银联卡账户信息与交易数据安全管理规则

附件：银联卡账户信息与交易数据安全管理规则（经中国银联第一届风险管理委员会第二次会议审议通过）二○○四年十一月第一章总则1.1目的为加强银联卡账户信息与交易数据安全管理，保障成员机构及持卡人利益，防止账户信息与交易数据的丢失和泄漏，避免由此带来的欺诈风险，特制定本规则。

1.2 基本原则银联卡账户信息与交易数据的管理应遵循从严管理、权责明确、过失赔偿的原则，确保账户信息与交易数据在银联卡业务处理各环节中的安全性、完整性和可用性，防止数据遭到篡改、泄漏和破坏。

1.3 适用范围本办法适用于中国银联、中国银联所有成员机构、所有参与银联卡业务的第三方服务机构以及所有银联卡收单特约商户。

其中第三方服务机构既包括从事商户管理、设备维护、信用分析、交易清算、银行卡市场推广等的金融专业化服务机构，也包括参与银行卡产业相关的硬件、软件等产品开发及服务的机构。

1.4 定义1.4.1账户信息账户信息是指银联卡（包括银联标识卡和银联标准卡）上记录的所有账户信息以及与银联卡交易相关的用户身份验证信息。

记录在银联卡上的信息包括：卡号、卡片有效期、磁条信息、卡片验证码。

与银联卡交易相关的用户身份验证信息包括：网上业务、电话银行、手机银行等业务中的用户注册名、密码、真实姓名、证件号码、联系方式等。

1.4.2 交易数据交易数据是指银联卡在各类业务中的交易处理数据，数据内容视业务不同而有所不同。

基本内容包括：卡号、密码、磁条信息、有效期、卡片验证码。

第二章权利与义务2. 1 权利各机构有权监督与本机构账户信息和交易数据安全相关的其他机构的信息管理状况，一旦发现问题，可向中国银联风险管理委员会报告。

各机构一旦发现其他机构因泄漏本机构持卡人账户信息及交易数据、并给本机构造成损失的，可通过中国银联风险管理委员会向该机构申请损失赔偿。

2.2义务各机构应定期就账户信息及交易数据安全状况按照《中国银联账户信息与交易数据安全管理自查问卷》进行自查，并向中国银联提供自查结果等书面报告，证明本机构已按照规定的程序实施了自查。

中国银联将牵头组织成立由各成员机构组成的调查评估小组，对各机构账户信息与交易数据安全管理进行调查, 各机构应积极配合调查工作。

第三章人员及组织管理3.1基本要求建立完善的信息安全管理体制，并制订账户信息与交易数据安全相关的制度及检查程序，明确各数据安全相关岗位的责任与权限。

3.2人员管理应与所有接触账户信息及交易数据的员工签署保密协议，在协议中明确员工需要承担的保密责任以及员工离职时的脱密期。

第四章访问控制4.1基本要求根据“业务需要”的原则，严格控制访问和使用账户信息和交易数据，防止未经授权擅自对数据进行查看、篡改和破坏。

业务需要是指“有业务上需要者才能访问相关数据，并且只能访问需要使用的数据”。

4.2 身份验证使用身份验证机制来授权和确认访问账户信息和交易数据的人员身份，包括进入存储或处理数据物理场所的身份鉴别机制，以及逻辑访问数据的身份鉴别机制。

4.3 权限管理限制数据访问权限，任何人都只能访问其开展业务所必需的数据。

严格控制员工对账户信息及交易数据的访问权限，访问权限的分配应遵循双人控制的原则，避免单个员工对账户信息及交易数据的完全控制。

在员工调离相关岗位时，应立即通知系统管理人员删除该员工注册的用户名及权限。

4.4 设备访问为了防止非法访问或者使用通讯设备擅自更改、破坏或泄露数据，应对访问通讯设备的特定程序和访问数据的时间和日期进行严格的控制和记录。

只有被授权人员才能按照事先制定的维护程序来更改设备的设置。

在设备维护前后都应对设备的访问授权控制进行测试。

4．5 密码管理为不同的用户设置不同的初始密码，然后由用户自行设定密码。

要求用户定期更改密码。

第五章数据的保护、使用与销毁5.1 数据的保护5.1.1基本要求严格保护以任何形式出现的账户信息及交易数据，具体包括：存储于各类计算机系统中的、存储在POS、ATM及其他终端设备中的、通过网络传送的、显示在电脑屏幕上的、通过POS或ATM等设备打印出来的各类信息。

