监管调研报告系列电子银行安全保护专题报告

1、目录一、引言与调研背景二、调研成果摘要1、监管2、监管概要3、监管差异三、调研成果分析1. 组织与策略2. 系统管理3. 系统安全4. 客户保护35567121216192732353839414454595.评估6.报批报备三、应对之道1、方法论2、管理流程3、4、业务术安全附件 监管条例汇总本讨论资料中所包含之内容属内容，双方正式允诺，交予不得部分或全部，不得使用于目的，不得以任何第或与任何第讨论其中之内容。一、 引言与调研背景为进一步拓展海外业务，提升全球金融服务水平，中国（以下简调研背景称“中行”或“贵行”）正研究推进海外系统整合系统集中管理。的与实施工作，实现全球业务然而，面对全球不

2、同和地区纷繁复杂的金融IT监管形势，贵行须及早开展海外IT监管 要求的深入梳理和适应性分析工作，及时调整系统架构和运维管理模式，以提升全球一体化信息科技服务能力。（中国）企业咨询（以下简称“”或“我们”）受贵行委托，对已经开和地区的业IT监管要求进行整理、汇总和设或即将开设海外分行的全球三十多个分析，并结合贵行系统开发工作进展情况和现有运维管理模式，提出适应监管要求的应对之道，以帮助贵行完成IT监管合规的可行性论证。为了顺应贵行的推广计划，同时前瞻性地考虑监管要求对系统建设和运维所带来的影响，采取业监管调研报告系列的模式，以根据IT监管的重点区域出具专题报告的形式，为贵行展示我们对IT监管合规

3、的调研和分析成果，以及为贵行提供应对监管要求所取的措施。我们的调研方法包括：调研方法与全球我们与的业服务团队合作：在全球的金融业领域拥有深厚的专业，的业务IT监管现状，并获全球的业服务团队合作，了解对应取相应IT监管要求；与全球的金融监管机构接触和：通过监管机构的、通知或有关金融业的IT监管要求；中国金融业服务团队在中国拥有众多的直接与其的方式，获取全球主要与客户中国金融业服务团队合作：业以及合规类项目经验，通过与其合作，获取部分的IT监管要求的成果。监管机构 监管机构名称 监管条例 监管环境初步分析调研团队中国金融业服务团队全球3业监管调研报告系列：电子安全保护专题报告本专题所指的电子是指商

4、业等业金融机构利用面向公众开放的通讯通道网络，向客户提供的调研范围或开放型公众网络，以及为特定自助服务设施或客户建立的服务。调研的监管范围是与电子安全保护最相关的监管要求。电子业务包括利用计算机和互联网开展的业务（以下简称网上业务），利用等声讯设备和电信网络开展的业务（以下简称业务），利用移动和无线网络开展的业务（以下简称业务），以及其他利用电子服务设备和网络，业务。由客户通过自助服务方式完成金融的本期专题调研报告关注全部范围内的主要和地区的业与电子安全保护最相关的IT监管要求进行了调研，覆盖了贵行已开设分支机构的34个及地区，如下图所示：俄罗斯英国荷兰德国爱尔兰比利时 卢森堡斯坦匈牙利法国意

5、大利美国韩国巴林阿联酋老挝越南柬埔寨开曼群岛菲律宾巴拿马新加坡尼西亚巴西赞比亚秘鲁南非澳大利亚美洲地区非洲地区和亚太地区 中国（） 中国（英国） 中国 中国（） 分行 纽约分行 开曼分行 巴拿马分行 中银爱尔兰 法兰克福分行 巴黎分行 中银国际（新加坡） 东京分行 中国（巴西） 中国（）中国 秘鲁分行分行 首尔分行 匈牙利中国 中国（澳大利亚） 中国 中国 中国（卢森堡）（卢森堡）（卢森堡） 曼谷分行 胡志明市分行 马尼拉分行 金边分行分行布鲁塞尔分行 俄罗斯中国 迪拜代表处 巴林代表处 赞比亚中国 约翰内斯堡分行中国 雅加达分行4业监管调研报告系列：电子安全保护专题报告二、 调研成果概要在本

