銀發(fā)〔2016〕170號《中國人民銀行關(guān)于進一步加強銀行卡風(fēng)險管理的通知》
中國人民銀行關(guān)于進一步加強銀行卡風(fēng)險管理的通知
中國人民銀行上??偛?,各分行、營業(yè)管理部、各省會(首府)城市中心支行,各副省級城市中心支行;各國有商業(yè)銀行、股份制商業(yè)銀行,中國郵政儲蓄銀行;中國銀聯(lián)股份有限公司,中國支付清算協(xié)會:
隨著移動通信技術(shù)和互聯(lián)網(wǎng)金融的快速發(fā)展,銀行卡使用安全面臨新的挑戰(zhàn)。為進一步加強銀行卡信息的安全管理,提升支付風(fēng)險防控能力,現(xiàn)將有關(guān)事項通知如下:
一、強化銀行卡信息的安全管理
(一)強化支付敏感信息內(nèi)控管理。各商業(yè)銀行、支付機構(gòu)(從事銀行卡收單業(yè)務(wù)、網(wǎng)絡(luò)支付業(yè)務(wù)的非銀行支付機構(gòu),下同)、銀行卡清算機構(gòu)應(yīng)嚴(yán)格落實《中國人民銀行關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知》(銀發(fā)〔2011〕17號),健全支付敏感信息安全內(nèi)控管理制度,并將有關(guān)情況于2016年9月1日前報告人民銀行。一是嚴(yán)禁留存非本機構(gòu)的支付敏感信息(包括銀行卡磁道或芯片信息、卡片驗證碼、卡片有效期、銀行卡密碼、網(wǎng)絡(luò)支付交易密碼等),確有必要留存的應(yīng)取得客戶本人及賬戶管理機構(gòu)的授權(quán)。二是明確相關(guān)崗位和人員的管理責(zé)任,嚴(yán)格分離不相容崗位并控制信息操作權(quán)限,制定信息操作流程和規(guī)范,強化內(nèi)部監(jiān)督、責(zé)任追究機制,嚴(yán)禁從業(yè)人員非法存儲、竊取、泄露、買賣支付敏感信息。三是每年應(yīng)至少開展兩次支付敏感信息安全的內(nèi)部審計,并形成報告存檔備查。發(fā)現(xiàn)因系統(tǒng)漏洞造成支付敏感信息泄露或內(nèi)部人員違規(guī)行為的,應(yīng)立即采取有效措施防止風(fēng)險擴大,并向人民銀行報告;涉嫌違法犯罪的,應(yīng)及時報告公安機關(guān)。
(二)加強支付敏感信息的安全防護。各商業(yè)銀行、支付機構(gòu)應(yīng)在客戶端軟件與服務(wù)器、服務(wù)器與服務(wù)器之間進行通道加密和雙向認(rèn)證,對重要信息關(guān)鍵字段進行散列或加密存儲,保障信息傳輸、存儲、使用安全。開展網(wǎng)絡(luò)支付業(yè)務(wù)時,不得委托或授權(quán)無支付業(yè)務(wù)資質(zhì)的合作機構(gòu)采集支付敏感信息,應(yīng)采用具有信息輸入安全防護、即時數(shù)據(jù)加密功能的安全控件,采取有效措施防止合作機構(gòu)獲取、留存支付敏感信息。
(三)全面應(yīng)用支付標(biāo)記化技術(shù)。自2016年12月1日起,各商業(yè)銀行、支付機構(gòu)應(yīng)使用支付標(biāo)記化技術(shù)( Tokenization),對銀行卡卡號、卡片驗證碼、支付機構(gòu)支付賬戶等信息進行脫敏處理,并通過設(shè)置支付標(biāo)記的交易次數(shù)、交易金額、有效期、支付渠道等域控屬性,從源頭控制信息泄露和欺詐交易風(fēng)險。
(四)強化交易密碼保護機制。各商業(yè)銀行、支付機構(gòu)應(yīng)加強銀行卡、網(wǎng)絡(luò)支付等交易密碼的保護管理和客戶安全教育,嚴(yán)格限制使用初始交易密碼并提示客戶及時修改,建立交易密碼復(fù)雜度系統(tǒng)校驗機制,避免交易密碼過于簡單(如“111111”、“123456”等)或與客戶個人信息(如出生日期、證件號碼、手機號碼等)相似度過高。
