犐犆犛３５．０４０ 犔８０ 中华人民共和国密码行业标准 犌犕／犜００７６—２０１９ 银行卡信息系统密码应用技术要求 犆狉狔狆狋狅犵狉犪狆犺狔狋犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊犳狅狉犫犪狀犽犻狀犵犮犪狉犱犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊 ２０１９０７１２ 发布 ２０１９０７１２ 实施 国家密码管理局 发 布 犌犕／犜００７６—２０１９ 目 　　 次 前言 ………………………………………………………………………………………………………… Ⅲ 引言 ………………………………………………………………………………………………………… Ⅳ １　 范围 ……………………………………………………………………………………………………… １ ２　 规范引用文件 …………………………………………………………………………………………… １ ３　 术语和定义 ……………………………………………………………………………………………… １ ４　 缩略语 …………………………………………………………………………………………………… ２ ５　 银行卡信息系统模型 …………………………………………………………………………………… ３ ６　 密码应用基本要求和密码应用功能要求 ……………………………………………………………… ３ ７　 银行卡信息系统密码技术安全保护二级要求 ………………………………………………………… ３ 　７．１　 基本要求 …………………………………………………………………………………………… ３ 　７．２　 密码技术安全要求 ………………………………………………………………………………… ４ 　　７．２．１　 物理和环境安全 ……………………………………………………………………………… ４ 　　７．２．２　 网络和通信安全 ……………………………………………………………………………… ４ 　　７．２．３　 设备和计算安全 ……………………………………………………………………………… ５ 　　７．２．４　 应用和数据安全 ……………………………………………………………………………… ６ 　　７．２．５　 密码配用策略要求 …………………………………………………………………………… ７ 　７．３　 密钥安全与管理要求 ……………………………………………………………………………… ９ 　　７．３．１　 总则 …………………………………………………………………………………………… ９ 　　７．３．２　 密钥安全 ……………………………………………………………………………………… ９ 　　７．３．３　 密钥管理 ……………………………………………………………………………………… １０ 　７．４　 安全管理要求 ……………………………………………………………………………………… １２ 　　７．４．１　 概述 …………………………………………………………………………………………… １２ 　　７．４．２　 安全管理制度 ………………………………………………………………………………… １２ 　　７．４．３　 人员管理要求 ………………………………………………………………………………… １２ 　　７．４．４　 密码设备管理 ………………………………………………………………………………… １３ 　　７．４．５　 使用密码的业务终端要求 …………………………………………………………………… １３ ８　 银行卡信息系统密码技术安全保护三级要求 ………………………………………………………… １３ 　８．１　 基本要求 …………………………………………………………………………………………… １３ 　８．２　 密码技术安全要求 ………………………………………………………………………………… １３ 　　８．２．１　 物理和环境安全 ……………………………………………………………………………… １３ 　　８．２．２　 网络和通信安全 ……………………………………………………………………………… １４ 　　８．２．３　 设备和计算安全 ……………………………………………………………………………… １５ 　　８．２．４　 应用和数据安全 ……………………………………………………………………………… １７ Ⅰ 犌犕／犜００７６—２０１９ 　　８．２．５　 密码配用策略要求 …………………………………………………………………………… １８ 　８．３　 密钥安全与管理要求 ……………………………………………………………………………… １９ 　　８．３．１　 总则 …………………………………………………………………………………………… １９ 　　８．３．２　 密钥安全 ……………………………………………………………………………………… ２０ 　　８．３．３　 密钥管理 ……………………………………………………………………………………… ２１ 　８．４　 安全管理要求 ……………………………………………………………………………………… ２３ 　　８．４．１　 概述 …………………………………………………………………………………………… ２３ 　　８．４．