ICS35040

L80.

中華人民共和國密碼行業(yè)標(biāo)準(zhǔn)

GM/T0073—2019

手機(jī)銀行信息系統(tǒng)密碼應(yīng)用技術(shù)要求

Cryptographytechnicalrequirementsformobilebanking

informationsystems

2019-07-12發(fā)布2019-07-12實施

國家密碼管理局發(fā)布

中華人民共和國密碼

行業(yè)標(biāo)準(zhǔn)

手機(jī)銀行信息系統(tǒng)密碼應(yīng)用技術(shù)要求

GM/T0073—2019

*

中國標(biāo)準(zhǔn)出版社出版發(fā)行

北京市朝陽區(qū)和平里西街甲號

2(100029)

北京市西城區(qū)三里河北街號

16(100045)

網(wǎng)址

:

服務(wù)熱線

:400-168-0010

年月第一版

201910

*

書號

:155066·2-34606

版權(quán)專有侵權(quán)必究

GM/T0073—2019

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

縮略語

4……………………2

手機(jī)銀行信息系統(tǒng)模型

5…………………2

密碼應(yīng)用基本要求和密碼應(yīng)用功能要求

6………………3

手機(jī)銀行信息系統(tǒng)密碼技術(shù)安全保護(hù)二級要求

7………3

基本技術(shù)要求

7.1………………………3

密碼技術(shù)安全要求

7.2…………………3

物理和環(huán)境安全

7.2.1………………3

網(wǎng)絡(luò)和通信安全

7.2.2………………4

設(shè)備和計算安全

7.2.3………………4

應(yīng)用和數(shù)據(jù)安全

7.2.4………………6

密碼配用策略要求

7.2.5……………6

密鑰安全與管理要求

7.3………………7

總則

7.3.1……………7

密鑰安全

7.3.2………………………7

密鑰管理

7.3.3………………………8

安全管理要求

7.4………………………10

概述

7.4.1……………10

安全管理制度

7.4.2…………………10

人員管理要求

7.4.3…………………10

密碼設(shè)備管理

7.4.4…………………10

使用密碼的業(yè)務(wù)終端要求

7.4.5……………………11

手機(jī)銀行信息系統(tǒng)密碼技術(shù)安全保護(hù)三級要求

8………11

基本要求

8.1……………11

密碼技術(shù)安全要求

8.2…………………11

物理和環(huán)境安全

8.2.1………………11

網(wǎng)絡(luò)和通信安全

8.2.2………………12

設(shè)備和計算安全

8.2.3………………13

應(yīng)用和數(shù)據(jù)安全

8.2.4………………14

密碼配用策略要求

8.2.5……………15

密鑰安全與管理要求

8.3………………15

總則

8.3.1……………15

Ⅰ

GM/T0073—2019

密鑰安全

8.3.2………………………15

密鑰管理

8.3.3………………………16

安全管理要求

8.4………………………19

概述

8.4.1……………19

安全管理制度

8.4.2…………………19

人員管理要求

8.4.3…………………19

密碼設(shè)備管理

8.4.4…………………20

使用密碼的業(yè)務(wù)終端要求

8.4.5……………………20

附錄規(guī)范性附錄安全要求對照表

A()…………………21

參考文獻(xiàn)

……………………22

Ⅱ

GM/T0073—2019

前言

本標(biāo)準(zhǔn)是信息安全等級保護(hù)銀行業(yè)金融機(jī)構(gòu)密碼技術(shù)應(yīng)用要求相關(guān)系列標(biāo)準(zhǔn)之一與本標(biāo)準(zhǔn)相關(guān)

。

的系列標(biāo)準(zhǔn)包括

:

銀行信貸信息系統(tǒng)密碼應(yīng)用技術(shù)要求

———GM/T0075—2019《》

銀行卡信息系統(tǒng)密碼應(yīng)用技術(shù)要求

———GM/T0076—2019《》

銀行核心信息系統(tǒng)密碼應(yīng)用技術(shù)要求

———GM/T0077—2019《》

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由密碼行業(yè)標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口

