支付业务设施技术安全认证实施规则-中金国盛(共22页).doc
《支付业务设施技术安全认证实施规则-中金国盛(共22页).doc》由会员分享,可在线阅读,更多相关《支付业务设施技术安全认证实施规则-中金国盛(共22页).doc(22页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、精选优质文档-倾情为你奉上CFNR-IR-02-04移动金融技术服务认证实施规则安全芯片V2.02016-12-15发布 2016-12-15实施北京中金国盛认证有限公司 发布专心-专注-专业目 录1 适用范围本规则所指的安全芯片是指用于金融行业安全载体的具有中央处理器的集成电路芯片,能够有效地保护芯片中的用户敏感信息,抵御对芯片的非法访问和外部攻击,满足对支付安全的迫切需求。典型安全芯片包括处理器单元、安全算法模块、I/O接口、易失性和非易失性存储器等。2 认证依据JR/T0098.2-2012 中国金融移动支付 检测规范 第2部分:安全芯片3 认证模式检测+文件审查+现场检查+获证后监督4
2、 认证的基本环节认证基本环节包括:(1)认证申请及受理(2)检测(3)文件审查(4)现场检查(5)认证决定 (6)获证后监督5 认证实施5.1 认证程序申请方向指定的认证机构申请认证,认证机构对申请材料进行初审,确认合格后向检测机构(由申请方自主从指定检测机构名单中选取)安排检测任务。检测机构应依据相关标准和技术规范进行检测,完成后向认证机构提交检测报告。随后,认证机构针对检测报告及其他技术材料进行文件审查,审查后组织进行现场检查。认证机构对检测、文件审查、现场检查的结果进行综合评价,向评价合格方颁发认证证书。认证机构组织对获证后的产品进行定期的监督。5.2 认证申请及受理5.2.1 认证的单
3、元划分原则上按芯片型号/硬件版本/固件版本申请认证。以多于一个型号/硬件版本/固件版本为同一认证单元申请认证时,申请方应提交同一认证单元中型号/硬件版本/固件版本间的差异说明。5.2.2 申请资料要求认证申请方向认证机构申请认证,应提交的申请材料包括但不限于:(1)申请基本信息(纸质和电子各1份,须加盖公章)l 认证申请书;l 工商营业执照复印件、组织机构代码证复印件;l 质量体系相关文件;l 申请方关于生产产品与被认证产品的一致性声明;l 被认证产品符合认证依据的适用性声明。(2)样品及其说明文档;(3)技术文档(电子1份)l 芯片数据手册;l 芯片硬件设计及实现;l 芯片安全防护策略及实现
4、;l 芯片版图设计说明;l 芯片硬件平台使用及安全指南;l CPU及指令集设计说明;l 第三方IP设计说明书;l 测试开发套件说明文档;l 安全相关固件说明文档(供芯片使用方进行COS开发);l 启动流程及其源代码说明;l 源代码;l 辅助工具;l 其他第三方测试报告:如CC 证书/报告、EMVCo证书/报告;l 厂商自测报告。(4)外包管理材料(适用于将产品开发、生产和安全管理等外包给第三方机构的申请方,提交纸质或电子版1份),至少包括以下材料:l 外包合同;l 外包安全保密协议;其中,申请基本信息材料及外包管理材料需在受理前提交,技术文档以及其他检测过程中涉及的技术材料,提交给检测机构同时
5、需提交认证机构,检测过程中更新的技术文档的最终版、样品及其说明文档,需在检测完成后提交给认证机构。5.2.3 受理认证机构在接收到认证申请方的申请基本信息相关材料后确定是否受理。5.3 检测委托及实施认证机构应选择具有本项认证相关检测能力的检测机构,与检测机构签署移动金融技术服务认证检测合作协议书,并将检测机构名单进行公布。认证申请方在获得受理通知书后从认证机构发布的授权检测机构列表中选择检测机构。检测机构与认证申请方签订检测合同,依据移动金融相关标准规范(详见本文第2部分:认证依据),对认证申请方样品的标准符合性进行检测。5.3.1 检测实施检测机构应在不迟于检测实施之前2个工作日,向认证机