6、次调研过程中，我们基于全部范围各个主要或地区的金融监度，就与电子银监管行安全保护最直接相关的监管要求进行调研。我们发现，近年来海外金融监管机构对电子的监管呈现出以下趋势：紧跟风险变化趋势，积极拓宽监管领域：层出不穷的新技术，方便了电子业务的开展，也带来了新的威胁与风险。同时，电子业务的法律纠纷日益增多，在一定程度上影响着的声誉。海外监管机构要求更具前瞻性的对电子的新型威胁进行主动防御，并注重对法律与声誉风险的管理。不断细化监度，加强对高风险领域的监管力度：海外监管机构在原有监度的基础上，对重点领域的监管要求进行进一步的细化，使得能够更加明确地开展合规工作。例如：各国对更加严格。认证、数据加密与

7、客户保护等方面的要求越来越详细，也丰富监管，深入持续地监管电子风险：越来越多的海外监管机构发布了电子业务准入规定，并要求电子业务的多个领域进行的安全评估，的目的。同时还要求就电子的事项进行报告，以达到深入持续拓宽新兴监管领域加强对高风险领域的监管丰富监管5业监管调研报告系列：电子安全保护专题报告 建立电子 业务准入门槛，保证电子银行的基本安全要求 要求 电子银行业务进行定期的安全评估，及时识别业务风险 通过现场检查、非现场检查、监管报告等方式对电子 业务进行持续性监管 加强电子 客户端的安全保护，对使用的 认证技术和加密技术进行更加严格详细的要求 将业务信息向客户进行必要的披露，并强化对客户的

8、安全教育 加强对异常 的监控，建立完善的信息保存机制，为交易纠纷提供法律依据 对通过移动终端（手机、平板电脑等）进行的电子 业务实施有效保护 采用主动防御技术 （如防范键盘技 术、计算MAC、网络检测等）防 范行为 注重法律与声誉风险 管理，建立、纠纷处理及机制通过对全部范围或地区内电子相关监度的调研，我们发现共有21个或地电保监管概要区发布了专门的电子监度，或在已发布的一般信息科技监度中纳入了子的监管要求。我们按照以下几个领域归纳总结出了海外金融监管机构对电子护的要求：组织与策略：相比传统业务，海外监管机构对电子的管理架构与管理策略提出了更具性的要求。包括组织架构的设置与职责的明确，业务策略

9、与风险管理策略的建立与完善，以及电子IT外包管理等要求。系统管理：电子业务的开展极其依的安全运行。为保障电子业务的持续有效运营，海外监管机构从管理流程的角度对电子理、应急管理及业务连续性管理进行规范。的性能与容量管理、日志管系统安全：电子业务更加依赖于公共网络，并且提供了多样化的自助服务，这增加了电子系统的未及的风险。因此，海外监管机构从系统的主机与终端、应用程序、发布了大量电子术的要求，对电子数据、网络进行保护。客户保护：电子业务通常都是客户自助完成，对电子风险的力往往不及传统业务。为此海外监管机构发布了大量关于客户保护的监管要求，包括：客户隐私保护、客户披露事项、客户安全教育、以及信息保存

10、。评估：电子监管机构发布了业务相对较高的风险引起了海外监管机构的格外重视，众多海外电子业务和电子系统的评估或审计要求。旨在使银行更加有效的识别、评估及应对电子业务风险。报批报备：海外监管机构对电子报批报备的要求比传统业务更加严格，电子的报批报备频率更高、内容也更加详细。需要说明的是，由于电子业务是众多业务中一种特殊的业务，因此既需要遵守本专题中所述的电子系有的IT监管要求，还需要遵守所有IT系统共有的一般性监管要求。关于共性的监管要求，可参见出具的业监管调研报告系列中的专题和其他重点领域专题报告。组织与策略系统管理系统安全电子安全保护客户保护评估报批报备6业监管调研报告系列：电子安全保护专题报

11、告我们根据海外监管机构的监管要求，从监管广度（即监管要求所覆盖领域的数量）与监管监管差异深度（即对某个或某几个领域的监管力度）两方面对各个级。和地区的监管水平进行了分我们发现，各个或地区的监管广度与监管强度之间存在着一定的正相关性，即监管较全面的对各领域的监管往往较为具体详细。海外或地区电子监管强度分布高监管深度低低监管广度高7业监管调研报告系列：电子安全保护专题报告德国澳大利亚新加坡美国巴拿马越南韩国比利时匈牙利阿联酋 开曼群岛尼西波兰瑞典菲律宾亚各个或地区的监管机构对电子的监管有着不同的侧重点，其中既包括美国、监管差异等对电子领域对电子的各个方面进行全面监管的和地区，也包括澳大利亚、德国在

