2.G1

运维管理人员

内网/VPN

系统上线

2.G2

开发测试人员

内网/VPN

修数、测试

2.G3

后管系统

内网/VPN

2.G4

管理员角色

内网/VPN

2.G5

审计角色

内网/VPN

2.G6

用户（对客）

互联网

3.C3.1

C3

银行卡磁道数据（或芯片等效信息）、卡片验证码（CVN 和 CVN2）、卡片有效期、银行卡密码、网络支付交易密码； 

3.C3.2

账户（包括但不限于支付账号、证券账户、保险账户）登录密码、交易密码、查询密码； 

3.C3.3

用于用户鉴别的个人生物识别信息。 

需求编号

C2 类别信息主要为可识别特定个人金融信息主体身份与金融状况的个人金融信息，以及用于金融产品与服务的关键信息。该类信息一旦遭到未经授权的查看或未经授权的变更，会对个人金融信息主体的信息安全与财产安全造成一定危害， 包括但不限于： 

3.C2.1

C2

支付账号及其等效信息，如支付账号、证件类识别标识与证件信息（身份证、护照等）、手机号码。 

3.C2.2

账户（包括但不限于支付账号、证券账户、保险账户）登录的用户名。 

3.C2.3

用户鉴别辅助信息，如动态口令、短信验证码、密码提示问题答案、动态声纹密码；若用户鉴别辅助信息与账号结合使用可直接完成用户鉴别，则属于C3类别信息。 

3.C2.4

直接反映个人金融信息主体金融状况的信息，如个人财产信息（包括网络支付账号余额）、借贷信息。 

3.C2.5

用于金融产品与服务的关键信息，如交易信息（如交易指令、交易流水、证券委托、保险理赔）等。 

3.C2.6

用于履行了解你的客户（KYC）要求，以及按行业主管部门存证、保全等需要，在提供产品和服务过程中收集的个人金融信息主体照片、 音视频等影像信息。 

3.C2.7

其他能够识别出特定主体的信息， 如家庭地址等。 

需求编号

C1 类别信息主要为机构内部的信息资产，主要指供金融业机构内部使用的个人金融信息。该类信息一旦遭到未经授权的查看或未经授权的变更，可能会对个人金融信息主体的信息安全与财产安全造成一定影响，包括但不限于： 

3.C1.1

C1

账户开立时间、 开户机构； 

3.C1.2

基于账户信息产生的支付标记信息； 

3.C1.3

C2 和 C3 类别信息中未包含的其他个人金融信息。 

4.1.R1

身份认证

用户身份鉴别

在系统的整个访问过程中均需求进行用户身份鉴别。

4.1.R2

唯一标识

用户身份信息与主体进行绑定。

4.1.R3

多重鉴别

系统使用多因素进行身份鉴别。

4.1.R4

鉴别失败处理

鉴别失败给出的提示信息应当避免导致攻击者进行猜测攻击。

4.1.R5

二次鉴别

对于合法用户登陆系统后，进行敏感操作时进行二次用户身份鉴别。

4.2.R1

帐户管理

注册

应当确保身份标识惟一，账户信息不能包含特殊数字。

4.2.R2

帐户锁定

对鉴别尝试的频繁进行限制，连续多次登陆失败强制锁定账户，但不能过于频繁锁定引起拒绝服务攻击。

4.2.R3

修改密码

账户具有默认密码时，强制要求进行密码修改；

密码修改需要进行二次认证，避免CSRF漏洞。

4.2.R4

验证码管理

验证码应当随机产生，验证码需要即时销毁。

4.3.R1

口令管理

口令复杂度

登录过程中，确保口令不可见；

使用强口令，口令要满足《XXX公司密码管理细则》。

4.3.R2

口令超期管理

口令设置过期时间，强制用户进行修改，在过期前进行提示。

4.3.R3

初始口令

对于默认的初始口令，强制用户初次登录时更改默认口令。

4.3.R4

口令存放

禁止明文存储口令；

使用不可逆的加密算法或单向HASH算法对口令进行加密存储；

在HASH散列过程中加入变量，确保HASH值难以猜测或者还原；

将加密后的口令存储在配置文件中、数据库或者其他外部数据源中；

禁止在源代码中写入口令。

4.3.R5

口令传输

禁止传递明文口令，通过加密算法将口令加密后传递；

使用https加密传输。

4.3.R6

用户信息改变时使用单独的信道通知

允许用户改变其口令，当用户改变其账号信息时（例如重置口令）需要发送确认信息，并使用单独的通道发送确认信息；
可要求用户通过邮件等方式来确认信息的变更，但禁止在确认邮件中包含身份鉴别信息；
当用户改变其联系信息时，发送两次变更通知：分别包含旧的和新的信息。

