1、非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)評(píng)估準(zhǔn)則（v2.0版）目 錄一、問(wèn)題等級(jí)分類3二、檢測(cè)結(jié)果判定5三、問(wèn)題等級(jí)分類判例7一、問(wèn)題等級(jí)分類問(wèn)題等級(jí)分為嚴(yán)重性問(wèn)題、一般性問(wèn)題和建議性問(wèn)題。問(wèn)題等級(jí)的分類標(biāo)準(zhǔn)如下：1嚴(yán)重性問(wèn)題 與相關(guān)法律法規(guī)、標(biāo)準(zhǔn)規(guī)范有明顯沖突；系統(tǒng)不滿足業(yè)務(wù)需求；主要業(yè)務(wù)流程不正確；存在安全風(fēng)險(xiǎn)，會(huì)對(duì)客戶利益造成嚴(yán)重的損害。2. 一般性問(wèn)題 局部功能無(wú)法正常使用，但不影響系統(tǒng)整體流程的實(shí)現(xiàn)；存在安全風(fēng)險(xiǎn)，會(huì)對(duì)客戶利益造成直接或潛在的損害。3建議性問(wèn)題功能能夠正常使用，但系統(tǒng)易用性差；存在安全風(fēng)險(xiǎn)，但不會(huì)對(duì)客戶利益造成直接或潛在的損害。序號(hào)等級(jí)檢測(cè)類問(wèn)題等級(jí)的分類標(biāo)準(zhǔn)1嚴(yán)重性問(wèn)題功能檢

2、測(cè)(1) 系統(tǒng)崩潰、死機(jī)、異常退出(2) 功能模塊失效(3) 數(shù)據(jù)發(fā)生不可挽救的丟失或損壞(4) 數(shù)據(jù)處理錯(cuò)誤(5) 主要業(yè)務(wù)流程出現(xiàn)斷點(diǎn)(6) 未提供必備的功能，或者必備的功能未正確實(shí)現(xiàn)風(fēng)險(xiǎn)監(jiān)控檢測(cè)(1) 未提供必備的風(fēng)險(xiǎn)監(jiān)控措施(2) 必備的風(fēng)險(xiǎn)監(jiān)控措施未正確實(shí)現(xiàn)性能檢測(cè)(1) 性能未滿足業(yè)務(wù)需求(2) 系統(tǒng)出現(xiàn)異常，且無(wú)法自動(dòng)恢復(fù)安全性檢測(cè)(1) 敏感數(shù)據(jù)泄漏、丟失或者篡改。敏感數(shù)據(jù)包括但不限于：密鑰、密碼、身份信息、賬戶信息、銀行卡信息、交易信息等(2) 系統(tǒng)核心配置文件、源代碼泄漏、丟失或者篡改(3) 影響交易數(shù)據(jù)完整性(4) 導(dǎo)致越權(quán)訪問(wèn)(5) 影響支付業(yè)務(wù)連續(xù)性，導(dǎo)致系統(tǒng)無(wú)法恢復(fù)

3、外包檢測(cè)(1) 未與第三方服務(wù)機(jī)構(gòu)簽訂支付服務(wù)系統(tǒng)外包合同和安全保密協(xié)議(2) 未對(duì)外包服務(wù)建立風(fēng)險(xiǎn)評(píng)估制度(3) 未對(duì)第三方服務(wù)機(jī)構(gòu)資質(zhì)建立認(rèn)定制度(4) 未對(duì)外包服務(wù)建立控制和監(jiān)督制度2一般性問(wèn)題功能檢測(cè)(1) 必測(cè)項(xiàng)功能實(shí)現(xiàn)不完善，但不影響業(yè)務(wù)功能使用，或者有替代方法(2) 存在非必測(cè)項(xiàng)功能，但未正確實(shí)現(xiàn)(3) 未對(duì)關(guān)鍵數(shù)據(jù)域進(jìn)行校驗(yàn)，或者校驗(yàn)不嚴(yán)格(4) 提示信息錯(cuò)誤(5) 用戶界面錯(cuò)誤風(fēng)險(xiǎn)監(jiān)控檢測(cè)(1) 風(fēng)險(xiǎn)監(jiān)控功能不完善(2) 必備風(fēng)險(xiǎn)監(jiān)控項(xiàng)通過(guò)人工實(shí)現(xiàn)安全性檢測(cè)(1) 非敏感數(shù)據(jù)泄漏、丟失或者篡改 (2) 系統(tǒng)一般的配置文件泄漏、丟失或者篡改(3) 影響支付業(yè)務(wù)連續(xù)性，導(dǎo)致系統(tǒng)無(wú)