12、某一特定进行深入监管的。我们对各个或地区的监管覆盖范围和重点监管领域进行了归纳总结，并制作了差异表格，对各国的监管差异进行对比。及亚太地区监管差异分析表注：表中“”表示该的监管重点。或地区对电子的监管已覆盖到对应的领域，“重点监管”表示对应领域属于该或地区8业监管调研报告系列：电子安全保护专题报告监管领域新加坡马来西亚越南菲律宾澳大利亚韩国阿联酋组织与策略组织架构业务策略风险管理策略重点监管重点监管重点监管外包管理重点监管重点监管系统管理性能与容量管理日志管理应急管理重点监管业务连续性管理系统安全主机与终端安全应用安全重点监管重点监管重点监管认证与权限管理重点监管重点监管重点监管重点监管数据安

13、全重点监管重点监管重点监管重点监管重点监管亚太地区的多个和地区都发布了专门的电子监度，对电子的监管强度普监管差异遍较高。亚太地区在运维方面的监管重点为主机与终端安全、应用安全、认证与权限管理、数据安全和求，确保电子等风险较高的领域，各国在这些领域制定了非常具体的技术要系统的运维安全。同时，亚太十分注重对客户隐私保护、客户披露事项、客户教育等客户保护领域的监管。目前，东南亚地区（包括中国客户保护的监管已处于世界领先地位。、中国）对电子及亚太地区监管差异分析表9业监管调研报告系列：电子安全保护专题报告监管领域新加坡马来西亚越南菲律宾澳大利亚韩国阿联酋客户保护客户隐私保护重点监管客户披露事项重点监管

14、重点监管客户教育重点监管重点监管重点监管重点监管信息保存重点监管重点监管重点监管评估评估重点监管重点监管报批报备报告报批重点监管重点监管美洲地区的美国和巴拿马已发布了专门的电子监度，对电子开展较为全面的监管差异监管。而欧非地区的多数则倾向于将电子纳入到传统业的监管体系中，未发发布的电子商务相关监布专门的电子监管要求，但德国、波兰、匈牙利、瑞典等度已覆盖了电子监管的部分内容。美洲及欧非地区监管差异分析表10业监管调研报告系列：电子安全保护专题报告监管领域美国巴拿马开曼群岛德国匈牙利比利时瑞典波兰组织与策略组织架构业务策略重点监管风险管理策略外包管理重点监管重点监管系统管理性能与容量管理日志管理应

15、急管理业务连续性管理系统安全主机与终端安全应用安全重点监管重点监管认证与权限管理重点监管重点监管数据安全重点监管监管差异美洲及欧非地区监管差异分析表11业监管调研报告系列：电子安全保护专题报告监管领域美国巴拿马开曼群岛德国匈牙利比利时瑞典波兰客户保护客户隐私保护客户披露事项客户教育信息保存重点监管重点监管评估与报告评估重点监管报批报备报告报批三、 调研成果分析良好的组织管理架构与业务策略可以使电子业务更加稳定、高效地开展，也能够有效组织与策略降低业务风险。众多海外监管机构对电子的组织架构、安全策略以及风险管理策略制定了明确具体的要求。同时，海外监管机构格外重视电子业务中的外包管理，电子的外包管

16、理进行了严格的规范。通过调研全部范围内的和地区的金融监度，我们归纳总结出对于组织与策略的一般性原则，以及不同和地区对组织与策略的特殊性要求。一般性原则组织架构在设计IT组织架构时应考虑组织架构和电子系统的运营架构，IT组织应明确电子系统中的使用责任，以及员工的能力和职责。系统运营架构包括开发、部署、变更和系统应用行组织管理。的组织。可考虑使用流程和功能描述或者组织手册等形式进保电子处理，电子操作系统、数据库和应用程序管理，以及电子系统开发和维护过程中的职责分离。设立事故应变小组，以按照事故相关程序作出回应。该小组应被赋予适当的权利并应受过充足的训练，能使用定去采取的适当行动。检测系统，审计的相

17、关数据的重要性及决业务策略 制定电子理机制。的业务战略，作为整体业务战略的一部分。建立有效的电子服务管合规应该确保对电子系统采取了适当的措施，来落实相关合规问题。的安全理念应与IT战略及IT组织相一致，并包括电子商务风险的评估。应建立电子运营管理流程。风险管理策略在提供新的电子业务或时，董事会及高级管理层信已对风险概况、经营策略、成本、效益进行分析，并能胜任管理此新开业务所带来的风险。在决定是否将电子业务进行外包时，应对外包活动做风险评估。需要建立和维护详细的部威胁等及时调整和更新该体系，并根据技术变更、体系，该体系应包括：敏感性、内外Ø 识别和评估网上的与服务的风险；Ø