(五)嚴(yán)格規(guī)范收單外包服務(wù)。各商業(yè)銀行、支付機構(gòu)應(yīng)嚴(yán)格落實《銀行卡收單業(yè)務(wù)管理辦法》(中國人民銀行公告〔2013〕第9號公布)、《中國人民銀行關(guān)于加強銀行卡收單業(yè)務(wù)外包管理的通知》(銀發(fā)〔2015〕199號),承擔(dān)收單環(huán)節(jié)支付敏感信息安全管理責(zé)任。一是不得將核心業(yè)務(wù)系統(tǒng)運營、受理終端密鑰管理、特約商戶資質(zhì)審核等工作交由外包服務(wù)機構(gòu)辦理。二是指定專人管理終端密鑰和相關(guān)參數(shù),確保不同的受理終端使用不同的終端主密鑰并定期更換。三是通過協(xié)議禁止實體和網(wǎng)絡(luò)特約商戶、外包服務(wù)機構(gòu)留存支付敏感信息。四是每年對外包服務(wù)機構(gòu)、實體和網(wǎng)絡(luò)特約商戶至少開展一次有一定獨立性的安全評估,并形成報告存檔備查,對于未遵守相關(guān)協(xié)議的,應(yīng)立即中斷合作。
(六)加強支付創(chuàng)新規(guī)范管理。對于重要支付技術(shù)應(yīng)用、業(yè)務(wù)創(chuàng)新,各商業(yè)銀行、支付機構(gòu)應(yīng)至少于項目上線前30日向人民銀行備案,提交項目實施方案、外部安全評估報告等書面材料。業(yè)務(wù)開展過程中,應(yīng)做好風(fēng)險的動態(tài)監(jiān)測、評估和防控工作。
二、加大銀行卡互聯(lián)網(wǎng)交易風(fēng)險防控力度
(一)強化客戶端軟件安全管理。一是各商業(yè)銀行、支付機構(gòu)應(yīng)從木馬病毒防范、信息加密保護、運行環(huán)境可信等方面提升客戶端軟件安全防控能力。客戶端軟件應(yīng)能夠監(jiān)測并向后臺系統(tǒng)反饋手機支付環(huán)境安全狀況,作為限制、拒絕交易等風(fēng)控策略的依據(jù)。二是對客戶端軟件及官方網(wǎng)站設(shè)置可信標(biāo)識或快捷入口,并通過多種渠道告知客戶正確的識別及訪問方法。三是每年必須至少開展一次外部安全評估,形成報告存檔備查,確保技術(shù)標(biāo)準(zhǔn)符合性。
(二)加強業(yè)務(wù)開通身份認(rèn)證安全管理。自2016年11月1日起,各商業(yè)銀行基于銀行卡與支付機構(gòu)、商業(yè)機構(gòu)建立關(guān)聯(lián)業(yè)務(wù)時,應(yīng)嚴(yán)格采用多因素身份認(rèn)證方式,直接鑒別客戶身份,并取得客戶授權(quán)。身份鑒別應(yīng)采取以下組合方式之一:一是采用符合《金融電子認(rèn)證規(guī)范》(JR/T 0118)的數(shù)字證書,并組合交易密碼等至少一種認(rèn)證因素。二是采用符合《動態(tài)口令密碼應(yīng)用技術(shù)規(guī)范>(GM/T 0021)的動態(tài)令牌設(shè)備,并組合交易密碼等至少一種認(rèn)證因素。三是至少組合兩種動態(tài)認(rèn)證因素(如動態(tài)驗證碼、基于客戶行為的動態(tài)挑戰(zhàn)應(yīng)答等),并采用語音、短信、數(shù)據(jù)(如手機銀行、即時通訊、郵件)等至少兩種不同通信渠道。
(三)提升支付交易安全強度。一是各商業(yè)銀行應(yīng)依照《中國人民銀行關(guān)于改進個人銀行賬戶服務(wù)加強賬戶管理的通知》(銀發(fā)〔2015〕392號),建立健全個人銀行結(jié)算賬戶分類管理機制,引導(dǎo)客戶使用II類、III類銀行賬戶辦理小額網(wǎng)絡(luò)支付業(yè)務(wù),有效防控各類銀行賬戶特別是I類賬戶的信息泄露風(fēng)險。二是在支付機構(gòu)等合作方向商業(yè)銀行發(fā)送支付指令、扣劃客戶銀行卡資金時,各商業(yè)銀行、支付機構(gòu)應(yīng)嚴(yán)格落實《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》(中國人民銀行公告〔2015〕第43號公布)第十條規(guī)定,采取交易驗證強度與交易額度相匹配的技術(shù)措施,提高交易的安全性。
