支付业务设施技术安全认证实施规则-中金国盛(共22页).doc

《支付业务设施技术安全认证实施规则-中金国盛(共22页).doc》由会员分享，可在线阅读，更多相关《支付业务设施技术安全认证实施规则-中金国盛(共22页).doc（22页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、精选优质文档-倾情为你奉上CFNR-IR-02-04移动金融技术服务认证实施规则安全芯片V2.02016-12-15发布 2016-12-15实施北京中金国盛认证有限公司 发布专心-专注-专业目 录1 适用范围本规则所指的安全芯片是指用于金融行业安全载体的具有中央处理器的集成电路芯片，能够有效地保护芯片中的用户敏感信息，抵御对芯片的非法访问和外部攻击，满足对支付安全的迫切需求。典型安全芯片包括处理器单元、安全算法模块、I/O接口、易失性和非易失性存储器等。2 认证依据JR/T0098.2-2012 中国金融移动支付 检测规范 第2部分：安全芯片3 认证模式检测+文件审查+现场检查+获证后监督4

2、 认证的基本环节认证基本环节包括：（1）认证申请及受理（2）检测（3）文件审查（4）现场检查（5）认证决定 （6）获证后监督5 认证实施5.1 认证程序申请方向指定的认证机构申请认证，认证机构对申请材料进行初审，确认合格后向检测机构（由申请方自主从指定检测机构名单中选取）安排检测任务。检测机构应依据相关标准和技术规范进行检测，完成后向认证机构提交检测报告。随后，认证机构针对检测报告及其他技术材料进行文件审查，审查后组织进行现场检查。认证机构对检测、文件审查、现场检查的结果进行综合评价，向评价合格方颁发认证证书。认证机构组织对获证后的产品进行定期的监督。5.2 认证申请及受理5.2.1 认证的单

3、元划分原则上按芯片型号/硬件版本/固件版本申请认证。以多于一个型号/硬件版本/固件版本为同一认证单元申请认证时，申请方应提交同一认证单元中型号/硬件版本/固件版本间的差异说明。5.2.2 申请资料要求认证申请方向认证机构申请认证，应提交的申请材料包括但不限于：（1）申请基本信息（纸质和电子各1份，须加盖公章）l 认证申请书；l 工商营业执照复印件、组织机构代码证复印件；l 质量体系相关文件；l 申请方关于生产产品与被认证产品的一致性声明；l 被认证产品符合认证依据的适用性声明。（2）样品及其说明文档；（3）技术文档（电子1份）l 芯片数据手册；l 芯片硬件设计及实现；l 芯片安全防护策略及实现

4、；l 芯片版图设计说明；l 芯片硬件平台使用及安全指南；l CPU及指令集设计说明；l 第三方IP设计说明书；l 测试开发套件说明文档；l 安全相关固件说明文档（供芯片使用方进行COS开发）；l 启动流程及其源代码说明；l 源代码；l 辅助工具；l 其他第三方测试报告：如CC 证书/报告、EMVCo证书/报告；l 厂商自测报告。（4）外包管理材料（适用于将产品开发、生产和安全管理等外包给第三方机构的申请方，提交纸质或电子版1份），至少包括以下材料：l 外包合同；l 外包安全保密协议；其中，申请基本信息材料及外包管理材料需在受理前提交，技术文档以及其他检测过程中涉及的技术材料，提交给检测机构同时

5、需提交认证机构，检测过程中更新的技术文档的最终版、样品及其说明文档，需在检测完成后提交给认证机构。5.2.3 受理认证机构在接收到认证申请方的申请基本信息相关材料后确定是否受理。5.3 检测委托及实施认证机构应选择具有本项认证相关检测能力的检测机构，与检测机构签署移动金融技术服务认证检测合作协议书，并将检测机构名单进行公布。认证申请方在获得受理通知书后从认证机构发布的授权检测机构列表中选择检测机构。检测机构与认证申请方签订检测合同，依据移动金融相关标准规范（详见本文第2部分：认证依据），对认证申请方样品的标准符合性进行检测。5.3.1 检测实施检测机构应在不迟于检测实施之前2个工作日，向认证机

