支付业务设施技术安全认证实施规则

Size: px

Start display at page:

Download "支付业务设施技术安全认证实施规则"

躬傍吴
7 years ago
Views:

1 文件编码 :CFNR-IR 非金融机构支付业务设施技术认证实施规则 V 年 7 月 1 日发布 2016 年 10 月 1 日实施北京中金国盛认证有限公司发布

2 目录 1 适用范围认证依据认证等级划分认证模式认证的基本环节认证实施认证基本程序认证申请及受理检测文件审查现场审查认证结果评价与判定审查结论判定认证决定证后监督证后监督频次和方式证后监督审查的内容证后监督结果评价与判定再认证认证变更认证时限认证证书认证证书有效期认证证书和认证标志的使用认证证书的使用认证标志的使用认证证书的管理暂停认证证书撤销认证证书注销认证证书信息沟通机制申诉投诉申诉投诉检测机构合作管理收费认证责任... 17

3 1 适用范围本规则适用于认证机构开展的非金融机构支付业务设施技术认证工作非金融机构支付业务设施技术认证, 是指对申请支付业务许可证的非金融机构或非金融机构支付服务管理办法所指的支付机构, 其支付业务处理系统网络通信系统以及容纳上述系统的专用机房进行的技术标准符合性和安全性认证工作非金融机构支付业务设施技术认证业务包括互联网支付移动电话支付 ( 远程支付 ) 移动电话支付( 近场支付 ) 固定电话支付数字电视支付预付卡发行与受理银行卡收单以及中国人民银行确定的其他支付服务 2 认证依据 (1) 非金融机构支付业务设施技术要求 JR/T ( 互联网支付固定电话支付数字电视支付预付卡发行与受理银行卡收单业务适用 ) (2) 非金融机构支付业务设施检测规范 JR/T ( 互联网支付固定电话支付数字电视支付预付卡发行与受理银行卡收单业务适用 ) (3) 非金融机构支付业务设施技术认证规范银科技 2011 第 104 号 ( 移动电话支付 ( 远程支付 ) 和移动电话 1

4 支付 ( 近场支付 ) 业务适用 ) (4) 适用的法律法规及其他要求 3 认证等级划分非金融机构支付业务设施技术认证分为两级 : 一级和二级一级认证 : 第 2 章所列标准或认证规范的基本要求二级认证 : 第 2 章所列标准或认证规范的基本要求和增强要求 4 认证模式审查 ) 检测 + 文件审查 + 现场审查 + 获证后监督 ( 现场审查远程 5 认证的基本环节认证基本环节 : (1) 认证申请及受理 (2) 检测 (3) 文件审查 (4) 现场审查 (5) 认证结果评价与决定

5 (6) 获证后监督 (7) 再认证 6 认证实施 6.1 认证基本程序认证申请方向认证机构申请认证, 认证机构审查申请材料, 并对申请业务的检测认证范围进行识别和判定, 确认合格后向认证申请方发放受理通知书认证申请方获得受理通知书后从认证机构公布的检测机构名录中自主选择检测机构实施检测检测机构依据第 2 章所列标准和规范的要求进行检测检测完成后, 认证申请方向认证机构提交检测报告认证机构依据第 2 章所列标准和规范的要求, 进行文件审查和现场审查认证机构对检测结果文件审查和现场审查结果进行综合评价, 向认证决定为通过认证的申请方颁发证书在证书有效期内, 认证机构对获证机构进行证后监督 6.2 认证申请及受理认证申请方向认证机构申请认证, 提交认证的材料参见认证机构网站公示的认证申请要求初次进行认证申请的认证申请方应提交给认证机构的材料包括但不限于 : (1) 认证申请书技术风险自评估表 ( 适用时 )

6 (2) 认证申请方的营业执照组织机构代码证资质证书的复印件, 组织架构图 (3) 申请业务类型的业务模式说明 (4) 系统外包情况说明若无外包, 需提交纸质说明 ; 如将系统基础设施运维服务应用系统运维服务和安全管理服务等外包给第三方机构的认证申请方, 至少提交认证机构网站公示的认证申请要求中明确的外包管理材料认证机构在接收到认证申请方的申请材料后, 在 5 个工作日内确定是否受理 ( 因申请材料不齐备而补充材料的时间不计算在内 ) 适用本规则的认证申请, 认证机构应不予受理 6.3 检测认证申请方在获得受理通知书后从认证机构公布的检测机构名录中自主选择检测机构实施检测认证申请方不得连续两次将业务系统检测委托给同一家检测机构检测机构应于检测完成后 10 个工作日向认证申请方提交正式的检测报告及相关材料 ( 一式五份 ) 认证申请方须在获得检测报告后 6 个月内将其中一份递交认证机构在认证周期内, 当发生如下场景时认证申请方须及时向认证机构申请重新检测 :