２　 安全管理制度 ………………………………………………………………………………… ２３ 　　８．４．３　 人员管理要求 ………………………………………………………………………………… ２４ 　　８．４．４　 密码设备管理 ………………………………………………………………………………… ２４ 　　８．４．５　 使用密码的业务终端要求 …………………………………………………………………… ２４ ９　 银行卡信息系统密码技术安全保护四级要求 ………………………………………………………… ２５ 　９．１　 基本要求 …………………………………………………………………………………………… ２５ 　９．２　 密码技术安全要求 ………………………………………………………………………………… ２５ 　　９．２．１　 物理和环境安全 ……………………………………………………………………………… ２５ 　　９．２．２　 网络和通信安全 ……………………………………………………………………………… ２６ 　　９．２．３　 设备和计算安全 ……………………………………………………………………………… ２７ 　　９．２．４　 应用和数据安全 ……………………………………………………………………………… ２９ 　　９．２．５　 密码配用策略要求 …………………………………………………………………………… ３０ 　９．３　 密钥安全与管理要求 ……………………………………………………………………………… ３２ 　　９．３．１　 总则 …………………………………………………………………………………………… ３２ 　　９．３．２　 密钥安全 ……………………………………………………………………………………… ３２ 　　９．３．３　 密钥管理 ……………………………………………………………………………………… ３３ 　９．４　 安全管理要求 ……………………………………………………………………………………… ３７ 　　９．４．１　 概述 …………………………………………………………………………………………… ３７ 　　９．４．２　 安全管理制度 ………………………………………………………………………………… ３７ 　　９．４．３　 人员管理要求 ………………………………………………………………………………… ３７ 　　９．４．４　 密码设备管理 ………………………………………………………………………………… ３８ 　　９．４．５　 使用密码的业务终端要求 …………………………………………………………………… ３８ 附录 Ａ （规范性附录）　 安全要求对照表 ………………………………………………………………… ３９ 参考文献 …………………………………………………………………………………………………… ４１ Ⅱ 犌犕／犜００７６—２０１９ 前 　　 言 　　 本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一 。 与本标准相关 的系列标准包括 ： ———ＧＭ／Ｔ００７３—２０１９《手机银行信息系统密码应用技术要求 》 ———ＧＭ／Ｔ００７５—２０１９《银行信贷信息系统密码应用技术要求 》 ———ＧＭ／Ｔ００７７—２０１９《银行核心信息系统密码应用技术要求 》 本标准按照 ＧＢ／Ｔ１．１—２００９ 给出的规则起草 。 本标准由密码行业标准化技术委员会提出并归口 。 本标准起草单位 ：国家密码管理局商用密码检测中心 、中金金融认证中心有限公司 、中国银行股份 有限公司 、中国民生银行股份有限公司 。 本标准主要起草人 ：邓开勇 、谢宗晓 、张大健 、马瑶瑶 、介磊 、郭晶莹 、张众 、杨辰 。 Ⅲ 犌犕／犜００７６—２０１９ 引 　　 言 　　 本标准与 ＧＭ／Ｔ００５４—２０１８ 《信息系统密码应用基本要求》、ＧＭ／Ｔ００７３—２０１９《手机银行信息系 统密码应用技术要求 》、ＧＭ／Ｔ００７７—２０１９ 《银行核心信息系统密码应用技术要求 》、ＧＭ／Ｔ００７５— ２０１９ 《银行信贷信息系统密码应用技术要求》共同构成了信息系统安全等级保护密码技术要求的相关 配套 标 准 。 其 中 ＧＭ／Ｔ ００５４—２０１８ 《信 息 系 统 密 码 应 用 基 本 要 求 》是 基 础 性 标 准 ，本 标 准 、 ＧＭ／Ｔ００７３—２０１９ 《手机银行信息系统密码应用技术要求》、ＧＭ／Ｔ００７７—２０１９ 《银行核心信息系统密 码应用技术要求》及 ＧＭ／Ｔ００７５—２０１９ 《银行信贷信息系统密码应用技术要求 》是在 ＧＭ／Ｔ００５４— ２０１８ 基础上的进一步细化和扩展 。 本标准在 ＧＭ／Ｔ００５４—２０１８《信息系统密码应用基本要求》、ＧＢ／Ｔ２２２３９—２００８《信息安全技术 　 信息系统安全等级保护基本要求 》、ＪＲ／Ｔ００７—２０１２《金融行业信息系统信息安全等级保护实施指引 》 等技术类标准的基础上 ，根据现有技术的发展水平 ，提出和规定了不同安全保护等级的银行卡系统保护 要求 ，包括安全技术要求和安全管理要求 ，本标准适用于指导不同安全保护等级的银行业金融机构银行 卡系统中密码技术的安全建设 、安全使用与监督管理 。 银行业金融机构应依据信息安全等级保护有关技术标准与国家 、行业主管部门要求 ，对银行卡信息 系统开展包括系统定级在内的信息安全等级保护工作 。 目前银行卡系统安全等级为二级 、三级与四