4、法及時(shí)恢復(fù)文檔檢測(cè)(1) 文檔缺失(2) 文檔自身、文檔之間或者文檔與實(shí)際情況不一致(3) 文檔內(nèi)容不完整外包檢測(cè)(1) 外包合同內(nèi)容不完善(2) 未對(duì)外包服務(wù)進(jìn)行持續(xù)、有效的控制和監(jiān)督3建議性問(wèn)題功能檢測(cè)(1) 系統(tǒng)出現(xiàn)偶發(fā)性錯(cuò)誤，但不影響正常業(yè)務(wù)使用(2) 系統(tǒng)操作不方便(3) 人機(jī)交互界面不友好安全性檢測(cè)(1) 影響支付業(yè)務(wù)連續(xù)性，但系統(tǒng)能夠及時(shí)恢復(fù)文檔檢測(cè)(1) 文檔格式不統(tǒng)一，不易于瀏覽，文檔內(nèi)容不容易理解(2) 文檔管理不規(guī)范對(duì)于風(fēng)險(xiǎn)監(jiān)控、安全審計(jì)要求，系統(tǒng)沒(méi)有功能模塊實(shí)現(xiàn)，但是線下采用人工補(bǔ)償方法可以正確實(shí)現(xiàn)該功能的，可降低一級(jí)問(wèn)題級(jí)別。此外，不適用項(xiàng)，檢測(cè)人員從客戶服務(wù)體驗(yàn)、實(shí)

5、現(xiàn)難易程度方面進(jìn)行分析，可提建議性問(wèn)題。二、檢測(cè)結(jié)果判定（一）檢測(cè)項(xiàng)結(jié)果判定原則l 不符合在檢測(cè)過(guò)程中，發(fā)現(xiàn)嚴(yán)重性問(wèn)題和一般性問(wèn)題，該檢測(cè)項(xiàng)的檢測(cè)結(jié)果判定為“不符合”。l 符合在檢測(cè)過(guò)程中，未發(fā)現(xiàn)問(wèn)題或僅發(fā)現(xiàn)建議性問(wèn)題，該檢測(cè)項(xiàng)的檢測(cè)結(jié)果判定為“符合”。l 不適用在各檢測(cè)類檢測(cè)過(guò)程中，根據(jù)廠商聲明，被檢測(cè)系統(tǒng)未提供的非必測(cè)項(xiàng)可判定為“不適用”，必測(cè)項(xiàng)不能判定為“不適用”，風(fēng)險(xiǎn)監(jiān)控類、安全類檢測(cè)項(xiàng)除外。 在風(fēng)險(xiǎn)監(jiān)控類、安全類檢測(cè)過(guò)程中，檢測(cè)要求對(duì)抗的威脅在被測(cè)系統(tǒng)中不存在，該檢測(cè)項(xiàng)判定為“不適用”。判定為不適用的風(fēng)險(xiǎn)監(jiān)控類、安全類檢測(cè)項(xiàng)需說(shuō)明原因和帶來(lái)的安全影響。（二）檢測(cè)類結(jié)果判定原則l 不符

6、合該檢測(cè)類中存在因嚴(yán)重問(wèn)題導(dǎo)致的“不符合”檢測(cè)項(xiàng)，則該檢測(cè)類的檢測(cè)結(jié)果判定為“不符合”。該檢測(cè)類中存在因一般問(wèn)題導(dǎo)致的“不符合”檢測(cè)項(xiàng)，如果“不符合”率為以下情況的，則該檢測(cè)類的檢測(cè)結(jié)果判定為“不符合”：（1）屬于功能類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。（2）屬于風(fēng)險(xiǎn)監(jiān)控類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。（3）屬于性能類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。（4）屬于安全類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。（5）屬于文檔類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。（6）屬于外包類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率大于15%。l 符合該檢測(cè)類中檢

7、測(cè)項(xiàng)的檢測(cè)結(jié)果全部為“符合”，則該檢測(cè)類的檢測(cè)結(jié)果判定為“符合”。該檢測(cè)類中存在因一般問(wèn)題導(dǎo)致的“不符合”檢測(cè)項(xiàng)，如果“不符合”率為以下情況的，則該檢測(cè)類的檢測(cè)結(jié)果判定為“符合”：（1）屬于功能類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（2）屬于風(fēng)險(xiǎn)監(jiān)控類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（3）屬于性能類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（4）屬于安全類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（5）屬于文檔類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（6）屬于外包類的檢測(cè)項(xiàng)，其檢測(cè)結(jié)果中“不符合”率小于或等于15%。（三）檢測(cè)報(bào)