金融事業部支付風險與安全改進建議(ppt 81頁)

主要內容
改進建議製定思路
風險與安全現狀分析
銀行支付安全模式分析
安全模型設計

主要內容
基於現有風險與安全管控現狀，結合銀行模式，提出改進建議
金融支付相關的安全及風險現狀已初成體係
銀行的支付安全模式是基於國際國內規範的體係化成熟模型
其中PCI DSS是國際公認的卡支付安全規範，被銀行業廣泛應用
PCI DSS中規定了12項安全要求
要求1：安裝並維護防火牆配置，以保護持卡人數據的詳細規定及分析
要求1：安裝並維護防火牆配置，以保護持卡人數據的詳細規定及分析（2）
要求2：係統密碼和其他安全參數不使用供應商提供的默認設置的詳細規定及分析
要求3：保護存儲持卡人的數據的詳細規定及分析
要求3：保護存儲持卡人的數據的詳細規定及分析 （2）
要求3：保護存儲持卡人的數據的詳細規定及分析 （3）
要求4：在開放型的公共網絡中傳輸持卡人數據時會加密的詳細規定及分析
要求5：使用並定期更新殺毒軟件或程序的詳細規定及分析
要求6：開發、維護安全係統和應用程序的詳細規定及分析
要求6：開發、維護安全係統和應用程序的詳細規定及分析 （2）
要求6：開發、維護安全係統和應用程序的詳細規定及分析 （3）
要求7：限製為隻有業務需要知道的人才能訪問持卡人數據的詳細規定及分析
要求8：為每位擁有計算機訪問權限的用戶分配唯一的 ID的詳細規定及分析
要求8：為每位擁有計算機訪問權限的用戶分配唯一的 ID的詳細規定及分析（2）
要求9：限製對持卡人數據的物理訪問的詳細規定及分析
要求9：限製對持卡人數據的物理訪問的詳細規定及分析(2)
要求10：跟蹤和監控訪問網絡資源和持卡人數據的所有操作的詳細規定及分析
要求10：跟蹤和監控訪問網絡資源和持卡人數據的所有操作的詳細規定及分析(2)
要求11：定期測試安全係統和流程的詳細規定及分析
要求12：維護針對雇員和承包商信息安全的政策的詳細規定及分析
要求12：維護針對雇員和承包商信息安全的政策的詳細規定及分析（2）
要求12：維護針對雇員和承包商信息安全的政策的詳細規定及分析（3）
要求12：維護針對雇員和承包商信息安全的政策的詳細規定及分析（4）
CUPSecure是銀聯製定的網上交易支付安全標準
由於CUPSecure處理邏輯複雜，其基本原理可以通過Visa 3DSecure說明
CUPSecure支付流程符合3DSecure的基本原理，並提供發卡機構代理服務（SC模式，銀聯安全輸入模式）
基於 的實際情況，不會照搬銀行的做法，但是可以參考銀行網上支付安全體係適當修正。
在多年的實踐過程中，網上銀行遇到了一些安全問題 ，同時也采取了眾多的安全措施。
網銀的安全重點在身份認證和網絡傳輸。
人民銀行的網銀安全規範可以作為 的參考
可以分析一下網銀比較成功的幾個大銀行的網銀係統安全：工商銀行、建設銀行、中國銀行、農業銀行、招商銀行。
基於以上分析， 可以借鑒其中的一些做法
銀行常用密鑰體係分為兩大類：對稱密鑰體係，非對程密鑰體係
對稱算法簡介
對稱密鑰體係安全管理基本概念
硬件加密機相關的安全管理
對稱密鑰體係密鑰的管理
非對稱算法簡介
非對稱密鑰體係離不開CA證書申請，在中國金融機構的證書申請單位為CFCA
SSL是非對稱密鑰體係的一種，常用於Web應用
數字簽名是非對稱密鑰體係的另一種應用，用於防抵賴性
IC卡標準體係
VSDC (EMV) 功能概述
EMV交易流
在線交易流 – 授權
SDA 安全體係說明
SDA 初始化流程
SDA工作流程
SDA 處理要求
DDA安全體係說明
DDA初始化流程
DDA工作流程
DDA 處理要求

..............................