当前位置:首页>>新闻 > 产业 > >第三方认证助力受理终端安全风险防范【中金国盛认证中心副总经理 聂丽琴】

第三方认证助力受理终端安全风险防范【中金国盛认证中心副总经理 聂丽琴】

文 / 中金国盛认证中心副总经理 聂丽琴

 

认证是指由认证机构证明产品、服务、管理体系符合相关技术规范的强制性要求或标准的合格评定活动。它具有推广落实标准、提升标准化水平,引入社会力量、辅助社会监管,为金融服务质量提供“硬约束”、促进金融服务水平提升,保障国家安全和消费者权益、降低金融风险的重要意义。针对当前受理终端风险突出,安全问题频发,能够起到有效地防控作用。

 

 

当前受理终端存在的安全风险

 

伴随着支付产业的蓬勃发展和全面升级,多种新兴支付技术迅速崛起。除传统的POS机、ATM机外,包括条码终端,MST终端,光子支付及生物识别终端,聚合支付智能POS等多种支付技术推动了支付创新发展,提升了支付用户的体验。但新技术使用的管理应同步跟进以避免其带来安全风险。分析受理终端的生命周期,主要存在的安全风险分为以下四类:

 

1.产品研发安全风险

受理终端是金融交易过程的核心设备,直接关系到用户信息安全、资金安全和支付服务市场秩序,因此国家和金融行业主管部门相继出台了《GB/T 18789 信息技术 自动柜员机通用规范》、《JR/T 0120 银行卡受理终端安全规范 》等技术标准,对受理终端的软硬件设计、读卡处理、密码输入和数据的传输及保存、抗破坏能力等进行严格要求。但是,如果受理终端的研发设计流程不规范,使得未达到标准安全性要求的产品进入到市场,就很容易被犯罪份子利用其缺陷实施犯罪,例如监听POS机或ATM机金属密码键盘的声音获取密码、替代或修改POS机或ATM 磁条阅读器的磁头获取银行卡磁条信息、对POS机和ATM机非法加装或改造电路以窃取密码和卡号等信息、利用协议安全漏洞植入病毒木马等。更为严重的是受理终端是批量布放,一旦产品缺陷被利用,可能升级为严重的系统性风险,进而造成巨大的经济损失和恶劣影响。

 

2.产品生产安全与质量管理风险

一些受理终端企业在产品生产安全与质量管理制度落实方面存在一定程度的不足。在对众多安全事件进行统计的结果表明,由于人为因素造成的安全事件占比达到40%以上。不管设计的受理终端安全防护功能多么强大,一旦内部管理出了问题,如终端样品流失、内部设计资料外泄、过检产品和实际流通产品版本管理混乱、企业内部设计人员留存后门等,如果被犯罪分子发现和利用,则产品将无安全性可言了。  

 

3.企业自律缺失风险

规范受理终端市场,企业自律是一个重要方面。虽然目前受理终端需经过相关检测才能连接入网,但部分企业为了经济利益心存侥幸投机取巧,存在未经过检测的非安全受理终端冒充已检测的进行入网应用、或在市面出售检测有效期已过的受理终端、或为节省成本将受理终端内的安全芯片替换为非安全芯片、或为提升支付终端交易性能而关闭安全入侵检测机制等违规行为,这些提高了受理终端被犯罪分子攻破的风险概率,对用户信息和资金安全造成了极大威胁。

 

4.产品运营维护风险

POS机的运营维护管理目前存在较多问题,例如对特约商户资质审核不够严格,使得受理终端申领过程存在漏洞,让犯罪分子有机可乘;未对受理终端安装、调试、激活等过程进行全程深入跟踪,使得被非法改装的终端入网应用;终端使用过程中,对敏感信息管理不严,造成密钥泄露;巡检制度未落实,未能及时发现移机、侧录等违规情况。

 

 

认证手段对受理终端安全风险的防范

 