18、定义降低风险的措施，包括适当的认证强度；Ø 检查评估客户意识的有效性。12业监管调研报告系列：电子安全保护专题报告一般性原则组织与策略风险管理策略 明确电子风险偏好并确保电子风险管理流程与整体风险管理实践的一致性；定期审阅现有政策及流程；确保上述政策与流程能够覆盖电子业务的新型风或服务的保供应商采险；识别电子服务的风险因素，并采取风险措施确保电子安全性、完整性和可用性，若将关键系统或应用外包给第，取了与类似的保护措施。应建立适当的安全程序，包括：建立认证和机制，对内部和外部用户行为、和数据真实性等进行安全，保留所有电子的审计轨迹，敏感数据应实施适当的措施，应时刻警惕并电子系统受到的，

19、对员工进行科技和相关安全的培训，并对所有用户进行安全意识培训。应向所有电子相关广泛传达电子安全保护的相关信息，使相关电子的潜在风险，利用适当的安全教育材料，在内培养。高级管理层保建立了电子安全政策及流程。监事会和董事必须对电子活动的风险实施有效监督。应当跨境电子服务实施适当的风险管理措施。外包与第管理应当确保雇佣的外部供应商的胜任能力，保证其能够满足的安全需求。供应商的安全控应电子外包制定适当的策略，至少包括职责分离和制。特殊性要求组织架构：要求董事会（或常务董事会）及高管层成立专职或指定专人，建立有效风险管理制度，包括风险管理政策及风险控管程序，以有效管理电子业务风险。业务策略：尼西亚要求：

20、必须在商业计划中包含新增电子的计划。的安全性，包括：服务不能用于大额或高ü对于电子服务，必须确保ü所有语音交互式会话，使用可靠安全的认证，使用PIN和风险、必须。13业监管调研报告系列：电子安全保护专题报告特殊性要求组织与策略业务策略要求制定妥善的管控措施，以管理法律及信誉风险，包括妥善的电子章条款，在电子或其他有关文件上列载资料披露及免责，以符合法律规定，如个人资料条例及海外地区的保障消费者条例，并考虑是否需要就剩余法律风险适当的保险。美国要求：建立电子的战略计划：1.应根据客户的需求和风险评估提供不同等级的电子银ü行服务；2.电子计划董事会审批，考虑到用户需求

21、、竞争、专业化、实施费用、维护费用及资金支持；3.金融机构应定期审阅一致。，确保其与业务战略保持在制定电子业务的提供或扩张业务的计划时，应考虑技术风险。及服务的监管策略时应考虑：1.管理层审阅、审批和科技ü制定对电子相关的电子应商；3.电子ü项目；2.关键电子和服务的安全、恢复性和第供的技术和与业务战略目标和市场需求相一致；4.高级管理层对计划的执行情况定期审阅；5.对高风险的活动建立流程；6.具有足够能力评估、选择和实施电子的技术。巴拿马要求ü 在提供电子：服务时，必须确保每条的真实性、完整性和性，必须避免拒绝任何已经同意的有效，及必须确份验证及的职责分离。必须

22、确保至少满号码；b.种类1客户在接入设备时为了达到此目的，足以下安全措施：a.用移动支付。于移动支付，必须自动且清晰获取识别客户的移动必须至少具有4位字符；c.提供必要的措施，以防止所提供的识别和认证信息；d.客户敏感时实施补偿性。客户通过电子保对电子服务执行时应提供确认。ü使用了适当的内部，特别是网上相关的操作，如：ü1.，修改或关闭；2.金融结果；3.批准客户超出预先已设定的权限；4.批。准，修改或撤销系统权限或风险管理策略： 越南要求根据业和性的自身制定的信息系统安全性和性的制定性网上系统安全性和，且必须每年对其网上系统安全性和进行检查和修订。 新加坡要求参照网上银系

