2020年2月，中國人民銀行發(fā)布了的《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》(JR/T 0068-2020)（以下簡稱《規(guī)范》），相對于2012年《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》(JR/T 0068-2012)的內(nèi)容進(jìn)行了調(diào)整和更新。

《規(guī)范》作為網(wǎng)上銀行系統(tǒng)安全技術(shù)要求、安全管理要求、業(yè)務(wù)運(yùn)營安全要求，為網(wǎng)上銀行系統(tǒng)建設(shè)、運(yùn)營及測評提供了重要依據(jù)。

《規(guī)范》整體框架對比

1. 《規(guī)范》的整體框架圍繞著：安全技術(shù)規(guī)范、安全管理規(guī)范和業(yè)務(wù)運(yùn)營安全規(guī)范三個(gè)部分，對比之前的規(guī)范，整體的要求（含基本要求和增強(qiáng)要求）在總數(shù)上沒有大的出入，但值得注意的是，將原有業(yè)務(wù)運(yùn)作安全規(guī)范，調(diào)整為業(yè)務(wù)運(yùn)營安全規(guī)范。這也表明，《規(guī)范》更加注重金融行業(yè)的業(yè)務(wù)運(yùn)營類的安全。

2. 《規(guī)范》重新定義了網(wǎng)上銀行系統(tǒng)，涵蓋個(gè)人網(wǎng)銀系統(tǒng)和企業(yè)網(wǎng)銀系統(tǒng)，主要包括通過PC、手機(jī)、平板電腦、智能電視、可穿戴設(shè)備等終端訪問的網(wǎng)上銀行系統(tǒng)，例如手機(jī)銀行、微信銀行、直銷銀行、銀企直聯(lián)、小微企業(yè)銀行等系統(tǒng)。

3. “安全技術(shù)規(guī)范”中將原有“專用安全設(shè)備安全”調(diào)整為“專用安全機(jī)制”，并增加了“短信驗(yàn)證碼”和“生物特征”安全要求；將網(wǎng)絡(luò)通信安全要求中增加“通信鏈路”安全要求；將服務(wù)器端安全要求增加“等級保護(hù)要求”和“虛擬化安全”要求；新增加入“與外部系統(tǒng)連接安全”，對于與銀行有合作的外部單位的系統(tǒng)連接時(shí)，增加了“傳輸安全”和“數(shù)據(jù)安全”要求。同時(shí)，刪除“動態(tài)密碼卡”“物理安全”“應(yīng)用安全”“數(shù)據(jù)安全及備份恢復(fù)”的安全要求。

4. “安全管理規(guī)范”中新增“等級保護(hù)要求”。將原有規(guī)范中系統(tǒng)運(yùn)維管理中的“業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)”和“安全事件與應(yīng)急響應(yīng)”獨(dú)立成為安全要求，同時(shí)刪除“安全策略”要求。

5. “安全運(yùn)行安全規(guī)范”中，新增“外部機(jī)構(gòu)業(yè)務(wù)合作”安全要求，將原有“客戶教育及權(quán)益保護(hù)”調(diào)整為“客戶培訓(xùn)及權(quán)益保護(hù)”。

《規(guī)范》核心內(nèi)容解析

1.客戶端安全解析

客戶端安全包括：客戶端程序和客戶端環(huán)境兩部分。

客戶端程序的安全要求中，主要定義了客戶端程序在軟件開發(fā)直到報(bào)廢的生命周期，周期內(nèi)包括軟件的可行性分析、框架標(biāo)準(zhǔn)、總體描述、系統(tǒng)設(shè)計(jì)、編碼、調(diào)試和測試、驗(yàn)收與運(yùn)行、維護(hù)升級到廢棄等階段都做了明確的要求，主要包含如下關(guān)鍵點(diǎn)：

● 程序開發(fā)階段，應(yīng)對其開發(fā)框架和技術(shù)路線進(jìn)行嚴(yán)格的論證，建設(shè)基于應(yīng)用功能設(shè)計(jì)及安全需求，建設(shè)應(yīng)用安全基線標(biāo)準(zhǔn)，提供程序的自身安全性。對于應(yīng)用程序普遍存在的破解、篡改等各類安全風(fēng)險(xiǎn)，需要提供應(yīng)用加固技術(shù)手段。嚴(yán)格控制源代碼安全，對應(yīng)用程序進(jìn)行源代碼安全加固。

客戶端環(huán)境安全要求中，主要定義了程序在使用過程中的運(yùn)行環(huán)境安全，包括可信輸入能力、可信輸出能力、可信通訊能力、可信存儲能力和可信計(jì)算能力

● 可信輸入輸出能力，要求提供可信的信息輸入安全，包括敏感信息加密、秘密復(fù)雜度設(shè)置等；

● 可信存儲和計(jì)算能力，對數(shù)字證書、客戶敏感信息、密鑰信息的生成、存儲、使用需要借助SE、TEE技術(shù)，確保其安全，提供信息的可信存儲能力；

● 可信運(yùn)行環(huán)境，特別是對移動設(shè)備運(yùn)行環(huán)境的安全，要求對客戶端的病毒、木馬等風(fēng)險(xiǎn)進(jìn)行有效識別，將分析結(jié)果實(shí)時(shí)反饋，提供終端的威脅態(tài)勢感知能力。