6、构提交移动金融技术服务认证检测项目实施计划安排告知单。 检测机构依据移动金融相关标准规范(详见本文第2部分:认证依据,下同),对申请方样品的标准符合性进行检测。检测机构应在出具检测报告或合同异常终止后,将检测项目合同履行情况填写统一的登记簿,并于当月25日前批量向认证中心备案。5.3.2 检测报告的提交检测机构应于检测完成后10个工作日向认证机构、认证申请方提交检测报告(电子、纸质各一份)。其他相关资料由申请方和检测机构妥善处置。5.4 文件审查认证机构在收到检测机构出具的检测报告及相关材料后,安排审查员进行文件审查。文件审查的范围包括所有申请材料及检测报告。文件审查依据移动金融相关标准规范,
7、对认证申请范围内的安全芯片的标准符合性进行审查,获取认证申请方所提供的被认证对象是否符合认证规范的证据。如有与申请认证业务范围相关的投诉记录,应分析对认证要求符合性的影响。文件审查一般为8至10个人日(补充材料的时间不计算在内)。5.5 现场检查5.5.1 检查内容及场所范围现场检查的内容为安全保证能力、质量保证能力、产品一致性检查和文件审查问题的核查。现场检查的场所范围原则上应覆盖产品的设计研发环境和生产加工环境(即集成电路加工场所)。5.5.2 安全保证能力检查认证机构组织审查员对申请方按照移动金融相关标准规范进行检查。5.5.3 质量保证能力检查认证机构组织审查员对申请方按照质量保证能力
8、基本要求(详见本文第10部分:附件)进行检查。5.5.4 产品一致性检查现场检查时,应对被认证对象进行一致性检查。重点核实以下内容:(1)芯片型号/硬件版本/固件版本与检测报告上所标明的内容是否一致;(2)认证证书与认证标志的使用是否符合要求;(3)见证现场服务。5.5.5 文件审查问题的核查现场检查时,应在生产现场对检测报告遗留问题和文件审查发现问题进行核查。5.5.6 现场检查时间现场检查原则上应在检测完成后进行。现场检查时间、工作量根据被认证对象的单元数量确定,并适当考虑申请方的规模。现场检查通常为4至8个人日。5.6 审查结论判定审查结论分为推荐通过和推荐不通过两种。(1)推荐不通过若
9、审查过程中发现材料不足,或提供的材料不能充分证明其符合性,则认证机构要求检测机构或申请方在一定期限内(通常情况下不超过3个月)提供补充材料,如不能提供补充材料或材料不充分,则审查报告审查结论可判定为“推荐不通过”。若文件审查或现场检查结果证明申请方提供的材料与实际情况不一致,则审查结论可判定为“推荐不通过”。(2)推荐通过若审查结果证明申请方提供的证据符合移动金融相关标准的要求,则审查结论判定为“推荐通过”。5.7 认证决定认证机构对文件审查、检测、现场检查的结果进行综合评价,向评价合格方颁发认证证书,并在认证机构网站上予以公告。如认证决定过程中发现不符合认证要求项,允许限期(通常情况下不超过
10、3个月)整改,如期完成整改后,认证机构采取适当方式对整改结果进行确认,重新执行认证决定过程。对于不授予认证证书的申请方,认证机构应向其以书面形式明示不能获得认证证书的原因。5.8 认证时限认证时限是指自申请被正式受理之日起至颁发认证证书时止所实际发生的工作日,一般在90个工作日内,最长不超过150个工作日。各认证环节整改时间及补充材料时间不计算在内。5.9 证后监督5.9.1 证后监督频次和方式从获证之日起至证书有效期止,每12 个月为一个监督审查期,进行一次证后监督。每次证后监督由认证机构提前1个月通知获证机构(必要情况下,认证机构可采取事先不通知的方式对获证机构实施监督)。获证机构如出现以
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 支付 业务 设施 技术 安全 认证 实施 规则 中金国盛 22
限制150内