【精选】第三方机构接入安全的符合性自评估表.pdfVIP

第三方机构接入安全的符合性自评估表 实际控制情况 如控制情况非“完全符合”请说 序号 安全要求 完全符合 部分符合 不符合 不适用 明原因 1、安全管理 （1） 第三方机构需建立信息安全制度，并通过有效而正式的方式进行发布。 （2） 第三方机构应对安全制度中不适用或需改进的地方进行修订。 （3） 第三方机构中员工需接受适当的安全培训；系统运维人员须熟知各类安 全制度、信息系统运维手册和应急预案等。 （4） 第三方机构需建立安全事件报告流程及应急处理预案。 （5） 第三方机构需知道银联公司生产运行值班台的联系方式。 2、机房安全 （本要求适用于第三方机构放置涉及银联卡交易的网络设备和系统设备的机房，涉及银联卡交易既包括直接传输或处理银联卡交易，也包括为银联卡交易提供 支持服务。） 实际控制情况 如控制情况非“完全符合”请说 序号 安全要求 完全符合 部分符合 不符合 不适用 明原因 （1） 应按国家标准《电子计算机场地通用规范》（GB 2887-2000）和《计算 机场地安全要求》GB 9361-2000 的相关规定，采用消防、空调、防潮、 防静电、防雷击、供电安全等措施。 （2） 应建立并实行出入安全管理制度，采用专人值守或电子门禁方式，对人 员进出机房情况进行日常监控。 （3） 应建立值班制度，配备值班人员，对机房内各类设备运行情况进行日常 监控，并处置突发事件。 （4） 非授权工作人员或来访人员因工作需要需进入机房，必须经过申请、审 批和登记，并由授权人员授权专人全程陪同。 （5） 电子设备或存储介质进出机房，须经审批并登记。 （6） 机房需合理配置供电系统，提供足够的、持续的电源供给。如配备双回 路供电系统（来自于不同的变电站），可持续供电时间不低于3 小时的 UPS，或发电机。 3、网络安全 实际控制情况 如控制情况非“完全符合”请说 序号 安全要求 完全符合 部分符合 不符合 不适用 明原因 3.1 通讯方式 （本要求适用于第三方机构与银联网络之间的连接，即第三方机构系统平台、终端与银联网络之间的连接，也适用于第三方机构内部涉及银联卡交易的连接， 如终端与其系统平台，不同地点系统平台之间的连接。） （1） 应使用接入方式：专线 （主要有 ADSL、SDH、帧中继、DDN、ATM 、电 话拨号等）、基于专网的MPLS （接入方式的定义见附件1：《各类现有的 接入方式》）。 （2） 使用基于MPLS （Internet）的IPSEC/SSL、基于Internet 的MPLS、应 充分考虑、接受相关风险，并遵循相关安全要求 （附件2）。 （3） 使用基于 Internet 的 IPSEC/SSL，须充分考虑、接受相关风险、遵循 相关安全要求。第三方系统终端和平台使用基于Internet 的IPSEC/SSL 接入银联网络时，须接入到银联总公司。 （4） 禁止接入方式：Internet。 3.2 生产网络安全 （本要求适用于第三方机构涉及银联卡交易信息的网络（以下简称为生产网络），其包括直接传输或处理银联卡交易的系统和为银联卡交易提供支持服务的系 统，但不包括终端。） 实际控制情况 如控制情况非“完全符合”请说 序号 安全要求 完全符合 部分符合 不符合 不