6、构提交移动金融技术服务认证检测项目实施计划安排告知单。 检测机构依据移动金融相关标准规范（详见本文第2部分：认证依据，下同），对申请方样品的标准符合性进行检测。检测机构应在出具检测报告或合同异常终止后，将检测项目合同履行情况填写统一的登记簿，并于当月25日前批量向认证中心备案。5.3.2 检测报告的提交检测机构应于检测完成后10个工作日向认证机构、认证申请方提交检测报告（电子、纸质各一份）。其他相关资料由申请方和检测机构妥善处置。5.4 文件审查认证机构在收到检测机构出具的检测报告及相关材料后，安排审查员进行文件审查。文件审查的范围包括所有申请材料及检测报告。文件审查依据移动金融相关标准规范，

7、对认证申请范围内的安全芯片的标准符合性进行审查，获取认证申请方所提供的被认证对象是否符合认证规范的证据。如有与申请认证业务范围相关的投诉记录，应分析对认证要求符合性的影响。文件审查一般为8至10个人日（补充材料的时间不计算在内）。5.5 现场检查5.5.1 检查内容及场所范围现场检查的内容为安全保证能力、质量保证能力、产品一致性检查和文件审查问题的核查。现场检查的场所范围原则上应覆盖产品的设计研发环境和生产加工环境（即集成电路加工场所）。5.5.2 安全保证能力检查认证机构组织审查员对申请方按照移动金融相关标准规范进行检查。5.5.3 质量保证能力检查认证机构组织审查员对申请方按照质量保证能力

8、基本要求（详见本文第10部分：附件）进行检查。5.5.4 产品一致性检查现场检查时，应对被认证对象进行一致性检查。重点核实以下内容：（1）芯片型号/硬件版本/固件版本与检测报告上所标明的内容是否一致；（2）认证证书与认证标志的使用是否符合要求；（3）见证现场服务。5.5.5 文件审查问题的核查现场检查时，应在生产现场对检测报告遗留问题和文件审查发现问题进行核查。5.5.6 现场检查时间现场检查原则上应在检测完成后进行。现场检查时间、工作量根据被认证对象的单元数量确定，并适当考虑申请方的规模。现场检查通常为4至8个人日。5.6 审查结论判定审查结论分为推荐通过和推荐不通过两种。（1）推荐不通过若

9、审查过程中发现材料不足，或提供的材料不能充分证明其符合性，则认证机构要求检测机构或申请方在一定期限内（通常情况下不超过3个月）提供补充材料，如不能提供补充材料或材料不充分，则审查报告审查结论可判定为“推荐不通过”。若文件审查或现场检查结果证明申请方提供的材料与实际情况不一致，则审查结论可判定为“推荐不通过”。（2）推荐通过若审查结果证明申请方提供的证据符合移动金融相关标准的要求，则审查结论判定为“推荐通过”。5.7 认证决定认证机构对文件审查、检测、现场检查的结果进行综合评价，向评价合格方颁发认证证书，并在认证机构网站上予以公告。如认证决定过程中发现不符合认证要求项，允许限期（通常情况下不超过

10、3个月）整改，如期完成整改后，认证机构采取适当方式对整改结果进行确认，重新执行认证决定过程。对于不授予认证证书的申请方，认证机构应向其以书面形式明示不能获得认证证书的原因。5.8 认证时限认证时限是指自申请被正式受理之日起至颁发认证证书时止所实际发生的工作日，一般在90个工作日内，最长不超过150个工作日。各认证环节整改时间及补充材料时间不计算在内。5.9 证后监督5.9.1 证后监督频次和方式从获证之日起至证书有效期止，每12 个月为一个监督审查期，进行一次证后监督。每次证后监督由认证机构提前1个月通知获证机构（必要情况下，认证机构可采取事先不通知的方式对获证机构实施监督）。获证机构如出现以