23、统的安全措使用无线网络的电子系统（如）使用类似的保护方法，并对移动网络服务进行风险评估，识别可能出现的诈骗场景并采取相应的防控措施防止诈骗的发生。14业监管调研报告系列：电子安全保护专题报告特殊性要求组织与策略外包与第管理要求，机制及数据电子机制应符合业务外包或委托第本身的标准。服务事项制定的风险管理、德国要求：ü 当电子系统的备份和外部流程委托于第时，必须通过额外的内部，以及与外包商签订明确的正式合同和服务水平协议等，确保对于外包供应商的备份和外部流程是适当的并被有效执行。ü 董事会及高级管理层应建立全面持续严谨的监督程序，以管理由外包商所负责的电子业务。尼西亚要求如果电

24、子系统的部分运维任务委托给第，必须制定和实施流程和尽职，并持续管理与第的关系。要求，分行的服务供应商定期提交或的报告，以使跟踪其服务易活动情况、表现、安全隐患及财务状况。具体应包括但不限于：服务的可用服务效率（如应答时间）、安全事故、供应商财务稳定性保证材料、质量及安全保证材料。越南要求人信息的服务供应商必须在服务合同中明确对使用网上服务的客户个，收集、使用的方式，且出售或披露。要求越南要求要求对于电子业务外包或第服务事项建立一套适当的紧急应变计划。的外包供应商制定并提交对被外包业务中断时的处理步骤。应从有信誉的，业内公认的技术水平较为先进的供应商处采购及路由器设备，确保与路由器设备可应对新型

25、网络威胁。且在挑选检测系统时，应考虑有关能否提供所需的数据以侦测可能的情况，以及供货商能否适时提供最新的特征。15业监管调研报告系列：电子安全保护专题报告电子业务的开展极其依赖IT系统，IT运营是电子日常管理活动中工作量最大、安系统管理全需求最高的环节。因此I建立有效的T系统安全管理管理是电子基础。业务顺利开展的重要在对全部范围内欧盟以及美国、和地区金融监、巴拿马等度调研时，我们发现亚太的绝大部分和地区、或地区，对电子的系统管理流程做了较为具体的规定，涉及范围包括：性能与容量管理、日志管理、应急管理、业务连续性管理等领域。一般性原则性能与容量管理应根据电子商务市场动态及客户接受程度，来分析电子

26、系统所需容量及将来规模，并为电子及容量。基础架构设备和电子系统建立冗余配备，保证传输性能日志管理应当应当和维护所有电子的日志。电子活动保留清楚的审计轨迹，下列电子尤为适用：1. 客户账户的开立、修改和取消2. 任何有财务结果的3. 任何容许客户超出限额的4.任何系统或的授予、修改和取消应急管理 建立正式的管理流计划，及告和处理已发生的或潜在的安全。业务连续性管理重要的电子试。业务处理程序及传输系统建立灾备及业务恢复计划并定期对其进16业监管调研报告系列：电子安全保护专题报告特殊性要求系统管理日志管理规定，应将客户在日志中，并网上系统中的金融。网验证上系统的、赋予或取消亦应在日志中，包括系统更新

27、过程、系统配置操作、系统和使用设备的权限、事务处理和异常。越南要求，必须对网上系统的所有日志进行归档，保存期限为至少3年。至少每月对日志进行检查，以监测和防范异常和的；。巴拿马规定，日志应包括系统后的一年内获得监管机构的及客户及操作的说明。日期对日志进行维护。日志应至少包括以：Ø 电子，包括客户，日期及时间Ø 详细的货币操作，包括日期，时间，技术和类型（借方/信贷），数量，账户及目标账户，对电子及/或，日志的数据，以方便找到或试图的根源Ø于网上需要通过网络服务器进行收集，应至少包括方法ØGET/POST/HEAD)，统一标示符（URI）及参数的日期和时间

28、（timestamp）。系统的所有日志进行归档，保存期限为至少3年。至少越南要求，必须对网上每月对日志进行检查，以监测和防范异常和的。性能与容量管理 德国要求通过测试及定期检查等，估计电子系统的性能容量。业务连续性管理要求：电子业务连续性计划遇有业务受干扰的情况，如何恢复或取代电子银的程序。ü行处理能力及在有需要时重建电子的服务。业务连续性计划应能处理依赖于外部服务供应商（如互联网服务供应商）ü若关键电子服务的应变安排会利用其他服务传送，要考虑到客户的ü需求与期望，确保该服务传送可向其客户提供适当水平的持续服务。电子的互联网基础架构的关键部分应预留灾备设备，以防止

