JR/T 0299-2024
Техническое руководство по безопасности электронной авторизации личной кредитной информации (Англоязычная версия)

Стандартный №

JR/T 0299-2024

язык

Китайский, Доступно на английском

Дата публикации

2024

Разместил

Professional Standard - Finance

Последняя версия

JR/T 0299-2024

сфера применения

Предыстория стандартизации и технологической эволюции

Благодаря быстрому развитию финансовых технологий объём онлайн-кредитования в моей стране достиг 15,8 трлн юаней в 2022 году, увеличившись на 27% в годовом исчислении. Традиционный метод авторизации на бумажных носителях больше не отвечает потребностям бизнеса. Введение этого стандарта заполняет пробел в технических спецификациях в области электронной авторизации и решает в основном три основные проблемы:

Тип проблемы	Недостатки традиционных методов	Решения этого стандарта
Аутентификация личности	Верификация только по номеру мобильного телефона + SMS	Многофакторная перекрестная верификация (удостоверение личности + биометрия + банковская карта)
Юридическая сила	Электронные соглашения легко подделываются	Технология электронной подписи в соответствии с GB/T 38540-2020
Доказательства споров	Отсутствие процессуальных доказательств	Полносвязные доказательства + три отчета о проверке

---

Анализ основного механизма

4.1 Архитектура компонентов системы

Стандарт требует создания пяти основных систем:

1. Бизнес-система: Основной кредитный бизнес-процесс
2. Система регистрации цифровых сертификатов: Портал подачи заявок на сертификаты
3. Система CA: Управление выдачей сертификатов
4. Система бизнес-терминалов: Интерфейс пользователя
5. Система хранения доказательств: Служба хранения доказательств судебного уровня

4.2 Восьмиэтапный рабочий процесс

Ключевые контрольные точки включают: тройное доказательство (проверка подлинности личности, выдача сертификата, подписание соглашения), двухканальная проверка (учреждение CA + учреждение хранения доказательств), закрепление отметки времени (соответствует GM/T 0015-2012)

---

Ключевые технические характеристики

5.1 Требования к проверке подлинности личности

Необходимо принять модель «1+X»:

• Базовый элемент: онлайн-проверка удостоверения личности (должна включать идентификацию защиты от подделки)
• Расширенные элементы (любые 2):
  • Обнаружение активности (движение/бесшумность)
  • Четырехфакторная проверка банковской карты
  • Трехфакторная проверка оператора

6.3 Исключения при выдаче сертификатов

Повторная проверка освобождается при соблюдении следующих условий:

 1 
 
Рекомендации по внедрению соответствия
 
Путь внедрения для финансовых учреждений
 
 
Этап 1: Трансформация системы (1-3 месяца)
 
• Подключение к лицензированному учреждению CA (например, CFCA)
• Развертывание системы хранения сертификатов (необходимо пройти сертификацию SF/T 0076-2020)
• Модернизация бизнес-терминалов для поддержки алгоритма SM2
 
Этап 2: Реконструкция процесса (2-4 недели)
 
• Вставка ссылки электронной авторизации в процесс кредитования
• Установление механизм автоматической загрузки данных сертификатов
• Разработка процесса обработки возражений
 
 
Ключевые моменты для управления рисками
 
Сосредоточьтесь на мониторинге трех типов аномалий:
 
 
 
 
Тип риска
 
Индикаторы мониторинга
 
Меры обработки
 
 
 
 
 
Имитация сертификата
 
Несколько входов в систему устройств с одним и тем же сертификатом
 
Немедленная приостановка действия сертификата и проверка
 
 
 
Подделка протокола
 
Изменение значения хэша
 
Активация тревоги в системе хранения доказательств
 
 
 
Временная метка аномалия
 
Отклонение от рабочего времени на >5 минут
 
Требуется повторное подписание
 
 
 
 

JR/T 0299-2024 Ссылочный документ

• GB/T 22081-2016 Информационные технологии – Методы обеспечения безопасности – Свод правил по управлению информационной безопасностью
• GB/T 27913-2022 Инфраструктура открытых ключей для финансовых услуг. Практика и основа политики
• GB/T 37092-2018 Технология информационной безопасности. Требования безопасности к криптографическим модулям.
• GB/T 38540-2020 Технология информационной безопасности. Технические характеристики обеспечивают шифрование подписи с помощью электронной печати.
• GM/T 0015-2012 Формат цифрового сертификата на основе алгоритма SM2
• JR/T 0118-2015 Спецификация финансовой электронной аутентификации
• JR/T 0171-2020 «Технические условия защиты личной финансовой информации»
• JR/T 0223-2021 Спецификации безопасности жизненного цикла данных по безопасности финансовых данных
• SF/T 0076-2020 Технические условия на электронное хранение данных

JR/T 0299-2024 История

• 2024 JR/T 0299-2024 Техническое руководство по безопасности электронной авторизации личной кредитной информации

стандарты и спецификации