非金融机构支付服务业务系统检测规范_预付卡部分
《非金融机构支付服务管理办法实施细则》
中国人民银行公告〔2010〕第17号为配合《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号发布）实施工作，中国人民银行制定了《非金融机构支付服务管理办法实施细则》，现予公布实施。
中国人民银行二〇一〇年十二月一日非金融机构支付服务管理办法实施细则第一条根据《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号发布，以下简称《办法》）及有关法律法规，制定本细则。
第二条《办法》所称预付卡不包括：（一）仅限于发放社会保障金的预付卡；（二）仅限于乘坐公共交通工具的预付卡；（三）仅限于缴纳电话费等通信费用的预付卡；（四）发行机构与特约商户为同一法人的预付卡。
第三条《办法》第八条第（四）项所称有5名以上熟悉支付业务的高级管理人员，是指申请人的高级管理人员中至少有5名人员具备下列条件：（一）具有大学本科以上学历或具有会计、经济、金融、计算机、电子通信、信息安全等专业的中级技术职称；（二）从事支付结算业务或金融信息处理业务2年以上或从事会计、经济、金融、计算机、电子通信、信息安全工作3年以上。
前款所称高级管理人员，包括总经理、副总经理、财务负责人、技术负责人或实际履行上述职责的人员。
第四条《办法》第八条第（五）项所称反洗钱措施，包括反洗钱内部控制、客户身份识别、可疑交易报告、客户身份资料和交易记录保存等预防洗钱、恐怖融资等金融犯罪活动的措施。
第五条《办法》第八条第（六）项所称支付业务设施，包括支付业务处理系统、网络通信系统以及容纳上述系统的专用机房。
第六条《办法》第八条第（七）项所称组织机构，包括具有合规管理、风险管理、资金管理和系统运行维护职能的部门。
第七条《办法》第十条第（二）项所称信息处理支持服务，包括信息处理服务和为信息处理提供支持服务。
第八条《办法》第十条所称拥有申请人实际控制权的出资人，包括：（一）直接持有申请人的股权超过50%的出资人；（二）直接持有申请人股权且与其间接持有的申请人股权累计超过50%的出资人；（三）直接持有申请人股权且与其间接持有的申请人股权累计不足50%，但依其所享有的表决权足以对股东会、股东大会的决议产生重大影响的出资人。
中国人民银行办公厅关于非金融机构支付业务监督管理工作的指导意见
中国⼈民银⾏办公厅关于⾮⾦融机构⽀付业务监督管理⼯作的指导意见⽂号：银办发[2011]33号颁布⽇期：2011-02-12执⾏⽇期：2011-02-12时效性：现⾏有效效⼒级别：部门规章⼈民银⾏上海总部，各分⾏、营业管理部，各省会(⾸府)城市中⼼⽀⾏，各副省级城市中⼼⽀⾏：为贯彻落实《⾮⾦融机构⽀付服务管理办法》(中国⼈民银⾏令[2010]第2号发布，以下简称《办法》)，履⾏中央银⾏⽀付结算监督管理职能，建⽴⽀付服务市场准⼊退出程序，规范⾮⾦融机构⽀付服务⾏为，防范⽀付风险，保护当事⼈合法权益，促进⽀付服务市场健康发展，现就⾮⾦融机构⽀付业务监督管理⼯作提出以下指导意见，请遵照执⾏。
⼀、⾼度重视，落实监管责任制各分⽀机构要⾼度重视⾮⾦融机构⽀付业务监督管理⼯作，加强组织领导，专门成⽴⾮⾦融机构⽀付业务许可审查及监督检查⼯作⼩组并落实责任。
该⼩组由分管⽀付结算⼯作的⾏领导任组长，成员由⽀付结算、法律、科技、反洗钱等部门负责同志组成。
各有关部门要密切协同，合理调配资源，切实从业务、技术、反洗钱⾓度加强监管。
总⾏⾃2011年起将⾮⾦融机构⽀付业务审查及监督检查⼯作纳⼊分⽀⾏年度考核内容。
⼆、依法⾏政，做好⽀付业务许可初审⼯作(⼀)认真学习，规范受理及初审程序。
各分⽀机构要认真组织学习相关制度办法，严格依法⾏政，确保各项⼯作符合《办法》及其实施细则、《中国⼈民银⾏⾏政许可实施办法》(中国⼈民银⾏令[2004]第3号发布)程序要求。
⾮⾦融机构⽀付业务许可⼯作要按照《⼈民银⾏关于⾮⾦融机构⽀付业务许可的审批程序》(见附件1)开展。
审批程序中的格式⽂书参照《中国⼈民银⾏办公厅关于印发⾏政许可格式⽂书的通知》(银办发[2004]239号)使⽤。
各分⽀机构对外公⽰的⾮⾦融机构⽀付业务许可申办程序，可参照《⽀付业务许可证申办流程》(见附件2)实施。
对申请⼈提交材料的格式和要式内容，要按照《关于⾮⾦融机构申请材料的规范性要求》(见附件3)进⾏规范。