29、单点故障造成整ü个网络及基础设施无法运行。17业监管调研报告系列：电子安全保护专题报告特殊性要求系统管理业务连续性管理 美国要求：ü 建立业务连续性计划时应考虑：1.电子服务的业务影响分析，定义最低恢复目标和恢复时间目标；2.对关键的网络组件建立冗余，避免单点失败；3.维护电子银行业务连续性计划；4.业务中断时的客户性计划；6.定期测试业务恢复能力。计划；5.审阅的业务连续ü 业务连续性计划应包括：1.定期审阅和更新电子连续性计划；2.指定负责起草和管理电子恢复性计划；3.充分分析并减轻关键网络的任何单点失败；4.恢复硬件、软件、链和数据文件的策略；5.定期对外部

30、供应商或关键供应商的备份协议进试。应急管理规定，在发现或接获有关电子应用程序的问题后，应按情况检查有关程序的源代码，确保有关问题得到适当处理。要求：建立电子件，例如业务风险管理及通报机制（影响经营及声誉之紧急突发事风险管理现状向董事会ü、外泄），定期或于必要及高级管理阶层报告。紧急的发生应有明确的评估及认定机制，包括发生所带来的、ü的重要性及服务中断的信誉风险。联机支持操作和定期分析客户抱怨事项，以帮助确认现有机制之漏洞。系统失败的事ü对于市场及大众件，要建立适当的介质所关心的及联络策略。漏洞、及网络ü重要的应设置紧急或服务中断应建立紧急通报程序，通报主

31、管机关。ü处理小组，小组应经过充分专业训练，以分析、解释、处理ü相关结果的意义及重要性。应有明确的指挥体系，处理内部或外包业务的紧急，并适时通报董事会。ü对于重要电子业务中断及业务恢复，应实时对外公告。ü应搜集及保留法律证据讼的佐证。，以协助电子紧急的追踪检查及提供法律诉ü18业监管调研报告系列：电子安全保护专题报告电子业务的开展极其依赖IT系统，IT运营是电子日常管理活动中工作量最大、安系统安全全需求最高的环节。务顺利开展的重要保障。主机、终端、网络、应用和数据所部署的术是电子业在对全部范围内欧盟以及美国、和地区金融监、巴拿马等度调研时，我们

32、发现亚太的绝大部分和地区、或地区，对电子的系统运营与系统安全管理做了全面的规定，涉及范围包括：主机与终端安全、应用安全、认证与权限管理、数据安全、等领域。一般性原则应用安全应制定适当的安全保护措施，如进行代码审阅，部署防软件、网络和检测系统，以避免系统中出现代码并防止电子系统受到或恶意（包括拒绝服务、中间人。、缓冲区溢出）的影响。此外，还取相应措施，防止电子应及时对电子相关设备及系统进行升级，包括应用系统、网络系统、数据库及、检查设备，确保电子相关系统和设备更新至安全的版本。认证与权限管理取适当的措电子的服务器、网络、数据库和应用程序进行控制，防止对上述设备或系统的未问。，并确保系统对不相容职

33、责进行了适当的访取适当的认证技术来保证用户的是电子的或通过电子。同时采取适当的措电子客户进行认证。客户进行，必须要求客户使用带有客户数字签名的数字，以确保活动的不可抵赖性。此。多因素认证包括以外，还应对客户进行多因素认证，以最大限度的防止未下要素：Ø 用户所知（如、）Ø 用户所有（如令牌、智能卡、ATM卡）Ø 用户特征（如生物特征）Ø 用户位置（如地理位置）当客户完成高风险后，过第二（如）通知客户本次交）。易。通知内容应包括类型、发款人的部分账户号码、金额（19业监管调研报告系列：电子安全保护专题报告一般性原则系统安全数据安全对于在通过电子系统、传输、处

34、理、使用的敏感数据，应使用国际认可或经过合理测试的加密算法，保护数据的性。对于在网络传输的敏感数据，用端到端加密，如行加密。此外，接层的使用。还应对客户、加密其他加密代码进性。还应定期审阅加密算法是否能够保证数据的取适当的措施，保证与电子系统和传输中的、及其他信息的完整性、性、准确性、真实性和不可抵赖性。应建立密钥管理流程，不应任何个人掌握密钥生命周期的全部信息。过期、失效或已泄露的密钥。钥的生成应经过合理的。及时应建立管理流程，在内部网络、外部网络和互联网之间实施足够的安全措施， 如对内部网络进行分段、应用多个在关键位置部署非军事区、安装IDS/IPS系统等。定期检查上述设备或系统的安全策略