2.專用安全機(jī)制解析

● 國密算法的使用，在《規(guī)范》要求中，網(wǎng)上銀行系統(tǒng)在使用密碼算法時(shí)應(yīng)符合國家密碼主管部門的要求，在支付敏感信息加密及傳輸、數(shù)字證書簽名及驗(yàn)簽等環(huán)節(jié)宜支持并優(yōu)先使用SM系列密碼算法。

● 短信驗(yàn)證碼的使用進(jìn)行了嚴(yán)格定義，同時(shí)還要求對短信驗(yàn)證碼要進(jìn)行加密處理，確保短信驗(yàn)證碼的機(jī)密性和完整性。

3.通信網(wǎng)絡(luò)安全解析

采用安全的通信協(xié)議，在客戶端程序與服務(wù)器之間建立安全的信息傳輸通道，如采用SSL/TLS證書、加密密鑰體系，建立安全的信息傳輸通道。

4.業(yè)務(wù)審計(jì)及開通解析

● 《規(guī)范》明確要求，在業(yè)務(wù)運(yùn)營安全規(guī)范中，要嚴(yán)格遵循和落實(shí)相關(guān)法律法規(guī)，如：（銀發(fā)〔2016〕261 號）、（銀發(fā)〔2019〕85 號）等監(jiān)管要求；

● 對通過網(wǎng)上銀行渠道申請時(shí)，金融機(jī)構(gòu)應(yīng)采取包含電子簽名驗(yàn)證在內(nèi)的雙因素身份認(rèn)證驗(yàn)證客戶的真實(shí)身份及銀行卡交易密碼，并通過驗(yàn)證發(fā)向可靠的預(yù)留手機(jī)號碼的短信驗(yàn)證碼等方式，核實(shí)客戶身份和交易開通意愿。

5.業(yè)務(wù)安全交易機(jī)制解析

● 《規(guī)范》明確要求，要建立完善的網(wǎng)上銀行異常交易監(jiān)控體系，以及高風(fēng)險(xiǎn)交易特點(diǎn)和用戶行為特征等的風(fēng)險(xiǎn)評估模型，識別并及時(shí)處理異常交易，并根據(jù)風(fēng)險(xiǎn)等級實(shí)施差異化風(fēng)險(xiǎn)防控；

● 建立并完善反欺詐規(guī)則，實(shí)時(shí)分析交易數(shù)據(jù)，根據(jù)風(fēng)險(xiǎn)高低產(chǎn)生報(bào)警信息，實(shí)現(xiàn)欺詐行為的偵測、識別、預(yù)警和記錄，提高欺詐交易攔截成功率，切實(shí)提升交易安全防護(hù)能力；

● 應(yīng)通過交易行為分析、機(jī)器學(xué)習(xí)等技術(shù)不斷優(yōu)化風(fēng)險(xiǎn)評估模型，結(jié)合生物探針、相關(guān)客戶行為分析等手段，對具備頻次異常、賬戶非法、批量交易、以及外部欺詐、身份冒用、套現(xiàn)、洗錢等異常情況進(jìn)行有效監(jiān)控，對于風(fēng)險(xiǎn)較大、可疑程度較高的交易，應(yīng)采取精準(zhǔn)識別、實(shí)時(shí)攔截等措施；

● 風(fēng)險(xiǎn)交易監(jiān)控系統(tǒng)應(yīng)能夠不斷更新反欺詐規(guī)則，建立和完善風(fēng)險(xiǎn)信息庫，及時(shí)從主管部門、公安機(jī)關(guān)、銀行卡清算組織等獲取黑名單等風(fēng)險(xiǎn)信息。

《規(guī)范》建設(shè)重點(diǎn)

1.客戶端安全建設(shè)重點(diǎn)

● 客戶端程序：開發(fā)規(guī)范、應(yīng)用程序的源代碼加固、源代碼審計(jì)、信息錄入安全

● 客戶端環(huán)境：利用終端威脅態(tài)勢感知技術(shù)、借助TEE、SE、SSE等技術(shù)確保客戶端程序的運(yùn)行環(huán)境安全。

2、專用安全機(jī)制：采用國密算法，如SM3、SM4。對短信驗(yàn)證碼的安全進(jìn)行保護(hù)，如短信驗(yàn)證碼加密。

3、網(wǎng)絡(luò)通信安全：采用SSL/TLS協(xié)議、數(shù)字證書、密鑰技術(shù)確?？蛻舳伺c服務(wù)器之間的網(wǎng)絡(luò)通信安全。

4、安全計(jì)算環(huán)境：利用高強(qiáng)度的身份認(rèn)證技術(shù)確保計(jì)算環(huán)境的安全，充分利用身份治理與訪問控制手段，嚴(yán)格確保系統(tǒng)的訪問控制安全。如建立零信任的業(yè)務(wù)安全體系架構(gòu)。

5、交易流程及監(jiān)控：建立終端安全、智能決策、持續(xù)監(jiān)控的三維一體解決方案，充分利用人工智能、大數(shù)據(jù)、機(jī)器學(xué)習(xí)、深度學(xué)習(xí)、神經(jīng)網(wǎng)絡(luò)、基于具體業(yè)務(wù)場景的機(jī)器學(xué)習(xí)模型技術(shù)，為交易流程提供全程業(yè)務(wù)保護(hù)。