(四)加強互聯(lián)網(wǎng)交易風(fēng)險監(jiān)控。各商業(yè)銀行、支付機構(gòu)應(yīng)利用大數(shù)據(jù)分析、用戶行為建模等手段,建立交易風(fēng)險監(jiān)控模型和系統(tǒng),及時預(yù)警異常交易,并采取調(diào)查核實、風(fēng)險提示、延遲結(jié)算等措施。針對批量或高頻登錄等異常行為,應(yīng)利用IP地址、終端設(shè)備標(biāo)識信息、瀏覽器緩存信息等進行綜合識別,及時采取附加驗證、拒絕請求等手段。
(五)加大支付風(fēng)險聯(lián)動防控力度。各商業(yè)銀行、支付機構(gòu)應(yīng)認(rèn)真落實《中國人民銀行工業(yè)和信息化部公安部工商總局關(guān)于建立電信網(wǎng)絡(luò)新型違法犯罪涉案賬戶緊急止付和快速凍結(jié)機制的通知》(銀發(fā)〔2016〕86號),按照要求接入電信網(wǎng)絡(luò)新型違法犯罪交易風(fēng)險事件管理平臺,加強涉案賬戶的止付、凍結(jié)管理。
三、切實防范磁條卡偽卡欺詐交易風(fēng)險
(一)使用金融IC卡降低磁條交易風(fēng)險。一是自2016年9月1日起,各商業(yè)銀行新發(fā)行的基于人民幣結(jié)算賬戶的銀行卡,應(yīng)為符合《中國金融集成電路(IC)卡規(guī)范》(JR/T 0025)的金融IC卡,并采用通過國家認(rèn)證認(rèn)可管理部門認(rèn)可機構(gòu)安全評估的芯片。二是各商業(yè)銀行應(yīng)從交易渠道、刷卡頻次、單筆交易金額、日累計交易金額、交易地區(qū)等方面,進一步加強磁條交易風(fēng)險控制。對于可疑交易應(yīng)通過短信、電話、客戶端軟件等進行交易確認(rèn)和風(fēng)險提示。自2017年5月1日起,全面關(guān)閉芯片磁條復(fù)合卡的磁條交易。三是各商業(yè)銀行應(yīng)采取換卡不換號、實時發(fā)卡等措施加快存量磁條卡更換為金融IC卡的進度。
(二)加強受理終端安全管理。各商業(yè)銀行、支付機構(gòu)應(yīng)從受理終端產(chǎn)品選型、驗收、現(xiàn)場檢查等環(huán)節(jié)加強安全管理,確保受理終端的技術(shù)標(biāo)準(zhǔn)符合性。銀行卡清算機構(gòu)應(yīng)會同成員機構(gòu)采取入網(wǎng)終端簽名、唯一性標(biāo)識等技術(shù)措施,加強受理終端入網(wǎng)管理,嚴(yán)禁不符合標(biāo)準(zhǔn)、非法改裝的受理終端入網(wǎng)使用。對于存量終端應(yīng)建立定期檢查機制,持續(xù)開展終端抽檢工作,確保布放的終端與合格樣品的一致性,嚴(yán)控改裝終端的使用。
(三)加大特約商戶實名制管理力度。銀行卡清算機構(gòu)應(yīng)會同成員機構(gòu)建立健全實體和網(wǎng)絡(luò)特約商戶信息電子化管理體系,嚴(yán)格落實特約商戶實名制相關(guān)規(guī)定,完整、準(zhǔn)確記錄特約商戶及其法定代表人或主要負(fù)責(zé)人的身份信息,并對同一特約商戶在不同商業(yè)銀行和支付機構(gòu)注冊的信息進行關(guān)聯(lián)管理。充分利用影像采集、區(qū)域定位等技術(shù),采取多渠道交叉驗證等有效手段,健全特約商戶資質(zhì)審核和信息更新機制,持續(xù)加強特約商戶信息真實性管理。
(四)加強違規(guī)特約商戶黑名單管理。一是各商業(yè)銀行、支付機構(gòu)應(yīng)建立健全違規(guī)實體和網(wǎng)絡(luò)特約商戶黑名單管理制度,明確黑名單納入與移出條件、懲罰措施等。加強對特約商戶的監(jiān)測、巡檢,對于存在支付敏感信息泄露、非法改裝終端、參與偽卡欺詐等違規(guī)行為的,應(yīng)納入黑名單管理,視嚴(yán)重程度從嚴(yán)采取延遲結(jié)算、暫停交易、終止合作等懲戒措施,并及時通知中國支付清算協(xié)會、銀行卡清算機構(gòu)。二是中國支付清算協(xié)會、銀行卡清算機構(gòu)應(yīng)會同商業(yè)銀行、支付機構(gòu)建立健全黑名單信息共享和查詢機制,加大聯(lián)合懲戒力度,禁止拓展已納入黑名單的特約商戶。
