SZDBZ204-2016-金融服务移动应用信息安全指南.pdf

《SZDBZ204-2016-金融服务移动应用信息安全指南.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ICS35.240.40A11SZDB/Z深圳市标准化指导性技术文件SZDB/Z204—2016金融服务移动应用信息安全指南InformationSecurityGuideforMobileApplicationofFinancialServices2016-11-04发布2016-12-01实施深圳市市场监督管理局发布SZDB/Z204—2016目次前言............................................................................II1范围....

2、........................................................................12规范性引用文件..................................................................13术语和定义......................................................................14基本原则..................................

3、......................................25安全管理要求....................................................................26业务安全要求....................................................................37客户端安全要求.................................................................

4、.48服务器安全要求..................................................................6附录A客户端安全风险评分.......................................................8参考文献..........................................................................12ISZDB/Z204—2016前言本指南按照GB/T1.1-2009给出的规则

5、起草。本指南适用于金融相关业务组织的金融服务移动应用系统的安全防护，金融服务移动应用系统包括但不限于业务组织内部与外部使用的移动应用系统以及其合作的金融服务接口系统。本指南由金融服务业标准联盟提出并归口。本指南主要起草单位：深圳市金融信息服务协会、中国平安保险（集团）股份有限公司、深圳海云安网络安全技术有限公司等。本指南主要起草人：谢朝海、李绅、韩梅、陈铁勇、熊少军、聂君、熊莹、罗振伟、金文佳、陈镜萍、李杰、殷春富、郑太海、张瑞峰、陈胜芬、占长敬、唐秀江、邓华威、吴国友等。本指南为首次制定。IISZDB/Z204—2016

6、金融服务移动应用信息安全指南1范围本指南规定了金融服务移动应用系统信息安全风险管理中的信息安全管理、业务安全、客户端安全和服务器端安全的基本要求。本指南适用于指导深圳市辖区内的金融机构以及其他从事金融相关业务的组织进行金融服务移动应用系统的需求、设计、编码、测试、发布、运行、维护等过程的安全保护。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T5271.8信息技术词汇第8部分：安全GB/T2

7、2239-2008信息安全技术信息系统安全等级保护基本要求GB/T28448-2012信息安全技术信息系统安全等级保护测评要求GB/T30279-2013信息安全技术安全漏洞等级划分指南GB/T27910-2011金融服务信息安全指南JR/T0060-2010证券期货业信息系统安全等级保护基本要求JR/T0068-2012网上银行系统信息安全通用规范JR/T0071-2012金融行业信息系统信息安全等级保护实施指引3术语和定义GB/T5271.8和GB/T30279-2013所确立的以及下列术语和定义适用于本标准。3.1金

8、融服务移动应用安全评估securityassessmentformobileapplicationoffinancialservices由外部评估机构或内部独立部门执行的对移动应用系统面临的信息安全风险进行的评估工作，评估内容包括但不限于安全管理、业务安全、客户端安全、服务器端安全等重要环节的风险管控能