11、下情况之一，认证机构可视情况增加证后监督审查的频次：（1）获证产品出现严重质量或安全问题时,或者用户提出投诉并经查实为证书持有者责任时；（2）认证机构有足够理由对获证产品与本规则中规定的标准要求的符合性提出质疑时；（3）有足够信息表明获证机构因组织机构、生产条件、质量管理体系等发生变更，从而可能影响产品质量时。5.9.2 证后监督审查的内容证后监督可采用文件审查或现场检查的方式，必要时认证机构可委托检测机构对产品进行抽样检测。需要进行抽样检测时，抽样检测的样品应在获证机构生产的产品中（包括生产线、仓库、市场）随机抽取。抽样检测的数量一般与初次申请认证结束时备案样品的数量一致，如需要可以根据实际

12、情况增加抽样的数量。初次认证申请时的检测项均可以作为监督时的检测项，认证机构可根据具体情况进行部分或全部的检测。证后监督检查工作量根据获证产品的单元数量确定，并适当考虑获证机构的生产规模。证后监督工作量通常为2至6个人日。5.9.3 证后监督结果评价对于证后监督审查合格的获证机构，认证机构应做出保持其认证资格的决定；否则，应暂停、撤销其认证资格。5.10 再认证在认证证书有效期满的前3个月内，获证机构可申请再认证。再认证申请及受理程序与初次认证相同。6 认证证书6.1 认证证书有效期认证证书有效期为 3 年。在有效期内，通过每年对获证产品进行监督，确保认证证书的有效性。6.2 认证证书的使用6

13、.2.1 认证证书的使用认证证书可以展示在文件、网站、通过认证的工作场所、销售场所、广告和宣传资料或广告宣传等商业活动中，但不得利用认证证书和相关文字、符号，误导公众认为认证证书覆盖范围外的产品、服务、管理体系获得认证，宣传认证结果时不应损害认证机构的声誉。认证证书不准伪造、涂改、出借、出租、转让、倒卖、部分出示、部分复印。获证机构应妥善保管好证书，以免丢失、损坏。如发生证书丢失、损坏的，获证机构可申请补发。获证机构应建立认证证书、审核报告使用和管理制度，对认证证书的使用情况如实记录存档。6.3 认证证书的管理6.3.1 变更认证证书认证证书有效期内，若发生下列情况之一，获证机构应向认证机构提

14、出变更申请。认证机构策划并实施适宜的审查活动，并按照要求做出认证决定。审查活动可与证后监督或再认证同时进行。（1）芯片型号、硬件版本、固件版本变更；（2）证书持有者变更；（3）扩大或缩小认证范围；（4）获证机构所在地变更；（5）认证所依据标准的改变。如果产品非关键件变化引起型号/版本变化，获证机构应提交变更后产品与已获证产品之间的差异性说明，由认证机构确定是否进行检测和/或现场检查；如果产品关键件（硬件、固件、密码算法库等）变化引起型号/版本变化，获证机构需申请再认证。如果获证机构需要扩大/缩小认证范围时，应向认证机构同时提交扩大/缩小范围的理由、事实的说明，以及扩大的产品与已获证产品之间的差

15、异性说明。认证机构应按照核查扩大/缩小认证范围与原认证范围的一致性和差异，确认原认证结果对扩展产品的有效性，需要时应针对扩大/缩小认证范围和其对原认证范围的影响进行检测和现场审查，并根据获证机构的要求单独颁发认证证书或换发认证证书。如果认证变更只涉及到注册名称、注册地址的变更，获证机构须递交变更申请，经书面审查批准后，认证机构仅对证书更新并收回原证书。认证所依据标准发生变更时，认证机构应通知相关获证机构，并要求其在规定的时间内申请再认证。6.3.2 暂停认证证书获证机构有下列情形之一的，认证机构应当暂停认证证书。（1）未按照规定及时接受证后监督审查；（2）获证机构未按规定使用认证证书和认证标志

