中國人民銀行公告〔2011〕第14號

    為做好《非金融機構支付服務管理辦法》（中國人民銀行令〔2010〕第2號發佈）實施工作，保障非金融機構支付服務業務系統檢測認證工作規範有序開展，中國人民銀行制定了《非金融機構支付服務業務系統檢測認證管理規定》，現公佈實施。

                                                      中國人民銀行
                                                  二〇一一年六月十六日

    非金融機構支付服務業務系統檢測認證管理規定

    第一章 總 則

    第一條 為加強非金融機構支付服務業務的信息安全管理與技術風險防範，保證其系統檢測認證的客觀性、及時性、全面性和有效性，依據《非金融機構支付服務管理辦法》（中國人民銀行令〔2010〕第2號發佈）、《非金融機構支付服務管理辦法實施細則》（中國人民銀行公告〔2010〕第17號公佈）制定本規定。

    第二條 非金融機構支付服務業務系統檢測認證，是指對申請《支付業務許可證》的非金融機構（以下統稱非金融機構）或《非金融機構支付服務管理辦法》所指的支付機構（以下統稱支付機構），其支付業務處理系統、網絡通信系統以及容納上述系統的專用機房進行的技術標準符合性和安全性檢測認證工作。

    第三條 非金融機構在申請《支付業務許可證》前6個月內應對其業務系統進行檢測認證；支付機構應根據其支付業務發展和安全管理的要求，至少每3年對其業務系統進行一次全面的檢測認證。

    第四條 本規定所稱的檢測機構應按照國家有關認證認可的規定取得資質認定，通過中國合格評定國家認可中心的認可，並取得中國人民銀行關於非金融機構支付服務業務系統檢測授權資格。

    第五條 本規定所稱的認證機構應經國家認證認可監督管理委員會批准成立，通過中國合格評定國家認可中心的認可，並取得中國人民銀行關於非金融機構支付服務業務系統認證授權資格。

    第六條 中國人民銀行負責檢測、認證資格的認定和管理工作，並定期向社會公佈通過檢測、認證資格認定的機構名單及其業務範圍。

    第七條 非金融機構或支付機構在檢測認證過程中應與檢測機構和認證機構建立信息保密工作機制。

    第八條 支付機構不得連續兩次將業務系統檢測委託給同一家檢測機構。

第二章 檢 測

    第九條 非金融機構或支付機構在實施業務系統檢測前，應作如下準備：

    （一）與檢測機構簽訂書面合同，合同應明確規定保密條款；

    （二）與檢測機構就檢測的範圍、內容、進度等事項進行溝通，制定詳細的檢測計劃，並簽字確認；

    （三）向檢測機構提交所申請檢測認證的業務系統與生産系統的一致性聲明。

    第十條 檢測應嚴格遵守中國人民銀行制定的技術標準和檢測規範，真實反映非金融機構或支付機構業務系統技術標準符合性和安全性狀況，保證非金融機構或支付機構業務系統符合國家信息系統安全等級保護第三級的基本要求。

    第十一條 業務系統檢測應包括但不限于：

    （一）功能測試。

    驗證業務系統的功能是否正確實現，測試其業務處理的準確性。

    （二）風險監控測試。

    評估業務系統的風險監控、預警和管理措施，測試其業務系統異常交易、大額交易、非法卡號交易、密碼錯誤交易等風險的監測和防範能力。

    （三）性能測試。

    驗證業務系統是否滿足業務需求的多用戶併發操作，是否滿足業務性能需求，評估壓力解除後的自恢復能力，測試系統性能極限。

    （四）安全性測試。

    評估業務系統在網絡安全、主機安全、應用安全、數據安全、運行維護安全、電子認證安全、業務連續性等方面的能力及管理措施，評價其業務系統的安全防控和安全管理水平。

    （五）文檔審核。

    驗證業務系統的用戶文檔、開發文檔、管理文檔等是否完整、有效、一致，是否符合相關標準並遵從更新控制和配置管理的要求。

    第十二條 檢測機構應于檢測完成後10個工作日內向非金融機構或支付機構提交正式的檢測報告（一式四份）。

    第十三條 檢測報告應包括以下內容：

    （一）支付服務業務系統名稱、版本；

    （二）檢測的時間、範圍；

    （三）檢測設備、工具及環境説明；

    （四）檢測機構名稱、檢測人員説明；

    （五）檢測內容與檢測具體結果描述；

    （六）檢測過程中發現的問題及整改情況；

    （七）檢測結果及建議；

    （八）申請檢測認證的業務系統與生産系統的一致性聲明；

    （九）其他需要説明的問題。

    第十四條 非金融機構或支付機構在收到檢測機構出具的檢測報告後，應及時將檢測報告及相關材料提交認證機構，並申請認證。

第三章 認 證

    第十五條 非金融機構或支付機構在實施支付服務業務系統認證前，應與認證機構簽訂書面合同，合同應明確規定保密條款。

    第十六條 認證應秉承客觀、公正、科學的原則，按照國家有關認證認可法律法規及中國人民銀行關於非金融機構支付服務業務系統的技術標準和認證要求實施。

    第十七條 認證機構應及時處理認證申請，並在正式受理申請後的20個工作日內向非金融機構或支付機構通告認證結果，對合格機構出具認證證書。

第四章 監督與管理

    第十八條 支付機構正式開辦支付業務後，有下列情況之一的，應及時進行檢測：

    （一）出現重大安全事故；

    （二）業務系統應用架構變更、重要版本變更；

    （三）生産中心機房場地遷移；

    （四）其他中國人民銀行要求的情況。

    第十九條 檢測認證程序、方法不符合國家檢測認證相關規定和中國人民銀行相關要求，或檢測認證結果嚴重失真的，中國人民銀行及其分支機構可以要求重新進行檢測或認證，因此而産生的費用由違反規定的檢測機構、認證機構承擔。

    第二十條 檢測機構或認證機構未按照中國人民銀行制定的檢測認證規範和相關要求進行檢測認證活動，或未嚴格堅持科學、公正的原則進行檢測認證工作並造成不良後果的，中國人民銀行視其情節輕重給予以下處罰：

    （一）通報批評；

    （二）責令限期改正，整改期間暫停相關檢測認證工作；

    （三）整改不力的，取消其從事非金融機構支付服務業務系統檢測或認證資格，並報國家認證認可監督管理部門備案。

第五章 附 則

    第二十一條 本規定由中國人民銀行負責解釋。

    第二十二條 本規定自發佈之日起施行。