互联网保险信息安全检验规范

互联网保险信息安全检验规范一、总则为规范互联网保险业务的信息安全管理，防范网络安全风险，保护保险消费者合法权益，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国保险法》《互联网保险业务监管办法》等法律法规，制定本规范。本规范适用于经银保监会及其派出机构批准设立、依法开展互联网保险业务的保险公司、保险中介机构，以及为其提供网络技术服务的合作机构。互联网保险信息安全检验遵循客观、独立、公正、科学的原则，检验结果作为监管部门开展互联网保险业务监管、机构合规经营评估的重要参考依据。二、基础安全检验（一）网络架构安全互联网保险业务系统应采用分层架构设计，至少划分为接入层、应用层、数据层三个安全域，各安全域之间应部署防火墙进行逻辑隔离，严格限制跨域访问权限。公网接入区应部署分布式拒绝服务攻击（DDoS）防护设备，防护能力不低于10Gbps，能够有效抵御SYN洪水、UDP洪水、CC攻击等常见网络攻击。业务系统应采用多可用区部署架构，不同可用区之间实现物理隔离，单可用区故障时能够在30秒内自动切换至备用可用区，保障业务连续性。对外提供服务的域名应部署域名系统安全扩展（DNSSEC）协议，防止域名劫持和缓存投毒攻击，域名解析记录的TTL值设置不应低于300秒。（二）主机系统安全服务器操作系统应及时安装最新安全补丁，高危漏洞补丁应在发布后72小时内完成安装，中危漏洞补丁应在15个工作日内完成安装，低危漏洞补丁应在30个工作日内完成安装。服务器应禁用不必要的系统服务和端口，仅开放业务必需的80、443等端口，远程管理端口应限制指定IP地址访问，禁止使用默认端口22、3389。主机应部署入侵检测系统（IDS）和入侵防御系统（IPS），能够实时监测暴力破解、异常登录、文件篡改等攻击行为，发现攻击后1分钟内自动阻断攻击源IP。操作系统应启用审计日志功能，记录所有用户操作行为，日志保存时间不少于6个月，日志记录应包含操作时间、操作人、操作内容、操作结果等关键信息。（三）应用安全检验互联网保险业务系统应采用前后端分离架构，前端页面应进行代码混淆和反调试处理，防止攻击者逆向分析业务逻辑。所有用户输入参数应在服务器端进行严格校验，校验规则包括长度限制、格式检查、特殊字符过滤，防止SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等攻击。用户认证应采用双因素认证方式，除用户名密码外，还应结合短信验证码、动态口令、人脸识别等其中一种方式进行身份核验，密码应采用SHA-256及以上强度的哈希算法加盐存储，禁止明文存储密码。会话令牌应采用随机字符串生成，长度不少于32位，会话超时时间设置不应超过30分钟，用户退出登录时应立即销毁会话令牌。三、数据安全检验（一）数据分类分级保险机构应按照数据的敏感程度和影响范围，将业务数据划分为公开数据、内部数据、敏感数据、高度敏感数据四个级别。高度敏感数据包括投保人姓名、身份证号、银行卡号、健康状况、保险产品购买记录、理赔记录等核心信息；敏感数据包括用户联系方式、家庭住址、工作单位等信息；内部数据包括机构内部运营数据、业务统计数据等；公开数据包括机构对外发布的产品信息、服务信息等。不同级别的数据应采取差异化的安全防护措施，高度敏感数据应实施最高等级的安全管控。（二）数据传输安全所有涉及用户敏感数据的传输应采用HTTPS协议，SSL证书应采用2048位及以上RSA算法的证书，禁止使用SSL3.0、TLS1.0、TLS1.1等不安全的传输协议，仅允许使用TLS1.2及以上版本协议。数据传输过程中应对敏感字段进行额外加密处理，身份证号、银行卡号等字段应采用国密SM4算法进行加密传输，加密密钥应定期更换，更换周期不超过3个月。应部署网络抓包检测机制，防止内部人员通过抓包工具窃取传输过程中的敏感数据，发现异常抓包行为时应立即阻断并报警。（三）数据存储安全高度敏感数据应采用国密SM4算法进行加密存储，加密密钥应存储在专用的密钥管理系统（KMS）中，密钥管理系统应采用硬件加密机保护，禁止密钥明文存储在应用服务器或数据库中。数据库应开启审计功能，记录所有对敏感数据的查询、修改、删除操作，审计日志保存时间不少于1年。应定期对数据库进行备份，全量备份每周至少1次，增量备份每天至少1次，备份数据应存储在异地备份中心，备份数据的加密强度不低于生产数据。存储敏感数据的服务器应禁止直接连接公网，仅允许通过内部指定IP地址访问，数据库访问账号应遵循最小权限原则，禁止使用超级管理员账号访问业务数据。（四）数据使用安全数据访问应实行权限分级管理，不同岗位人员只能访问与其工作职责相关的数据，禁止越权访问敏感数据。