16、；（3）监督结果证明获证机构不符合认证要求，但不需要立即撤销认证证书；（4）获证机构未履行与认证机构签署的认证合同中规定的责任和义务，如未按时支付认证费用等；（5）获证机构主动请求暂停；（6）在特定时期国家或行业管理部门有要求予以暂停的。暂停期限一般为3个月。在3个月内，获证机构可提出恢复证书的申请，认证机构经审查、批准后，方可使用该证书。在认证证书暂停期间，获证机构不得继续使用证书。6.3.3 撤销认证证书获证机构有下列情形之一，认证机构应当撤销其认证证书。（1）获证机构出现严重问题，在短期内无法恢复符合性的或获证机构在认证范围内无法满足适用的最新法律法规、认证标准规范的要求，并在短期内无法

17、采取措施或采取措施无效的；（2）获证机构不接受认证机构对其实施的证后监督审查；（3）认证证书暂停使用期间，获证机构未采取有效纠正措施；（4）认证证书暂停使用期满，获证机构未申请恢复证书。认证证书撤销后，认证机构应收回认证证书，并在相关媒体上予以公告。6.3.4 注销认证证书获证机构因为自身原因申请注销认证证书，认证机构应当给予注销。认证证书注销后，认证机构应收回认证证书，并在相关媒体上予以公告。7 认证标志的使用7.1 认证标志的样式7.2 认证标志的使用认证标志只能由获证机构在获准认证范围内使用，不得以任何方式转让、转送、出售、借用、冒用。在使用标志图案时，应根据认证机构提供的图样按比例放大

18、或缩小，但是不允许变形或变色。8 样品管理8.1 送样原则认证单元中只有一个型号/版本的，送该型号/版本的样品。以多于一个型号/版本作为同一认证单元申请认证时，应从中选取典型的型号/版本作为典型样品进行完整检测，其他型号/版本的产品可进行差异化检测。8.2 送样要求检测的样品由申请方负责选送，并对选送样品负责。送样数量应不少于60套。8.3 样品备案认证结束后，申请方应向认证机构备案检测通过产品，每种产品10套。8.4 样品处置检测机构应在认证有效期内保存检测过程中的样品，认证失效后，申请方可向检测机构申请取回样品。9 收费收费由认证机构、检测机构按国家有关规定统一收取。10 附件质量保证能力

19、基本要求为保证批量生产的认证产品与检测样品的一致性，申请方/获证机构应满足本文件规定的质量保证能力基本要求。一、职责和资源（一）职责申请方/获证机构应规定与质量活动有关的各类人员职责及相互关系，且申请方/获证机构应在组织内指定一名质量负责人，无论该成员在其他方面的职责如何，应具有以下方面的职责和权限：1.负责建立满足本文件要求的质量体系，并确保其实施和保持；2.确保认证证书和认证标志的使用符合要求；3.建立文件化的程序，确保对不合格品采取合理的纠正措施；4.获证产品发生变更，经认证机构确认，方可继续使用认证证书或认证标志。质量负责人应具有充分的能力胜任本职工作。（二）资源申请方/获证机构应配备

20、必须的生产设备和检测设备以满足稳定生产符合本规则中规定的标准要求的产品；应配备相应的人力资源，确保从事对产品质量有影响工作的人员具备必要的能力；建立并保持适宜产品生产、试验、储存等必备的环境。二、产品的一致性（一）申请方/获证机构应对现场的产品与检测样品的一致性进行控制，以使认证产品持续符合规定的要求；（二）申请方/获证机构应建立产品变更控制程序，认证产品的变更在实施前应向认证机构申报并获得批准后方可执行。三、产品外购部件或外包软件模块管理（一）外购部件供应商或软件模块的外包商的控制1.申请方/获证机构应制定外购部件供应商或软件模块的外包商的选择、评定和日常管理的程序，以确保供应商提供的部件或软件外包商提供的软件模块满足要求；2.申请方/获证机构应保存对供应商或软件外包商的选择评价和日常管理记录。（二） 外购部件或外包软件模块的验证1.申请方/获证机构应建立并保持对供应商提供的部件或软件外包商提供的软件模块的验证程序及定期确认程序，以确保部件或软件模块满足认证所规定的要求；2.申请方/获证机构应保存部件或外包软件模块，或者它们的验证记录、确认记录及供应商或软件外包商提供的合格证明及有关数据等。