7 (1) 出现重大安全事故 (2) 业务系统应用架构或者支撑环境变更 ( 包括 : 系统架构变更如 B/S 架构变为 C/S 架构, 操作系统变更, 数据库产品变更, 中间件产品变更, 开发语言变更等 ) 重要版本变更 (3) 生产中心机房 ( 主机房 ) 场地迁移 (4) 相关主管部门或者采信方要求 6.4 文件审查认证机构在收到检测机构出具的检测报告及相关材料后, 安排审查员进行文件审查文件审查的范围包括所有申请材料及检测报告文件审查应以第 2 章所列标准或认证规范为依据, 对认证申请范围内的业务设施的技术符合性进行审查认证申请方如有与申请认证业务范围相关的投诉记录, 应分析对认证要求符合性的影响 6.5 现场审查认证机构按照第 2 章所列标准或认证规范的要求, 对申请认证的申请方进行现场审查现场审查的内容主要包括但不限于 : (1) 文件审查或检测中发现的问题

8 (2) 认证依据所要求相关管理制度的执行情况 (3) 系统一致性检查 (4) 系统运行场所 6.6 认证结果评价与判定审查结论判定审查结论分为推荐通过和推荐不通过两种 (1) 推荐通过若审查结果证明认证申请方提供的支付业务设施技术满足其申请的认证业务范围技术要求, 则审查结论判定为推荐通过 (2) 推荐不通过推荐不通过的判定依据包括程序上的不通过和评估准则的不通过 1) 若审查过程中发现认证申请方提供材料虚假或者证据不足以及提供的材料不能充分证明其符合性, 认证申请方在双方约定时间内不能提供补充材料或材料不充分, 则审查报告审查结果为推荐不通过 2) 若文件审查或现场审查结果证明认证申请方提供的支付业务设施技术不满足其申请的认证业务范围技术要求, 则审查结论判定为推荐不通过若审查结论为推荐不通过, 认证机构应对认证申请方

9 提出整改要求, 认证申请方可在其技术能力达到相关要求后申请整改验证审查认证决定认证决定组由技术委员会 1 名委员担任认证决定人员依据第 2 章所列标准或认证规范认证程序与认证实施规则等要求, 结合审查过程中收集的信息, 对审查结果进行综合评价, 做出 " 通过认证 " 或 " 不通过认证 " 的决定必要时, 认证机构应对认证申请方满足认证依据的情况进行风险评估, 做出是否授予认证资格的决定, 并向认证申请方发送认证结果通知对于授予认证资格的认证申请方, 认证机构应对其颁发认证证书并在相关媒体上予以公告对于不授予认证资格的认证申请方, 认证机构应向其以书面形式明示不能获得认证资格的原因 6.7 证后监督证后监督频次和方式为确保获证机构对支付业务设施技术标准持续符合性, 认证机构应对获证机构开展定期和不定期的证后监督, 并综合评估获证机构的技术风险, 依据评估结果采用不同的证后监督方式

10 (1) 定期监督从获证之日起每 12 个月为一个监督审查期, 进行一次证后监督定期监督一般采用现场审查或远程审查的方式, 认证机构根据获证机构的技术风险水平确定审查方式, 如监督审查期间系统进行了重新检测, 则增加文件审查每次定期监督由认证机构依据认证程序提前通知获证机构, 要求获证机构向认证机构提交认证申请材料, 获证机构提交的材料包括但不限于 : 1) 本监督审查期间系统变更情况 2) 本监督审查期间在获证业务范围或拟扩大认证业务范围的相关投诉记录 ; 若无投诉, 需提交纸质说明皆须盖公章 3) 问题整改情况说明 4) 技术风险自评估表 ( 适用时 ) (2) 不定期监督认证机构根据非金融机构支付业务设施技术的特点以及所承担的认证风险, 可在定期监督的基础上增加不定期监督若获证机构在证书有效期内出现以下情况之一, 认证机构应视情况增加不定期监督频次 : 1) 出现重大安全事故 2) 业务系统应用架构或支撑环境变更 ( 包括系统架构变更 ( 如 B/S 架构变更为 C/S 架构 ) 操作系统产品变更数