指定专人保管保存在磁带、光盘等备份介质中的账户信息及交易数据，应将数据存放在装有门禁系统的机房或保险柜中。

5.1.2卡号屏蔽在ATM交易凭条、账单、网页、移动通讯设备或电子邮件中显示卡号信息时，必须采用卡号屏蔽的方式保护卡号安全。

5.1.3账户密码交易数据中的个人密码除了可以在硬件加密设备上以及在打印密码信封时可以以明文出现，其他情况下都不得以明文出现。

5.1.4数据传输与存放账户信息与交易数据在互联网中传输时必须进行加密。

对无法以电子方式传输的文件，应以发送方和接收方约定的安全方式传送。

必须对存储在能够通过外网访问的数据库中的数据进行加密。

不得将写有（存有）账户数据与交易信息的文件、软盘、光盘及电脑放置在没有安全保护的地方；同时只能由专人处理这些账户与交易数据。

5.2 数据的使用5.2.1基本要求未经发卡机构的书面许可，其他机构均不得将该发卡机构真实的账户信息及交易数据提供给第三方。

不得将真实的账户信息及交易数据用于软件开发及模拟测试。

有特殊情况需要使用真实的账户信息及交易数据进行开发及测试的，必须获得发卡机构的书面许可并签署保密协议。

使用时须指定专人保管，并在开发及测试结束后立即销毁。

5.2.2日志记录建立账户信息及交易数据访问与使用的日志记录机制与审核机制。

日志记录的内容包括：用户身份、使用类型、日期和时间、访问成功标记、访问的数据或系统设备名称等等。

风险主管人员应定期审核日志内容。

5.3 数据的销毁5.3.1基本要求各机构可根据本机构的实际情况确定账户信息及交易数据的保存期限，通常不少于两年。

对于超出保存期限的账户信息及交易数据，必须及时销毁，以免造成信息的泄漏。

5.3.2销毁方式以粉碎或焚毁的方式销毁所有无用或过期的账户信息与交易数据；通过消磁、删除、破坏等方式对报废设备或介质中的账户信息与交易数据进行处理。

第六章系统管理6.1 基本要求账户信息及交易数据必须在具有安全保护措施的系统中存储、传输，系统的安全保护措施包括确保网络安全，安装、更新防火墙、防病毒软件等。

6.2 管理措施当内部网络与外部网络相连接时，必须对网络进行监控，以及时发现对内部网络的攻击。

当用户通过公共网络访问账户与交易信息时，必须提醒用户“在公共网站填报、访问账户信息可能泄漏交易数据”。

对软件的版权、来源、版本等作详细审核和登记；及时更新操作系统软件，并及时安装软件的安全补丁。

应定期对系统安全性能进行测试，测试的内容包括：系统漏洞，防病毒、防火墙性能等。

从内到外以及从外到内的数据都必须通过防火墙，防火墙必须隐藏它所保护的网络的结构，并在侦测到异常现象时发出警报。

不得将设备或系统供应商提供的默认值作为与系统安全有关的控制参数，如设备或系统访问密码。

第七章事故处理7.1 基本要求专门制订针对账户信息及交易数据安全事故处理的应急处理方案，确保及时有效地处理各种意外情况。

一旦出现账户信息与交易数据遭到篡改、泄漏和破坏的安全事故，必须立即对事故进行调查处理，并直接或通过中国银联通报相关机构采取措施，避免造成进一步的损失。

7.2 事故报告成员机构可通过银行卡风险报告系统报告与账户信息与交易数据相关的安全事故；商户及第三方服务机构可通过相关成员机构提交有关报告或直接向中国银联及其分支机构提交有关报告。

第八章特别要求8.1 对成员机构的特别要求8.1.1 第三方服务机构及商户管理成员机构应每年定期或不定期地监督、检查其第三方服务机构及特约商户，确保其认真执行本办法中对第三方服务机构及特约商户的要求。

对于不符合本办法中安全规定的第三方服务机构及特约商户，必须采取控制措施直至其符合规定为止。

成员机构必须对其签约的第三方服务机构或商户的账户信息和交易数据安全负全部责任。

8.1.2 与第三方服务机构或商户签订协议的要求协议中应当明确第三方机构及商户在账户信息和交易数据安全方面承担的责任，对于所有与自身存在合作关系并能够访问账户信息和交易数据的机构（包括第三方服务机构与商户），必须在与其签订的协议、合同或相关附件中包括以下内容：严格遵守《银联卡账户信息和交易数据安全管理规则》未经特别许可，不得将账户信息及交易数据提供给第三方。

承担因本机构账户信息与交易数据管理不善，导致账户信息与交易数据因篡改、泄漏和破坏而造成的全部损失。

如果未能满足中国银联银联卡账户信息与交易数据管理办法的各项要求，成员机构有权解除或终止协议。

无条件配合成员机构或中国银联对其进行的有关账户信息与交易数据安全的检查。

8.2 对商户和第三方服务机构的特别要求禁止将账户信息和交易数据提供给除收单机构或收单机构指定的代理机构以外的第三方。

除了专门从事发卡系统外包服务的第三方机构外，其他机构只能存储用于交易清分所必需的最基本的账户信息和交易数据，不得存储磁条信息、卡片验证码及个人密码。

账户信息和交易数据只用于辅助完成银联卡交易，不得将账户信息和交易数据用于除此之外的任何其他用途，也不能将上述数据提供给任何未被授权的个人或机构。

未经收单机构或中国银联授权，不得擅自对包含账户信息或交易数据的设备进行更改和维护。

第九章赔偿及处罚中国银联风险管理委员会是银行卡账户信息与交易风险事件赔偿、处罚的调解、界定及仲裁机构。

赔偿及处罚视情节严重程度而定，措施包括赔偿、罚款、限期整改或中止协议等。

第十章附则10. 1 修订中国银联将在广泛征集成员机构合理建议的基础上，对本规则的相关规定进行修订。

10. 2发布与实施本规则经中国银联风险管理委员会审定，由中国银联发布并组织实施。

各成员机构、专业化服务机构及特约商户可依据本规则，制定内部实施细则。

附件：银联卡账户信息与交易数据安全管理实践指南附录：术语表访问权限控制（Access Control）：是指通过授权接触信息的人来限制接触信息和信息处理资源的功能。

物理访问控制（Physical Access Control）：是指在未授权人员和被保护的信息来源之间设置物理保护的控制。

逻辑访问控制（Logical Access Control）：指利用其他方法控制访问。

账户和交易信息(Account and Transaction Information)见1.1节中定义。

账号(Account Number)主卡持卡人的账号是指凸印或平印在银联规则卡上的号码。

身份鉴别(Authentication)用来验证身份或证实信息完整性的过程。

分级(Classification)将信息分成许多类别，以便对不同类别施行适当控制的方法。

可以基于信息的类别、重要程度、潜在的欺诈危险性或敏感度进行分类。

信息(Information) 是指一个机构用作转移资金、设定等级、发放贷款、处理交易等所用的任何数据。