。

本標(biāo)準(zhǔn)起草單位國家密碼管理局商用密碼檢測中心中金金融認(rèn)證中心有限公司中國銀行股份

:、、

有限公司中國民生銀行股份有限公司

、。

本標(biāo)準(zhǔn)主要起草人鄧開勇謝宗曉張大健馬瑤瑤介磊郭晶瑩張眾楊辰

:、、、、、、、。

Ⅲ

GM/T0073—2019

引言

本標(biāo)準(zhǔn)與信息系統(tǒng)密碼應(yīng)用基本要求銀行核心信息系

GM/T0054—2018《》、GM/T0077—2019《

統(tǒng)密碼應(yīng)用技術(shù)要求銀行卡信息系統(tǒng)密碼應(yīng)用技術(shù)要求

》、GM/T0076—2019《》、GM/T0075—2019

銀行信貸信息系統(tǒng)密碼應(yīng)用技術(shù)要求共同構(gòu)成了信息系統(tǒng)安全等級保護(hù)密碼技術(shù)要求的相關(guān)配套標(biāo)

《》

準(zhǔn)其中信息系統(tǒng)密碼應(yīng)用基本要求是基礎(chǔ)性標(biāo)準(zhǔn)本標(biāo)準(zhǔn)

。GM/T0054—2018《》,、GM/T0077—

及是在基礎(chǔ)上的進(jìn)一步細(xì)化和擴(kuò)展

2019、GM/T0076—2019GM/T0075—2019GM/T0054—2018。

本標(biāo)準(zhǔn)在信息系統(tǒng)密碼應(yīng)用基本要求信息安全技術(shù)

GM/T0054—2018《》、GB/T22239—2008《

信息系統(tǒng)安全等級保護(hù)基本要求金融行業(yè)信息系統(tǒng)信息安全等級保護(hù)實施指引

》、JR/T007—2012《》

等技術(shù)類標(biāo)準(zhǔn)的基礎(chǔ)上根據(jù)現(xiàn)有技術(shù)的發(fā)展水平提出和規(guī)定了不同安全保護(hù)等級的手機(jī)銀行系統(tǒng)保

,,

護(hù)要求包括安全技術(shù)要求和安全管理要求本標(biāo)準(zhǔn)適用于指導(dǎo)不同安全保護(hù)等級的銀行業(yè)金融機(jī)構(gòu)手

,,

機(jī)銀行系統(tǒng)中密碼技術(shù)的安全建設(shè)安全使用與監(jiān)督管理

、。

銀行業(yè)金融機(jī)構(gòu)應(yīng)依據(jù)信息安全等級保護(hù)有關(guān)技術(shù)標(biāo)準(zhǔn)與國家行業(yè)主管部門要求對手機(jī)銀行系

、,

統(tǒng)開展包括系統(tǒng)定級在內(nèi)的信息安全等級保護(hù)工作目前手機(jī)銀行系統(tǒng)安全級別為二級三級暫不存

。、,

在安全級別為一級四級和五級的系統(tǒng)故本標(biāo)準(zhǔn)暫不對一級信息系統(tǒng)四級信息系統(tǒng)和五級信息系統(tǒng)

、,、

提出具體的密碼技術(shù)要求

。

手機(jī)銀行信息系統(tǒng)應(yīng)依據(jù)信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)定級指

GB/T22240—2008《

南以及國家主管部門有關(guān)要求進(jìn)行定級等級確定后依據(jù)本標(biāo)準(zhǔn)選擇相應(yīng)級別的密碼技術(shù)保護(hù)

》,,。,

措施

。

在本標(biāo)準(zhǔn)文本的各類安全要求中可表示可以允許宜表示推薦建議應(yīng)表示應(yīng)該

,“”、;“”、;“”。

Ⅳ

GM/T0073—2019

手機(jī)銀行信息系統(tǒng)密碼應(yīng)用技術(shù)要求

1范圍

本標(biāo)準(zhǔn)在等標(biāo)準(zhǔn)基礎(chǔ)上結(jié)合手機(jī)銀行信息系統(tǒng)的特點及該

GM/T0054—2018、JR/T007—2012,

類信息系統(tǒng)等級保護(hù)安全建設(shè)工作中密碼技術(shù)的應(yīng)用需要從密碼安全技術(shù)要求密鑰安全與管理要

,、

求安全管理要求等三方面對不同安全保護(hù)等級的手機(jī)銀行信息系統(tǒng)中密碼應(yīng)用提出具體的要求

、,。

本標(biāo)準(zhǔn)適用于指導(dǎo)規(guī)范和評估手機(jī)銀行信息系統(tǒng)中的商用密碼應(yīng)用

、。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

銀行業(yè)務(wù)安全加密設(shè)備零售第部分金融交易中設(shè)備安全符合性

GB/T20547.2—2006()2:

檢測清單

個人識別碼的管理與安全第部分和系統(tǒng)中聯(lián)機(jī)處理

GB/T21078.1—