(五)落實偽卡欺詐風(fēng)險責(zé)任轉(zhuǎn)移規(guī)則。銀行卡清算機構(gòu)應(yīng)會同成員機構(gòu)進一步落實銀行卡受理過程中的偽卡欺詐風(fēng)險責(zé)任,保護芯片化遷移方的權(quán)益。建立完善的投訴處理機制,妥善處理欺詐風(fēng)險事件,切實保障客戶的合法權(quán)益。
四、嚴(yán)格落實各項規(guī)定,加大督查處罰力度
(一)嚴(yán)格落實國家網(wǎng)絡(luò)安全和標(biāo)準(zhǔn)符合相關(guān)規(guī)定。各商業(yè)銀行、支付機構(gòu)、銀行卡清算機構(gòu)要嚴(yán)格落實國家網(wǎng)絡(luò)安全和信息技術(shù)安全有關(guān)規(guī)定,使用經(jīng)國家密碼管理機構(gòu)認(rèn)可的商用密碼產(chǎn)品。一是涉及的客戶端軟件、受理終端、銀行卡、數(shù)字證書、動態(tài)令牌設(shè)備等應(yīng)符合國家和金融行業(yè)相關(guān)標(biāo)準(zhǔn),并通過國家認(rèn)證認(rèn)可管理部門認(rèn)可機構(gòu)的安全評估。二是業(yè)務(wù)系統(tǒng)建設(shè)和運營應(yīng)符合國家信息安全等級保護的相關(guān)要求。三是業(yè)務(wù)系統(tǒng)及備份系統(tǒng)應(yīng)按照國家網(wǎng)絡(luò)安全相關(guān)要求部署在我國境內(nèi)。
(二)建立健全監(jiān)督檢查機制。人民銀行分支機構(gòu)要高度重視、長抓不懈,成立銀行卡風(fēng)險管理領(lǐng)導(dǎo)小組,建立日常監(jiān)督檢查機制,將支付業(yè)務(wù)系統(tǒng)安全生產(chǎn)、受理終端(含網(wǎng)絡(luò)支付接口)安全、支付敏感信息保護等納入執(zhí)法檢查,統(tǒng)籌做好指導(dǎo)協(xié)調(diào)、政策宣傳、執(zhí)法檢查、情況通報等工作。
(三)加大違規(guī)行為處罰力度。人民銀行分支機構(gòu)要嚴(yán)查因銀行卡受理終端改裝、支付交易驗證強度低、系統(tǒng)存在安全漏洞及受到網(wǎng)絡(luò)攻擊等造成的支付服務(wù)中斷、支付敏感信息泄露、資金損失事件,并依照《銀行卡收單業(yè)務(wù)管理辦法》、《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》等有關(guān)規(guī)定從嚴(yán)處罰。對于情節(jié)嚴(yán)重的,依照《中華人民共和國中國人民銀行法》第四十六條規(guī)定,對相關(guān)機構(gòu)及負(fù)有直接責(zé)任的董事、高級管理人員和其他直接責(zé)任人員進行處罰;涉嫌犯罪的,及時報告公安機關(guān)。對于情節(jié)嚴(yán)重的支付機構(gòu),還應(yīng)按照《非金融機構(gòu)支付服務(wù)管理辦法》(中國人民銀行令〔2010〕第2號發(fā)布)、《非銀行支付機構(gòu)分類評級管理辦法》(銀發(fā)〔2016〕106號文印發(fā))規(guī)定調(diào)低分類評級直至注銷《支付業(yè)務(wù)許可證》。
(四)加強行業(yè)自律規(guī)范。中國支付清算協(xié)會要按照本通知要求和相關(guān)規(guī)定,制定銀行卡風(fēng)險管理行業(yè)自律規(guī)范,建立自律檢查、違規(guī)約束機制,并于2016年9月30日前向人民銀行報備后組織實施,督促會員單位加強自律,嚴(yán)格落實各項規(guī)定。
對于本通知規(guī)定的報告、報備事項,全國性商業(yè)銀行、中國支付清算協(xié)會、銀行卡清算機構(gòu)應(yīng)報送人民銀行總行,其他銀行業(yè)金融機構(gòu)、支付機構(gòu)應(yīng)報送法人所在地人民銀行副省級城市中心支行以上分支機構(gòu)。
請人民銀行副省級城市中心支行以上分支機構(gòu)將本通知轉(zhuǎn)發(fā)至轄區(qū)內(nèi)地方性銀行業(yè)金融機構(gòu)和支付機構(gòu),加強組織落實。
中國人民銀行辦公廳
2016年6月15日
掃描二維碼 關(guān)注我們