银联卡账户信息与交易数据安全管理规则

《银联卡账户信息与交易数据安全管理规则》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、银联卡账户与交易数据安全管理规则附件：银联卡账户信息与交易数据安全管理规则（经中国银联第一届风险管理委员会第二次会议审议通过）二○○四年十一月10银联卡账户与交易数据安全管理规则10银联卡账户与交易数据安全管理规则第一章总则1.1目的为加强银联卡账户信息与交易数据安全管理，保障成员机构及持卡人利益，防止账户信息与交易数据的丢失和泄漏，避免由此带来的欺诈风险，特制定本规则。1.2基本原则银联卡账户信息与交易数据的管理应遵循从严管理、权责明确、过失赔偿的原则，确保账户信息与交易数据在银联卡业务处理各环节中的安全性、完整性和可用性，防止数据遭到篡改、泄漏和破坏。1.3适用范围本办法

2、适用于中国银联、中国银联所有成员机构、所有参与银联卡业务的第三方服务机构以及所有银联卡收单特约商户。其中第三方服务机构既包括从事商户管理、设备维护、信用分析、交易清算、银行卡市场推广等的金融专业化服务机构，也包括参与银行卡产业相关的硬件、软件等产品开发及服务的机构。1.4定义1.4.1账户信息账户信息是指银联卡（包括银联标识卡和银联标准卡）上记录的所有账户信息以及与银联卡交易相关的用户身份验证信息。记录在银联卡上的信息包括：卡号、卡片有效期、磁条信息、卡片验证码。与银联卡交易相关的用户身份验证信息包括：网上业务、电话银行、手机银行等业务中的用户注册名、密码、真实姓名、证件号码

3、、联系方式等。1.4.2交易数据交易数据是指银联卡在各类业务中的交易处理数据，数据内容视业务不同而有所不同。基本内容包括：卡号、密码、磁条信息、有效期、卡片验证码。10银联卡账户与交易数据安全管理规则第二章权利与义务2.1权利各机构有权监督与本机构账户信息和交易数据安全相关的其他机构的信息管理状况，一旦发现问题，可向中国银联风险管理委员会报告。各机构一旦发现其他机构因泄漏本机构持卡人账户信息及交易数据、并给本机构造成损失的，可通过中国银联风险管理委员会向该机构申请损失赔偿。2.2义务各机构应定期就账户信息及交易数据安全状况按照《中国银联账户信息与交易数据安全管理自查问卷》进行

4、自查，并向中国银联提供自查结果等书面报告，证明本机构已按照规定的程序实施了自查。中国银联将牵头组织成立由各成员机构组成的调查评估小组，对各机构账户信息与交易数据安全管理进行调查,各机构应积极配合调查工作。第三章人员及组织管理3.1基本要求建立完善的信息安全管理体制，并制订账户信息与交易数据安全相关的制度及检查程序，明确各数据安全相关岗位的责任与权限。3.2人员管理应与所有接触账户信息及交易数据的员工签署保密协议，在协议中明确员工需要承担的保密责任以及员工离职时的脱密期。10银联卡账户与交易数据安全管理规则第四章访问控制4.1基本要求根据“业务需要”的原则，严格控制访问和使用账

5、户信息和交易数据，防止未经授权擅自对数据进行查看、篡改和破坏。业务需要是指“有业务上需要者才能访问相关数据，并且只能访问需要使用的数据”。4.2身份验证使用身份验证机制来授权和确认访问账户信息和交易数据的人员身份，包括进入存储或处理数据物理场所的身份鉴别机制，以及逻辑访问数据的身份鉴别机制。4.3权限管理限制数据访问权限，任何人都只能访问其开展业务所必需的数据。严格控制员工对账户信息及交易数据的访问权限，访问权限的分配应遵循双人控制的原则，避免单个员工对账户信息及交易数据的完全控制。在员工调离相关岗位时，应立即通知系统管理人员删除该员工注册的用户名及权限。4.4设备访问为了防

6、止非法访问或者使用通讯设备擅自更改、破坏或泄露数据，应对访问通讯设备的特定程序和访问数据的时间和日期进行严格的控制和记录。只有被授权人员才能按照事先制定的维护程序来更改设备的设置。在设备维护前后都应对设备的访问授权控制进行测试。4．5密码管理为不同的用户设置不同的初始密码，然后由用户自行设定密码。要求用户定期更改密码。10银联卡账户与交易数据安全管理规则第五章数据的保护、使用与销毁5.1数据的保护5.1.1基本要求严格保护以任何形式出现的账户信息及交易数据，具体包括：存储于各类计算机系统中的、存储在POS、ATM及其他终端设备中的、通过网络传送的、显示在电脑屏幕上的、通过PO

7、S或ATM等设备打印出来的各类信息。指定专人保管保存在磁带、光盘等备份介质中的账户信息及交易数据，应将数据存放在装有门禁系统的机房或保险柜中。5.1.2卡号屏蔽在ATM交易凭条、账单、网页、移动通讯设备或电子邮件中显示卡号信息时，必须采用卡号屏蔽的方式保护卡号安全。5.1.3账户密码交易数据中的个人密码除了可以在硬件加密设备上以及在打印密码信封时可以以明文出现，其他情况下都不得以明文出现。5.1.4数据传输与存放账户信息与交易数据在互联网中传输时必须进行加密。对无法以电子方式传输的文件，应以发送方和接收