2020年2月，中國(guó)人民銀行發(fā)布了的《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》(JR/T 0068-2020)（以下簡(jiǎn)稱(chēng)《規(guī)范》），相對(duì)于2012年《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》(JR/T 0068-2012)的內(nèi)容進(jìn)行了調(diào)整和更新。

《規(guī)范》作為網(wǎng)上銀行系統(tǒng)安全技術(shù)要求、安全管理要求、業(yè)務(wù)運(yùn)營(yíng)安全要求，為網(wǎng)上銀行系統(tǒng)建設(shè)、運(yùn)營(yíng)及測(cè)評(píng)提供了重要依據(jù)。

《規(guī)范》整體框架對(duì)比

1. 《規(guī)范》的整體框架?chē)@著：安全技術(shù)規(guī)范、安全管理規(guī)范和業(yè)務(wù)運(yùn)營(yíng)安全規(guī)范三個(gè)部分，對(duì)比之前的規(guī)范，整體的要求（含基本要求和增強(qiáng)要求）在總數(shù)上沒(méi)有大的出入，但值得注意的是，將原有業(yè)務(wù)運(yùn)作安全規(guī)范，調(diào)整為業(yè)務(wù)運(yùn)營(yíng)安全規(guī)范。這也表明，《規(guī)范》更加注重金融行業(yè)的業(yè)務(wù)運(yùn)營(yíng)類(lèi)的安全。

2. 《規(guī)范》重新定義了網(wǎng)上銀行系統(tǒng)，涵蓋個(gè)人網(wǎng)銀系統(tǒng)和企業(yè)網(wǎng)銀系統(tǒng)，主要包括通過(guò)PC、手機(jī)、平板電腦、智能電視、可穿戴設(shè)備等終端訪(fǎng)問(wèn)的網(wǎng)上銀行系統(tǒng)，例如手機(jī)銀行、微信銀行、直銷(xiāo)銀行、銀企直聯(lián)、小微企業(yè)銀行等系統(tǒng)。

3. “安全技術(shù)規(guī)范”中將原有“專(zhuān)用安全設(shè)備安全”調(diào)整為“專(zhuān)用安全機(jī)制”，并增加了“短信驗(yàn)證碼”和“生物特征”安全要求；將網(wǎng)絡(luò)通信安全要求中增加“通信鏈路”安全要求；將服務(wù)器端安全要求增加“等級(jí)保護(hù)要求”和“虛擬化安全”要求；新增加入“與外部系統(tǒng)連接安全”，對(duì)于與銀行有合作的外部單位的系統(tǒng)連接時(shí)，增加了“傳輸安全”和“數(shù)據(jù)安全”要求。同時(shí)，刪除“動(dòng)態(tài)密碼卡”“物理安全”“應(yīng)用安全”“數(shù)據(jù)安全及備份恢復(fù)”的安全要求。

4. “安全管理規(guī)范”中新增“等級(jí)保護(hù)要求”。將原有規(guī)范中系統(tǒng)運(yùn)維管理中的“業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)”和“安全事件與應(yīng)急響應(yīng)”獨(dú)立成為安全要求，同時(shí)刪除“安全策略”要求。

5. “安全運(yùn)行安全規(guī)范”中，新增“外部機(jī)構(gòu)業(yè)務(wù)合作”安全要求，將原有“客戶(hù)教育及權(quán)益保護(hù)”調(diào)整為“客戶(hù)培訓(xùn)及權(quán)益保護(hù)”。

《規(guī)范》核心內(nèi)容解析

1.客戶(hù)端安全解析

客戶(hù)端安全包括：客戶(hù)端程序和客戶(hù)端環(huán)境兩部分。

客戶(hù)端程序的安全要求中，主要定義了客戶(hù)端程序在軟件開(kāi)發(fā)直到報(bào)廢的生命周期，周期內(nèi)包括軟件的可行性分析、框架標(biāo)準(zhǔn)、總體描述、系統(tǒng)設(shè)計(jì)、編碼、調(diào)試和測(cè)試、驗(yàn)收與運(yùn)行、維護(hù)升級(jí)到廢棄等階段都做了明確的要求，主要包含如下關(guān)鍵點(diǎn)：