11 据库系统产品变更中间件产品变更开发语言变更等 ) 重要版本变更 3) 生产中心机房 ( 主机房 ) 场地迁移 4) 疑似存在受审系统不一致或者重大安全隐患等可能导致证书不具备持续效力的风险因素 5) 认证机构有足够理由对获证系统与本规则中规定的标准要求的符合性提出质疑时 6) 相关主管机构或采信方的要求 7) 认证机构认为有必要增加不定期监督的其他情况必要情况下, 认证机构可采取事先不通知的方式对认证申请方的生产系统和系统运营场所进行飞行审查证后监督审查的内容证后监督的审查内容包括但不限于 : (1) 系统风险控制能力及安全管理能力审查 (2) 在本监督审查期间的系统变更情况审查, 必要时可委托检测机构对系统变更内容进行检测 (3) 本监督审查期间投诉记录对认证要求符合性影响的审查 (4) 认证机构认为存在重大安全隐患或者疑似与本规则中规定的标准要求不符的关键点

12 6.7.3 证后监督结果评价与判定对于证后监督审查合格的获证机构, 认证机构应做出保持其认证资格的决定对监督审查不合格的获证机构, 认证机构应依据第 2 章所列标准认证规范和本实施规则的认证程序暂停甚至撤销其认证资格 6.8 再认证认证证书为有效状态的获证机构可申请再认证, 再认证申请应至少于认证证书有效期满前三个月提出, 再认证的申请和受理程序与初次认证相同再认证须在原证书有效期内完成, 原证书到期时如不能完成再认证, 原证书按照本规则 9.1 节要求执行, 新证书按照初次认证颁发 7 认证变更获证机构扩大或缩小认证范围, 认证证书状态变更, 业务设施架构变更重要版本变更生产中心机房 ( 主机房 ) 场地迁移等情况时, 应向认证机构提出变更申请, 并按照认证机构网站公示要求提交相关材料认证机构识别变更的类型和范围, 评估变更的影响策划并实施适宜的审查活动, 并按照要求做出认证决定 (1) 如果认证变更只涉及到注册名称注册地址的变更,

13 获证机构仅须递交变更申请, 经书面审查批准后, 认证机构仅对证书更新并收回原证书 (2) 如果扩展认证范围或发生业务设施架构变更重要版本变更生产中心机房 ( 主机房 ) 场地迁移等重大变更, 认证申请方需按照初次认证程序执行, 审查通过后换发证书 (3) 如果缩小认证范围, 认证申请方提交相关申请材料, 认证机构对证书更新并收回原证书认证要求发生变更时, 认证机构应通知相关获证机构 8 认证时限认证时限是指自认证申请正式受理之日起至颁发认证证书时止所实际发生的工作日, 其中包括检测文件审查现场审查认证评价认证决定以及证书制作时间检测机构应在认证申请方获得受理通知书后 1 个半月内进场检测, 检测时间一般不超过 30 个工作日 ( 因检测项不合格, 进行整改和复试的时间不计算在内, 整改时间一般不超过 3 个月 ), 并于 6 个月内提交检测报告一般在收到检测报告后 5 个工作日内安排文件审查, 文件审查现场审查时间一般不超过 20 个工作日, 认证评价认证决定证书制作时间共计不超过 10 个工作日补充材料和整改时间不计算在内

14 9 认证证书 9.1 认证证书有效期非金融机构支付业务设施技术认证证书有效期为 3 年, 证书到期后自动失效 9.2 认证证书和认证标志的使用认证证书的使用认证证书是认证机构颁发给认证申请方证明其服务符合认证要求的一种证明文件认证证书可以展示在文件网站通过认证的工作场所销售场所广告和宣传资料中或广告宣传等商业活动, 但不得利用认证证书和相关文字符号, 误导公众认为认证证书覆盖范围外的业务系统获得认证, 宣传认证结果时不应损害认证机构的声誉认证证书不准伪造涂改出借出租转让倒卖部分出示部分复印获证机构应妥善保管好证书, 以免丢失损坏如发生证书丢失损坏的, 获证机构可申请补发获证机构应建立认证证书审核报告使用和管理制度, 对认证证书的使用情况如实记录存档

