机具信息管理628.1.3密钥管理628.1.4交易处理628.1.5资金结算648.1.6对账处理648.1.7差错处理648.1.8统计报表658.2风险监控要求658.2.1交易管理658.2.2收单风险管理658.2.3终端风险管理668.2.4风控规则678.3性能要求678.3.1系统要求678.4安全性要求678.4.1网络安全性要求678.4.2主机安全性要求718.4.3应用安全性要求748.4.4数据安全性要求818.4.5运维安全性要求838.4.6业务连续性要求878.5文档要求888.5.1用户文档888.
5、5.2开发文档888.5.3文档909固定电话支付技术要求909.1功能要求909.1.1客户管理909.1.2账户管理919.1.3语音IVR管理919.1.4交易处理929.1.5资金结算939.1.6对账处理939.1.7差错处理939.1.8统计报表939.1.9运营管理949.2风险监控要求949.2.1账户风险管理949.2.2交易监控949.2.3交易审核959.2.4风控规则959.3性能要求959.3.1系统要求959.4安全性要求969.4.1网络安全性要求969.4.2主机安全性要求1009.4.3应用安全性要求1039.4.4数据安全性要求1089.4.5运维安全性要求
6、1109.4.6业务连续性要求1149.5文档要求1159.5.1用户文档1159.5.2开发文档1169.5.3文档11710数字电视支付技术要求11810.1功能要求11810.1.1客户管理11810.1.2账户管理11810.1.3交易处理11810.1.4资金结算12010.1.5对账处理12010.1.6差错处理12010.1.7统计报表12110.2风险监控要求12110.2.1账户风险管理12110.2.2交易监控12110.2.3交易审核12210.2.4风控规则12210.3性能要求12210.3.1系统要求12210.4安全性要求12310.4.1网络安全性要求12310
7、.4.2主机安全性要求12710.4.3应用安全性要求13010.4.4数据安全性要求13510.4.5运维安全性要求13710.4.6业务连续性要求14110.5文档要求14310.5.1用户文档14310.5.2开发文档14310.5.3文档14411外包附加要求14511.1基本要求14511.1.1外包服务的外包内容14511.1.2安全保密协议14511.1.3风险评估14511.1.4外包商资质14611.1.5外包合同14611.1.6控制和监督14611.1.7外包交付14611.2增强要求146附录A（资料性附录）外包附加检测项147表1互联网支付性能检测基本要求列表8表2预
8、付卡发行与受理性能检测基本要求列表37表3银行卡收单性能检测基本要求列表67表4固定电话支付性能检测基本要求列表95表5数字电视支付性能检测基本要求列表123表A.1外包附加检测项147前言为促进支付服务市场健康发展，规范非金融机构支付服务行为，防范支付风险，保护当事人的合法权益，根据中华人民共和国标准化法、中华人民共和国认证认可条例、非金融机构支付服务管理办法（中国人民银行令2010第2号）、非金融机构支付服务管理办法实施细则（中国人民银行公告2010第17号）及非金融机构支付服务业务系统检测认证管理规定（中国人民银行公告2011第14号）等相关法律法规的规定，制定非金融机构支付业务设施技术
9、要求。本要求的评估对象为从事非金融机构支付服务的非金融机构支付企业，包括申请或已获得支付业务许可证的非金融机构。引言非金融机构支付业务设施技术要求包括基本要求和增强要求两部分；增强要求在本要求中做出了具体的规定。本要求根据现有技术的发展水平，提出和规定了非金融机构支付业务设施技术认证相应级别的的最低要求，即基本要求，基本要求包括技术标准符合性和系统安全性要求。达到本要求的可以实现系统的基本技术符合和相对安全。非金融机构支付业务设施技术要求1 范围本要求规定了非金融机构支付业务设施的技术标准符合性和系统安全性相应级别的基本要求。本要求为认证机构、检测机构对非金融机构支付业务设施进行认证、检测的依
10、据，也可作为非金融机构支付业务设施提供者改进自身技术能力的指导依据。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。下列文件中的条款通过本技术规范的引用而成为本要求的条款。凡是注日期的引用文件，其随后所有的修订单（不包括勘误的内容）或修订版均不适用于本要求；凡是不注日期的引用文件其最新版本适用于本要求。注明报批的文件以批准发布版本为准。 GB/T-22239-2008 信息安全技术 信息系统安全等级保护基本要求 GB/T-22081-2008 信息技术 安全技术 信息
11、安全管理实用规则 GB/T- 22080-2008 信息技术安全技术 信息安全管理体系要求3 等级划分非金融机构支付业务设施技术认证分为二级：一级和二级。一级覆盖本技术规范的基本要求，二级覆盖本技术规范的基本要求和增强要求。4 术语4.1非金融机构支付服务 non-financial institutions payment services 是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务：a) 互联网支付b) 移动电话支付c) 固定电话支付d) 数字电视支付e) 预付卡发行与受理f) 银行卡收单g) 中国人民银行确定的其他支付服务4.2互联网支付internet
12、payment是指依托互联网实现收付款方之间货币资金转移的行为。4.3固定电话支付 fixed telephone payment是指电话通过语音IVR方式，使用电话线路发出支付指令，实现货币支付与资金转移的行为。4.4数字电视支付 Digital TV payment是指依托交互机顶盒等数字电视支付终端发起的，使用IC卡或网络实现支付交易的行为。数字电视支付业务不涉及IC卡的发行和管理。4.5预付卡发行与受理Prepaid cards是指发卡机构以特定载体和形式发行的、可在发卡机构之外购买商品或服务的预付价值。预付卡分为记名预付卡和不记名预付卡。记名预付卡是指预付卡业务处理系统中记载持卡人身
13、份信息的预付卡。不记名预付卡是指预付卡业务处理系统中不记载持卡人身份信息的预付卡。4.6银行卡收单bank card acceptance是指收单机构与特约商户签订银行卡受理协议，在特约商户按约定受理银行卡并与持卡人达成交易后，为特约商户提供交易资金结算服务的行为。4.7一般支付 General payment在支付过程中，支付指令需要由付款方在支付服务方授权，并且支付成功后即可结算的支付行为。4.8担保支付 Guarantee payment在支付过程中，由支付服务方为支付的双方提供交易担保，付款方进行支付确认后，由支付服务方把款项结算给收款方的支付行为。4.9协议支付 Agreement to pay客户、商户、支付服务方事先签订协议，在后续支付过程中，商户根据协议直接向支付服务方发起扣款请求，而无需通过客户另行授权即可完成付款的支付行为。4.10基本要求 basic requirement是对非金融机构支付业务设施的基础性技术要求。4.11增强要求 Enhancement request考虑到非金融机构支付业务设施的实际技术应用现状，也考虑到金融行业对于业务的规范化要求，以及将来的发展需要，对未来一段时间内行业的发展水平进行合理的预估