认证依据标准开展认证活动,是贯彻推广标准或技术法规的有效手段;它由独立第三方的认证机构通过科学规范、客观公证的评价方法对产品、服务、管理体系作出合格评定,颁发认证证书或认证标志对符合标准的产品或企业进行宣传,起到了扶优限劣、增强企业竞争力、引导消费的作用。

 

认证一般包括申请受理、检测、认证检查及获证后监督等环节。企业提交认证申请后,认证机构对企业资质等信息进行审核,无误后确认受理;受理后企业通过送样或认证机构抽样方式提交样品,检测机构依据相关技术标准,借助专业技术和专用设备,按照特定方法检验测试产品的技术指标,出具检测报告;认证机构对企业提供的技术材料、检测机构提供的检测报告进行审查,并赴企业的研发和生产环境检查、评定产品及其组织是否符合相关标准要求,对于通过认证的企业颁发认证证书。在证书有效期内,认证机构通过监督审查确保产品及其组织持续的标准符合性。

 

1.通过技术检测和产品一致性核查保证从检测样品到入市产品的标准符合性

检测机构抽取受理终端样品,依据国家或金融行业技术标准或相关信息安全管理要求,从硬件、软件、电气电磁特性、抗破坏能力、密钥体系及密码加密、敏感信息屏蔽、数据输入和传递安全、防改装等方面开展全方位的技术检测,验证样品的标准符合性。认证机构在现场检查过程中,对产品研发设计的基本文件、研发到生产的交付记录、生产订单及各工序交接单、再到货品出入库过程记录进行审核,并结合一定技术手段获取产品关键信息,深入核实产品一致性,保证被检测样品与在研发及生产场所内乃至入市产品的一致,从而降低了受理终端产品研发设计的安全风险。

 

2.通过安全保障能力和质量管理能力核查降低企业管理风险

认证机构在现场检查过程中,会对企业从研发到生产的安全保障能力进行核查,覆盖了企业对关键代码和文档配置管理与安全管理过程,对物理场所、人员、IT机房及设备的安全访问控制及运营管理过程,以及对产品交付存储管理过程等,同时现场检查还会关注企业的质量管理过程,核实其质量管理体系的建立情况、人员的职责以及培训情况、生产设备及外购部件的管理情况、生产变更管理情况等内容。以此督促企业不断提升其安全管理和质量管理能力,防止企业产品设计信息泄露、版本混乱或人员控制不到位等问题发生。

 

3.运用多种持续性的监督审查手段约束企业自律

认证机构在证书有效期内定期开展监督审查,监督审查形式包括文件审查、现场检查、从市场、生产线或仓库上抽取产品进行检测,一旦发现企业存在违规行为,则对证书进行暂停或撤销,并对外及时发布公告,严格约束企业在市场流通投放的为符合标准要求的产品。同时,认证机构还会积极关注行业动态,与企业建立长效沟通机制,及时获取重大变更或重大事故等信息,视情况开展特殊监督审查,降低由于变更或事故带来的不良影响。

 

4.通过对支付业务技术设施认证,强化对受理终端的管理要求

目前针对开展收单业务的支付机构的技术设施已采用认证手段,并要求其对受理终端的申领、布放安装、使用、维护、销毁等环节具备完善的管理制度。认证过程中无论检测还是认证审查,都会对支付机构的终端管理情况进行抽查核实,确保布放终端的商户的合规性,追踪核实终端的布放地点,抽查巡检记录严控改装终端的使用。未来相关认证措施准备向整个金融行业推广。
 

除此以外,认证更为重要的作用是落实标准化战略,为技术标准的制修订提供实际的技术支撑,提升标准的科学有效性,促进整个行业更加规范健康的发展。

 

当前,行业主管部门强调做好事前、事中、事后全流程监管,而第三方认证流程恰好与监管理念相契合。引入认证制度,助力防范受理终端安全风险,对支付服务市场健康发展、维护移动支付消费者合法权益等方面将起到良好的促进作用。

  分享到:
360网站安全检测平台