01非金融机构支付业务设施技术认证技术规范材料.docVIP

目 次 说 明 I 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 3.1 术语 1 3.2 定义 2 4 支付系统业务类别 3 5 评判原则 3 6 技术要求 3 6.1 互联网支付系统要求 3 6.2 预付卡的发行与受理系统要求 6 6.3 银行卡收单系统要求 8 6.4 移动支付（近场支付）系统要求 11 6.5 移动支付（远程支付）系统要求 13 6.6 外包附加要求 16 7 等级划分 17 附 录 A （规范性附录） 审查项列表 18 A.1互联网支付系统审查项 18 A.2预付卡的发行与受理系统审查项 31 A.3银行卡收单系统审查项 46 A.4移动支付（近场支付）系统审查项 61 A.5移动支付（远程支付）系统审查项 77 A.6外包附加审查项 90 说 明 本技术规范根据《非金融机构支付服务管理办法》、《非金融机构支付服务管理办法实施细则》、《电子支付术语》、《电子支付文件数据格式》、《基于INTERNET的网上支付安全规范》、《基于INTERNET的网上支付交易模型及流程》、《基于INTERNET网上支付报文结构及要素》等中对非金融机构支付业务设施技术认证工作的要求制定而成。本技术规范的评估对象为从事非金融机构支付服务的组织。 本技术规范的主要起草单位：北京中金国盛认证有限公司 本技术规范的编制指导单位： 中国人民银行科技司 非金融机构支付业务设施技术认证技术规范 范围 本技术规范规定了非金融机构支付业务设施技术标准符合性和系统安全性的要求。 本技术规范适用于对非金融机构支付业务设施技术评估依据，可作为对非金融机构支付业务设施技术进行管理、检查、认证的技术性规范，也可作为非金融机构支付业务设施技术提供者改进自身能力的指导依据。 规范性引用文件 JR/T ××××电子支付术语 JR/T ××××电子支付文件数据格式 JR/T ××××基于INTERNET的网上支付安全规范 JR/T ××××基于INTERNET的网上支付交易模型及流程 JR/T ××××基于INTERNET网上支付报文结构及要素 GB/T 22239—2008信息安全技术 信息系统安全等级保护基本要求 第七章第三级基本要求、第八章第四级基本要求 GB/T 22081—2008 信息技术 安全技术 信息安全管理实用规则 第十四章业务连续性管理 ISO/IEC 27001:2005信息技术安全技术 信息安全管理体系要求 术语和定义 术语 非金融机构支付服务 non-financial payment service是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务互联网支付 预付卡是指以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。 银行卡收单是指通过销售点（POS）终端等为银行卡特约商户代收货币资金的行为。mobile payment 是指以个人移动终端（通常指手机）作为支付终端，通过无线通信方式发出支付指令，实现货币支付与资金转移的行为。移动支付可分为远程支付与近场支付两类。远程支付是指移动终端本身使用短信SMS、WAP、客户端软件、语音IVR等方式，通过无线网络和支付服务系统主机连接，实现交易的方式，在这种方式下，移动终端被当做支付终端来使用。近场支付则是指移动终端上内嵌的智能卡通过非接触方式和金融支付终端进行通讯从而实现交易的方式，这种方式下移动终端是当做支付卡片来使用的。 一般支付 instant payment在支付过程中，支付指令需要由付款方在支付服务方授权，并且支付成功后即可结算的支付行为。secured payment 在支付过程中，由支付服务方为支付的双方提供交易担保，交易成功后，付款方进行支付确认，由支付服务方把款项结算给收款方的支付行为。agreement payment 客户、商户、支付服务方事先签订协议，在后续支付过程中，商户根据协议直接向支付服务方发起扣款请求，而无需客户在支付服务方授权即可完成付款的支付行为。支付要以科学思想为指导，以事实为依据。INTERNET网上支付报文结构及要素》6.2.7、6.2.8报文结构设计要求，具有符合要求的主要数据项； 交易模型及流程设计符合《基于INTERNET的网上支付交易模型及流程》6.1.5的要求。 差错处理 报文设计符合《基于INTERNET网上支付报文结构及要素》6.2.10、6.2.11报文结构设计要求，具有符合要求的主要数据项； 交易模型及流程设计符合《基于INTERNET的网上支付交易模型及流程》6.2.2的要求。 安全性要求 网络安全 网络结构安全 应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； 网络安