● 程序開(kāi)發(fā)階段，應(yīng)對(duì)其開(kāi)發(fā)框架和技術(shù)路線(xiàn)進(jìn)行嚴(yán)格的論證，建設(shè)基于應(yīng)用功能設(shè)計(jì)及安全需求，建設(shè)應(yīng)用安全基線(xiàn)標(biāo)準(zhǔn)，提供程序的自身安全性。對(duì)于應(yīng)用程序普遍存在的破解、篡改等各類(lèi)安全風(fēng)險(xiǎn)，需要提供應(yīng)用加固技術(shù)手段。嚴(yán)格控制源代碼安全，對(duì)應(yīng)用程序進(jìn)行源代碼安全加固。

客戶(hù)端環(huán)境安全要求中，主要定義了程序在使用過(guò)程中的運(yùn)行環(huán)境安全，包括可信輸入能力、可信輸出能力、可信通訊能力、可信存儲(chǔ)能力和可信計(jì)算能力

● 可信輸入輸出能力，要求提供可信的信息輸入安全，包括敏感信息加密、秘密復(fù)雜度設(shè)置等；

● 可信存儲(chǔ)和計(jì)算能力，對(duì)數(shù)字證書(shū)、客戶(hù)敏感信息、密鑰信息的生成、存儲(chǔ)、使用需要借助SE、TEE技術(shù)，確保其安全，提供信息的可信存儲(chǔ)能力；

● 可信運(yùn)行環(huán)境，特別是對(duì)移動(dòng)設(shè)備運(yùn)行環(huán)境的安全，要求對(duì)客戶(hù)端的病毒、木馬等風(fēng)險(xiǎn)進(jìn)行有效識(shí)別，將分析結(jié)果實(shí)時(shí)反饋，提供終端的威脅態(tài)勢(shì)感知能力。

2.專(zhuān)用安全機(jī)制解析

● 國(guó)密算法的使用，在《規(guī)范》要求中，網(wǎng)上銀行系統(tǒng)在使用密碼算法時(shí)應(yīng)符合國(guó)家密碼主管部門(mén)的要求，在支付敏感信息加密及傳輸、數(shù)字證書(shū)簽名及驗(yàn)簽等環(huán)節(jié)宜支持并優(yōu)先使用SM系列密碼算法。

● 短信驗(yàn)證碼的使用進(jìn)行了嚴(yán)格定義，同時(shí)還要求對(duì)短信驗(yàn)證碼要進(jìn)行加密處理，確保短信驗(yàn)證碼的機(jī)密性和完整性。

3.通信網(wǎng)絡(luò)安全解析

采用安全的通信協(xié)議，在客戶(hù)端程序與服務(wù)器之間建立安全的信息傳輸通道，如采用SSL/TLS證書(shū)、加密密鑰體系，建立安全的信息傳輸通道。

4.業(yè)務(wù)審計(jì)及開(kāi)通解析

● 《規(guī)范》明確要求，在業(yè)務(wù)運(yùn)營(yíng)安全規(guī)范中，要嚴(yán)格遵循和落實(shí)相關(guān)法律法規(guī)，如：（銀發(fā)〔2016〕261 號(hào)）、（銀發(fā)〔2019〕85 號(hào)）等監(jiān)管要求；

● 對(duì)通過(guò)網(wǎng)上銀行渠道申請(qǐng)時(shí)，金融機(jī)構(gòu)應(yīng)采取包含電子簽名驗(yàn)證在內(nèi)的雙因素身份認(rèn)證驗(yàn)證客戶(hù)的真實(shí)身份及銀行卡交易密碼，并通過(guò)驗(yàn)證發(fā)向可靠的預(yù)留手機(jī)號(hào)碼的短信驗(yàn)證碼等方式，核實(shí)客戶(hù)身份和交易開(kāi)通意愿。