15 9.2.2 认证标志的使用获证机构若以某种方式使用认证标志时, 应事先向认证机构提出书面申请, 由认证机构书面授权获证机构以指定的方式使用指定的认证标志认证标志在使用时, 应与获证机构单位名称和系统名称放在一起在使用标志图案时, 应根据认证机构提供的图样按比例放大或缩小认证标志只能由获证机构在获准认证范围内使用, 不得以任何方式转让转送出售借用冒用 9.3 认证证书的管理认证证书的变更依照第 7 章所列场景处理, 认证证书的暂停恢复撤销和注销要求 : 暂停认证证书获证机构有下列情形之一的, 认证机构应当暂停认证证书 : (1) 未按照规定及时接受证后监督审查或申请再认证 (2) 获证机构未按规定使用认证证书和认证标志 (3) 监督结果证明获证机构的支付业务设施技术不符合认证要求, 但不需要立即撤销认证证书 (4) 获证机构未履行与认证机构签署的认证合同中规

16 定的责任和义务, 如未按时支付认证费用等 (5) 获证机构主动请求暂停 (6) 未按 6.3 规定重新检测 (7) 在特定时期国家或行业管理部门有要求予以暂停暂停期限为三个月在三个月内, 获证机构应完成认证证书恢复, 获证机构至少在撤销期前 1 个月提出恢复认证申请认证机构经审查批准后, 方可使用该证书在认证证书暂停期间, 获证机构不得继续使用证书撤销认证证书获证机构有下列情形之一, 认证机构应当撤销其认证证书 : (1) 获证机构出现严重问题, 或获证机构在认证范围内无法满足适用的法律法规认证标准规范要求, 并在短期内无法整改达成要求的 (2) 获证机构不接受认证机构对其实施的证后监督审查或证书到期未申请再认证的 (3) 认证证书暂停使用期间, 获证机构未采取有效纠正措施 (4) 认证证书暂停使用期满, 获证机构未完成证书恢复 (5) 出现重大安全事故, 社会影响恶劣或者性质特别严

17 重的认证证书撤销后, 认证机构应收回认证证书, 并在相关媒体上予以公告原则上, 因 (1)( 3)( 4)( 5) 原因认证证书撤销的获证机构 3 个月内不予受理认证申请注销认证证书获证机构因为自身原因申请注销认证证书, 认证机构应当给予注销认证证书注销后, 认证机构应收回认证证书, 并在相关媒体上予以公告 10 信息沟通机制获证机构应建立信息通报制度, 在发生第 7 章描述的变更和节触发不定期监督审查的情况时应及时向认证机构通报相关信息认证机构应建立信息沟通渠道, 及时了解获证机构及检测机构意见, 加强对认证要求的宣贯培训认证机构应宣传普及认证业务知识, 积极拓展认证结果采信和信息传播渠道, 如 : 认证机构应按照要求及时将认证结果信息通报相关政府监管部门

18 11 申诉投诉 11.1 申诉申诉是指认证申请方申请认证机构重新考虑认证决定结果的书面请求认证申请方如对认证决定结果有异议, 可在收到认证结果通知后 10 个工作日内通过认证机构公布的各种渠道提出申诉, 认证机构自收到申诉之日起, 应在 6 个月内进行处理, 并将处理结果书面通知认证申请方 11.2 投诉投诉指任何组织或个人向认证机构表达的, 有别于申诉并希望得到答复的, 对认证机构认证机构各业务部门审查组认证审查相关人员及其活动, 检测机构检测机构检测人员及其活动的不满表示认证机构自收到投诉之日起, 应在 3 个月内进行处理, 并将处理结果反馈投诉方 12 检测机构合作管理认证机构应选择具有本项认证相关检测能力的检测机构, 与检测机构签署检测合作协议书, 并将检测机构名单公布在其网站上

19 认证机构应对检测机构的检测过程和检测质量进行持续动态监管 13 收费收费由认证机构检测机构按国家有关规定统一收取 14 认证责任认证申请方对其系统及文档认证申请资料及声明等信息的真实性负责检测机构对其检测结果及检测报告真实性完整性和准确性负责认证机构对其认证结果的公正性客观性负责

目录 1 适用范围职责认证依据认证模式及基本环节认证实施认证申请认证申请单元划分认证申请时需提交的文件资料检测试运行... 3

目录 1 适用范围职责认证依据认证模式及基本环节认证实施认证申请认证申请单元划分认证申请时需提交的文件资料检测试运行... 3 编号 :CESI-PC-OD25 电子招标投标系统交易平台认证实施规则 2016-10-12 发布 2016-10-12 实施北京赛西认证有限责任公司目录 1 适用范围... 1 2 职责... 1 3 认证依据... 1 4 认证模式及基本环节... 2 5 认证实施... 2 5.1 认证申请... 2 5.1.1 认证申请单元划分... 2 5.1.2 认证申请时需提交的文件资料...