35、是否适应当前安全环境，及时修补相关漏洞。应根据的要求，对网络进行适当的物理与逻辑，并建立网络拓扑图，网络中各方的连接情况。取适当的措电子的网络会话进行保护，设置会话中断时间，对失效的会话必须进行重新连接。确保已知客户的连接无法被未知的第不能够通过修改认证数据库的方法被回避。代替，以及认证20业监管调研报告系列：电子安全保护专题报告特殊性要求系统安全主机与终端安全新加坡规定，移动设备易丢失或，应对用于移动网络服务和支付的敏感数据进行加密保护，保证数据在、传输和处理过程中的性和完整性。要求对电子客户认证数据库和敏感系统进行保护，防止系统干扰或中断的影响。系统干扰应能被检测并审计痕迹。规定，并应用加

36、密、应尽量避免在台式机和笔记本计算机上敏感或高风险数据，和数据恢复计划对敏感数据进行保护。要求应安排程序。负责适当检查、测试及应用服务器、及路由器的修补规定，应使用互联网基础设施或非军事区内与处理电子系统相关的前端处理程序，如核实数据或响应客户的程序，易受来自互联网用户的，因此装有这些程序的服务器不得任何数据。规定，载有的管理网页或敏感数据的隐藏目录应从生产服务器中移除，或以有效的认证及接达管控机制保护。同时，备用及共享也应从生产网站服务器或目录的结构中移除，以免被用户接入。越南在主机与终端方面做出了以下规定：应制定获准安装在网上更新和检查；服务器中的软件，并且每季度对该进行Ø应保证

37、网上系统的数据库管理系统满足稳定运行的要求，并能够根据运Ø行要求处理和储存大量数据，以及具备安全机制和对数据库的。德国要求金融机构应运用适当的扫描工具定期检查电子运行环境及IT内控系统，以识别潜在的安全问题。并对应用进行合理配置和维护，以修补发现的漏洞。美国规定应对系统进行加固，移除不需要或不安全的服务及文件，更改配置和密码的默认设置。应用安全要求机构应考虑在开发电子应用程序时，评估不同的工具或语言可以提供的安全功能，以确保能够实施有效的应用程序安全措施。 新加坡要求，应保证客户可从第移动网络服务及支付应用,客户应能够确也应检查客户所使用的移动网络服务应用的认上述应用的可靠性及真实性

38、，同时有效性及完整性。21业监管调研报告系列：电子安全保护专题报告特殊性要求系统安全应用安全规定，查问卷。给客户的电子邮件不能包含以及需要客户个人数据的调要求越南要求应考虑电子指定专人管理网上错时不应透露系统的敏感细节。系统的源程序。并确保对源程序的应当得到适当的审批和跟踪，且在日志中。或收到供应商建议之后对电子越南要求金融机构至少每6一次补丁更新和错误纠正。数据库管理系统进行新加坡要求，在客户使用从第（如App store、Play等）的服务或应用时，应检查客户端的应用是否真实有效。规定，对于类电子服务（能够进行），应实施别的保护，包括强健的认证方法以及对传输中的敏感信息加密。巴拿马要求建立

39、管理电子服务相关行为的系统和全面的客户行 跟进。建立为的解决方案，包括识别方法、早期另外，为防止电子服务的不当使用，、防范措施及必须确保各种情况的认证及可疑及有效的安全措施。因此，必须制定了解客户的相关政策，对程序及其他有关电子使用不当的监管条例及法律条款进行尽职。认证与权限管理对认证做出了以下特殊性规定：Ø 机构应向客户提供真实性的适当方法（如服务器及密钥轮）；Ø 若机构在评估认证机制后，决定只利用用户名及方式验证客户，应实施足够的客户安全措施保护客户，并采取有效的监察机制，以侦测任何异常活动；Ø 如果机构使用数字作为双因素认证方式，机构保数字及其私钥是不可的，