对高度敏感数据的访问应实行双人审批制度，访问申请需经部门负责人和信息安全负责人双重审批后方可授权，访问时间应设置有效期，到期自动收回权限。数据处理过程中应采用数据脱敏技术，身份证号、手机号、银行卡号等敏感字段在展示时应进行掩码处理，仅显示必要的部分内容。禁止在公共网络环境下传输、存储敏感数据，禁止通过个人邮箱、微信、QQ等即时通讯工具传递用户敏感信息。四、业务安全检验（一）投保流程安全投保页面应部署反爬虫机制，能够识别和拦截恶意爬虫批量获取产品信息、模拟投保操作，同一IP地址1分钟内访问投保页面超过10次应触发验证码校验。投保信息提交时应校验用户操作行为特征，包括鼠标移动轨迹、键盘输入节奏、页面停留时间等，识别异常操作行为，防止自动化工具批量提交虚假投保信息。投保人身份核验应采用多要素比对方式，至少比对姓名、身份证号、手机号三要素信息，三要素验证通过后方可进入下一步投保流程。未成年人投保应核验监护人身份信息，确认监护人同意投保后才可完成投保操作。（二）支付流程安全保费支付应采用符合监管要求的支付渠道，支付页面应跳转至正规支付机构的支付界面，禁止在保险机构自有页面收集用户银行卡密码、CVV码等敏感支付信息。支付请求应添加签名校验，签名算法应采用国密SM2算法，支付参数在传输过程中不得被篡改，支付完成后应实时同步支付结果到业务系统。应部署异常支付检测机制，同一用户短时间内多次发起支付请求、支付金额与产品保费不符、支付地点异常等情况应触发人工审核，确认无误后才可完成保费扣划。支付成功后应及时向投保人发送短信或邮件通知，告知保费缴纳情况和保单生效时间。（三）理赔流程安全理赔申请应核验申请人身份，确认申请人为被保险人或其法定受益人，身份核验通过后方可受理理赔申请。理赔材料上传应支持加密传输，医疗记录、事故证明等敏感材料应进行加密存储，仅授权理赔人员可查看。应部署理赔反欺诈系统，通过比对历史理赔记录、公共失信记录、医疗数据等信息，识别虚假理赔、重复理赔、骗保等欺诈行为，可疑理赔案件应自动推送至反欺诈部门进行人工核查。理赔款支付应仅支付至被保险人或受益人本人名下的银行账户，禁止支付至第三方账户，转账前应核验账户所有人身份信息与申请人信息一致性。五、合作机构安全检验（一）合作机构准入安全保险机构选择技术合作机构时，应对合作机构的信息安全能力进行全面评估，评估内容包括网络安全资质、信息安全管理制度、技术防护能力、数据安全保护措施等，评估不合格的机构不得开展合作。合作协议中应明确信息安全责任条款，约定合作机构在数据保护、安全防护、应急响应等方面的责任和义务，明确数据所有权归保险机构所有，合作机构不得擅自留存、使用、泄露用户数据。合作机构应接受保险机构的定期安全检查，对检查中发现的安全问题应在规定期限内完成整改，整改不到位的应终止合作。（二）接口安全检验保险机构与合作机构之间的接口调用应采用HTTPS协议，接口请求应添加签名校验，签名密钥应定期更换，更换周期不超过1个月。接口应设置调用频率限制，同一合作机构账号每秒调用接口次数不应超过100次，超过限制的请求应自动拒绝。接口返回数据应根据合作机构的权限进行字段过滤，仅返回合作方业务必需的字段，禁止返回不必要的敏感数据。应记录所有接口调用日志，日志内容包括调用时间、调用方IP、请求参数、返回结果等，日志保存时间不少于6个月。（三）合作机构数据安全合作机构接触到的用户敏感数据应仅用于合作协议约定的业务场景，不得用于其他任何目的，不得向第三方提供。合作机构应采用与保险机构同等强度的安全措施保护用户数据，数据加密、访问控制、审计日志等要求应符合本规范的相关规定。合作终止后，保险机构应监督合作机构彻底删除所有留存的用户数据，不得保留任何副本，删除过程应留痕记录，保存时间不少于3年。六、应急响应与安全管理检验（一）应急预案管理保险机构应制定完善的互联网保险信息安全应急预案，预案应包括网络攻击、数据泄露、系统故障、业务中断等各类安全事件的处置流程、责任分工、报告机制、恢复措施等内容。应急预案应至少每半年开展一次演练，演练形式包括桌面演练、实战演练等，演练后应及时总结问题，优化应急预案。发生重大信息安全事件时，应立即启动应急预案，采取有效措施控制事态发展，降低事件造成的损失，并按照监管要求及时向银保监会及其派出机构报告。（二）安全团队与制度建设保险机构应设立专门的信息安全管理部门，配备不少于3名专职信息安全人员，信息安全人员应具备相关专业资质和2年以上相关工作经验。应建立健全信息安全管理制度，包括人员安全管理、系统开发安全管理、运维安全管理、数据安全管理、应急响应管理等制度，覆盖信息安全管理的全流程。应定期对全体员工开展信息安全培训，每年培训次数不少于2次，培训内容包括信息安全法律法规、安全操作规范、常见风