4.4.R1

会话管理

会话时间

用户会话应当设置超时时间，禁止长时间会话空闲连接。

4.4.R2

会话销毁

会话销毁后，凭据及时刷新。

4.4.R3

数据重放检测

关键操作引入重放检测。

4.4.R4

CSRF漏洞防范

防范CSRF攻击。

4.4.R5

敏感操作频率检测

敏感操作统计功能，便于发现异常操作。

4.4.R1

权限管理

横向权限

同级别不同用户权限严格限制授权。

4.4.R2

纵向权限

不同级别账户权限严格授权。

4.4.R3

权限细粒度

为不同的账户授予不同的权限，且权限授予可以自主调整。

4.5.R1

数据管理

数据输入采集

数据采集授权及隐私政策明示

数据输入验证（类型、长度、边界等）

4.5.R2

数据传输

数据进行加密后传输，如AES加密。

4.5.R3

数据采用传输协议加密，如https加密。

4.5.R4

数据采用隧道加密技术传输，如vpn。

4.5.R5

数据在接入侧进行完整性校验，防止数据被破坏，如HASH值、MAC校验等。

4.5.R6

数据存储

数据采用加密存储。

4.5.R7

数据脱敏展示

展示信息经过脱敏遮盖后进行展示。

4.5.R8

数据查询

不应具备开放式查询能力，应严格限制批量查询，查询的时间段应当进行严格的限制。

4.5.R9

应当设置查询频率限制。

4.5.R10

对查询到的信息中的敏感信息进行脱敏处理。

4.5.R11

数据导出

对个人电子信息的导出操作进行细粒度的访问控制与全过程审计，应采取两种或两种以上鉴别技术对导出信息操作人员进行身份鉴别。

4.5.R12

数据可用性

数据备份，多数据库等。

4.6.R1

安全审计

审计数据保护

审计数据不能被篡改。

4.6.R2

用户登陆日志审计

记录用户登陆的日志信息。

4.6.R3

用户访问日志审计

记录用户访问页面的日志信息。

4.6.R4

用户操作日志审计

记录用户敏感操作的日志信息。

4.6.R1

加密解密

算法选择

算法应当选择符合国家标准的商用密码算法。

4.6.R2

密钥管理

禁止密钥明文存储；

禁止将密钥写入到代码中。

4.6.R1

日志调试信息管理

禁止出现敏感信息

在日志等调试信息中禁止出现客户敏感信息。

4.6.R1

个人信息更新

根据时间触发更新

建立客户重要信息的管理和更新机制，采取有效的管理和技术措施，不断提升和保障客户信息的准确性、完整性；

按照一定规则，如半年或者一年等，定期给客户发送提示短信，请及时更新个人信息，确保信息的准确有效。

4.6.R2

用户登陆提示

如果客户超过一定时期后登陆，如间隔半年后登陆，通过明确的提示弹框，提示用户更新其个人信息。

4.7.R1

文件操作

文件上传

验证文件的安全性。

4.7.R2

文件读取下载

避免目录遍历；

防止任意文件下载；

4.8.R1

API接口安全

接口身份认证

App_ID、 App_Secret。

4.8.R2

App_ID、数字证书。

4.8.R3

App_ID、公私钥对。

4.8.R4

Token授权

Token随机，惟一标识一个用户。

4.8.R5

Token超时机制。

4.8.R6

白名单

IP白名单。

4.8.R7

调试信息

向应用方提供的异常与调试信息，不应泄漏服务器、中间件、数据库等软硬件信息或内部网络信息。

4.8.R8

SDK

SDK 应当具备静态逆向分析防护能力、动态调试防护能力。

4.8.R9

日志

日志应至少包括交易流水号、应用唯一标识、接口唯一标识、调用耗时、时间戳、返回结果（成功或失败）等。

4.8.R10

Timestamp时间戳

客户端调用接口时对应的当前时间戳，用于防止DoS攻击。每次调用接口时接口都会判断服务器当前系统时间和接口中传的的timestamp的差值，如果这个差值超过某个设置的时间，那么这个请求将被拦截掉。

4.8.R11

API签名机制

签名机制保证了数据不会被篡改。

4.8.R12

其他

未详述部分遵循上述其他通用选项。