40、且保存在安全介质中。客户在使用完毕后，应提示客户断开数字介质和电脑终端的连接；在使用的方式向客户前，应向客户信息：Ø类型，发款人的部分账号信息，金额。客户应对信息的准确性作出 有效期应小于100秒；确认后再输入高风险客户每进行一次高风险的的。的操作，需要使用不同的Ø 机构应考虑采用可靠的安全机制管理电子会话，例如设置超时中断措施；被冒用的可能，例如：使用不同的登应实施必要的管控措施以降低客户Ø录和，只可以向已的账户进行转账，设置限额；22业监管调研报告系列：电子安全保护专题报告特殊性要求系统安全认证与权限管理对认证进行了以下规定：低风险非约定转入账户的转账应增设；

41、Ø凡是新增、删除或变更个人、可修改认证系统数据库；者、系统的认证数据，均需经过认证及，才Ø经认证的电子系统联机应全程保持安全性，当发生安全时，此类会话应重Ø新认证客户及权限；机构签发的并遵循金融XML跨行应用应使用经认可的共享性Ø技术规范且法人用户必须使用硬件装置储存密钥。跨网使用时必须使用管机构审核通过的中间件所支持的；实依操作标准/流程办理相关业务。如使用网络认证金融机构有Ø限公司（TWCA）NBCA应以临柜或邮递方式向(Network Banking CA，网络使用之)的客户，中心申请新；使用金融XML(eXtensible Markup

42、Language，可扩展标记语言)的客户，应以使用中的有效私钥签名后传递中心申请新。菲律宾要求应用，采取适当的认证技术来保证用户取与运营商单独区分的认证协议。的是的；对于无线韩国规定，用户同意或带有可验证的电子签名的电子文档所示的认证凭证在其预计使用日期的六内尚未使用，则应对该途径进行更新或更替。美国要求应根据客户类型、类型、信息敏感程度、通讯设备使用情况和量等方面评估网上认证的风险。美国规定，对于敏感操作，一人以上进行审批后才可以操作，如大额电子资金转移或密钥。数据安全 德国在数据保护方面做了如下特殊性规定：Ø 为确保数据接收方能接收到完整的数据，数据在被前，完整性校验；数据方只能

43、通过完整性校验的数据；Ø 对于已发生但未被的，必须采取适当的行动，以确保信息完整性；Ø 用户名和必须不得于互联网浏览器或者电子商务和IT系统中，除非采取适当的安全措施防止其的。规定，对于的泄露。与客户间的数据传输，需使用接层（SSL）来防止 澳大利亚审慎监管署要求对数据的加密强度要与其敏感程度和重要程度相符，并且要 定期检查以保证加密技术及其强度始终适合风险环境；还规定金融机构要通过加密技术保证重要敏感数据跨境传输的安全性。23业监管调研报告系列：电子安全保护专题报告特殊性要求系统安全数据安全规定，如果无法部署端到端加密，且电子系统通信在客户设备与统之间传输时需要，则取适当

44、的措施保护，如步骤特殊安全设备上进行（防篡改设备）。澳大利亚要求在生成网络服务的PIN码时加密。规定当应用PKI认证，机构保满足以下安全需求（包括但不限于）：在安全生效前检查数字和密钥的合理性；Ø为在设置合理的有效期，在过期后应评估密钥长度和加密算法的有效性，Ø再次生效前根据需要对密钥长度和加密算法进行变更；在进行前检查撤销列表，确保数字的有效性；Ø定义撤销的情景，如客户密钥用或用户账号已注销；Ø在数据库中对已被撤销的进行定时状态更新，最好可以实时更新；Ø确保对根密钥实施了严格的安全保护措施；Ø定期进行审计，确保已实施了合理的安全、公

45、钥与私钥长度合理、Ø模块的设计符合业界标准，并已对认证中心的系统进行了保护；保存认证中心系统所有安全的审计日志，包括对根密钥的使用；Ø定期审阅认证中心的异常报告及其雇员的系统活动，防止的发生；破坏和未Ø确保机构的数字及认证系统符合被广泛接受的PKI技术标准，确保机构的安全Ø与其他认证中心的兼容性。24业监管调研报告系列：电子安全保护专题报告特殊性要求系统安全数据安全对数据加密做出了如下规定：为了信息的性，可采取对称加系统或非对称加系统：ØI.应至少采用DES(密钥有效长度固定为56位)或其他安全强度相同之算法；II.如采用RSA，密钥长度不得小于1024位，采用其他算法则其安全强度至少须与前述规范之RSA强度相同；III. 信息须全文加密。通过互联网执行电子转账及指示类的低风险指示信息，除限定性缴费Ø税外，其运用安全机制若不具备无法否认传递信息、无法否认接收信息等基本防护措施者，则其运用