5.業(yè)務(wù)安全交易機(jī)制解析

● 《規(guī)范》明確要求，要建立完善的網(wǎng)上銀行異常交易監(jiān)控體系，以及高風(fēng)險(xiǎn)交易特點(diǎn)和用戶(hù)行為特征等的風(fēng)險(xiǎn)評(píng)估模型，識(shí)別并及時(shí)處理異常交易，并根據(jù)風(fēng)險(xiǎn)等級(jí)實(shí)施差異化風(fēng)險(xiǎn)防控；

● 建立并完善反欺詐規(guī)則，實(shí)時(shí)分析交易數(shù)據(jù)，根據(jù)風(fēng)險(xiǎn)高低產(chǎn)生報(bào)警信息，實(shí)現(xiàn)欺詐行為的偵測(cè)、識(shí)別、預(yù)警和記錄，提高欺詐交易攔截成功率，切實(shí)提升交易安全防護(hù)能力；

● 應(yīng)通過(guò)交易行為分析、機(jī)器學(xué)習(xí)等技術(shù)不斷優(yōu)化風(fēng)險(xiǎn)評(píng)估模型，結(jié)合生物探針、相關(guān)客戶(hù)行為分析等手段，對(duì)具備頻次異常、賬戶(hù)非法、批量交易、以及外部欺詐、身份冒用、套現(xiàn)、洗錢(qián)等異常情況進(jìn)行有效監(jiān)控，對(duì)于風(fēng)險(xiǎn)較大、可疑程度較高的交易，應(yīng)采取精準(zhǔn)識(shí)別、實(shí)時(shí)攔截等措施；

● 風(fēng)險(xiǎn)交易監(jiān)控系統(tǒng)應(yīng)能夠不斷更新反欺詐規(guī)則，建立和完善風(fēng)險(xiǎn)信息庫(kù)，及時(shí)從主管部門(mén)、公安機(jī)關(guān)、銀行卡清算組織等獲取黑名單等風(fēng)險(xiǎn)信息。

《規(guī)范》建設(shè)重點(diǎn)

1.客戶(hù)端安全建設(shè)重點(diǎn)

● 客戶(hù)端程序：開(kāi)發(fā)規(guī)范、應(yīng)用程序的源代碼加固、源代碼審計(jì)、信息錄入安全

● 客戶(hù)端環(huán)境：利用終端威脅態(tài)勢(shì)感知技術(shù)、借助TEE、SE、SSE等技術(shù)確?？蛻?hù)端程序的運(yùn)行環(huán)境安全。

2、專(zhuān)用安全機(jī)制：采用國(guó)密算法，如SM3、SM4。對(duì)短信驗(yàn)證碼的安全進(jìn)行保護(hù)，如短信驗(yàn)證碼加密。

3、網(wǎng)絡(luò)通信安全：采用SSL/TLS協(xié)議、數(shù)字證書(shū)、密鑰技術(shù)確?？蛻?hù)端與服務(wù)器之間的網(wǎng)絡(luò)通信安全。

4、安全計(jì)算環(huán)境：利用高強(qiáng)度的身份認(rèn)證技術(shù)確保計(jì)算環(huán)境的安全，充分利用身份治理與訪(fǎng)問(wèn)控制手段，嚴(yán)格確保系統(tǒng)的訪(fǎng)問(wèn)控制安全。如建立零信任的業(yè)務(wù)安全體系架構(gòu)。

5、交易流程及監(jiān)控：建立終端安全、智能決策、持續(xù)監(jiān)控的三維一體解決方案，充分利用人工智能、大數(shù)據(jù)、機(jī)器學(xué)習(xí)、深度學(xué)習(xí)、神經(jīng)網(wǎng)絡(luò)、基于具體業(yè)務(wù)場(chǎng)景的機(jī)器學(xué)習(xí)模型技術(shù)，為交易流程提供全程業(yè)務(wù)保護(hù)。