GB/T 31502-2015信息安全技术电子支付系统安全保护框架

ICS35040

L80.

中华人民共和国国家标准

GB/T31502—2015

信息安全技术

电子支付系统安全保护框架

Informationsecuritytechnology—

Securityprotectframeworkofelectronicpaymentsystem

2015-05-15发布2016-01-01实施

中华人民共和国国家质量监督检验检疫总局发布

中国国家标准化管理委员会

GB/T31502—2015

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

符号与缩略语

4……………2

符号表示

4.1……………2

缩略语

4.2………………3

电子支付系统描述

5………………………3

电子支付系统模型

5.1…………………3

电子支付系统工作模式

5.2……………7

受保护资产

5.3…………………………8

安全问题定义

6……………10

概述

6.1…………………10

威胁

6.2…………………10

组织安全策略

6.3(SOP)………………14

假设

6.4(SAS)…………………………17

安全问题定义理由

6.5…………………17

安全目的

7…………………17

概述

7.1…………………17

针对评估对象的安全目的

7.2[TOE](OET)………18

针对评估对象运行环境的安全目的

7.3[TOE](OTE)……………18

安全功能要求

8……………19

概述

8.1…………………19

安全审计类

8.2(FAU)………………19

通信类

8.3(FCO)……………………32

密码支持类

8.4(FCS)…………………35

用户数据保护类

8.5(FDP)……………35

标识和鉴别类

8.6(FIA)………………40

安全管理类

8.7(FMT)………………40

保护类

8.8TSF(FPT)………………42

安全保证要求

9……………43

国家相关标准的部分依从性分析

10……………………43

组织安全策略示例

11……………………43

附录资料性附录电子支付系统的行为模型

A()………44

Ⅰ

GB/T31502—2015

附录规范性附录安全问题定义理由

B()………………69

附录规范性附录安全目的理由

C()……………………74

附录规范性附录安全保证要求

D()……………………78

附录规范性附录对国家相关标准的部分依从性分析

E()……………80

附录资料性附录组织安全策略示例可疑交易预警规则

F():………82

参考文献

……………………87

Ⅱ

GB/T31502—2015

前言

本标准按照给出的规则起草

GB/T1.1—2009。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任

。。

本标准由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本标准起草单位北京多思科技工业园股份有限公司中国农业银行中国金融电子化公司国家信

:、、、

息安全工程技术研究中心东方集团网络信息安全技术有限公司北京大秦兴宇电子有限公司北京天

、、、

宏绎网络技术有限公司北京科蓝软件系统有限公司长城瑞通北京科技有限公司重庆银行南充市

、、()、、

商业银行

。

本标准主要起草人刘大力李宽沈敏锋韩琳琳吴义章吴铮刘运文仲慧沈昕立康伟张磊

:、、、、、、、、、、、

于敬新崔新杰罗勇夏鹏轩闫凤如陈辉武王庆元左小波邱岩张春阳黄光伟邢呈礼高艳芳

、、、、、、、、、、、、、

王州府

。

Ⅲ

GB/T31502—2015

引言

本标准以国际通行的信息技术安全性评估准则为基础结合我国现阶段电子支付系统的特点按照

,,

我国有关法律法规和政令的要求以自主可控为原则为公共类电子支付系统的信息安全提供一个公

、,,

共框架是进一步完善相关国家标准及行业标准的重要步骤为构建运行公共电子支付系统提供

;;、,

支撑

。

Ⅳ

GB/T31502—2015

信息安全技术

电子支付系统安全保护框架

1范围

本标准在给出电子支付系统模型的基础上为公共类电子支付系统的信息安全提供了一个公共框

,

架主要包括安全问题定义安全目的安全功能需求和安全保障需求

,、、。

本标准适用于安全构建运行公共类电子支付系统

、。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

信息技术安全技术信息技术安全性评估准则第部分简介和一般模型

GB/T18336.11:

信息技术安全技术信息技术安全性评估准则第部分安全功能组件

GB/T18336.22:

信息技术安全技术信息技术安全性评估准则第部分安全保障组件

GB/T18336.33:

3术语和定义

界定的以及下列术语和定义适用于本文件

GB/T18336.1。

31

.

电子支付electronicpayment

采用数字化方式在电子终端信息传输通道以及相关系统的支持下进行支付的行为

,、,。

32

.

支付通道transactionchannel

在电子支付交易过程中电子支付凭据与支付