国务院办公厅转发人民银行监察部等部门关于规范商业预付卡管理意见的通知-国办发[2011]25号
![国务院办公厅转发人民银行监察部等部门关于规范商业预付卡管理意见的通知-国办发[2011]25号](https://img.taocdn.com/s3/m/5126561eeef9aef8941ea76e58fafab069dc4478.png)
国务院办公厅转发人民银行监察部等部门关于规范商业预付卡管理意见的通知正文：---------------------------------------------------------------------------------------------------------------------------------------------------- 国务院办公厅转发人民银行监察部等部门关于规范商业预付卡管理意见的通知（国办发〔2011〕25号）各省、自治区、直辖市人民政府，国务院各部委、各直属机构：人民银行、监察部、财政部、商务部、税务总局、工商总局、预防腐败局《关于规范商业预付卡管理的意见》已经国务院同意，现转发给你们，请认真贯彻执行。
国务院办公厅二○一一年五月二十三日关于规范商业预付卡管理的意见（人民银行、监察部、财政部、商务部、税务总局、工商总局、预防腐败局）近年来，适应信息技术发展和小额支付服务市场创新的客观需要，商业预付卡市场发展迅速。
商业预付卡以预付和非金融主体发行为典型特征，按发卡人不同可划分为两类：一类是专营发卡机构发行，可跨地区、跨行业、跨法人使用的多用途预付卡；另一类是商业企业发行，只在本企业或同一品牌连锁商业企业购买商品、服务的单用途预付卡。
总体看，商业预付卡在减少现钞使用、便利公众支付、刺激消费等方面发挥了一定作用。
同时，商业预付卡市场也存在监管不严、违反财务纪律、缺乏风险防范机制、公款消费和收卡受贿等突出问题，严重扰乱了税收和财务管理秩序，助长了腐败行为。
为规范商业预付卡管理、严肃财经纪律、防范金融风险、促进反腐倡廉，现提出如下意见：一、明确职责，加强管理强化对商业预付卡发卡人的管理，是规范商业预付卡管理的首要环节，必须进一步明确部门职责，落实分类监管。
人民银行要严格按照《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号）的规定，加强对多用途预付卡发卡人的监督检查，完善业务管理规章，维护支付体系安全稳定运行。
3.《非银行支付机构支付业务设施检测规范 第3部分：银行卡收单》
ICS03.060A11JR 中华人民共和国金融行业标准JR/T0123.3—2018代替JR/T0123.3—2014非银行支付机构支付业务设施检测规范第3部分：银行卡收单Test specification of non-bank payment institutions payment service facilities—Part3：Bank card acceptance2018-10-29发布2018-10-29实施中国人民银行发布JR/T0123.3—2018目 次前言 (II)引言 (IV)1范围 (1)2规范性引用文件 (1)3术语和定义 (1)4启动准则 (2)5功能测试 (2)6风险监控及反洗钱测试 (4)7性能测试 (5)8安全性测试 (5)参考文献 (65)IJR/T0123.3—2018II前 言JR/T0123《非银行支付机构支付业务设施检测规范》分为6个部分：——第1部分：互联网支付；——第2部分：预付卡发行与受理；——第3部分：银行卡收单；——第4部分：固定电话支付；——第5部分：数字电视支付；——第6部分：条码支付。
本部分为JR/T0123的第3部分。
本部分按照GB/T1.1—2009给出的规则起草。
本部分代替JR/T0123.3—2014《非金融机构支付业务设施检测规范第3部分：银行卡收单》，与JR/T0123.3—2014相比主要变化如下：——标准名称由《非金融机构支付业务设施检测规范第3部分：银行卡收单》修改为《非银行支付机构支付业务设施检测规范第3部分：银行卡收单》；——增加了风险及反洗钱管理制度要求（见第6章）；——增加了对自建机房的物理安全要求（见8.1）；——增加了主机对象审计、应用操作审计的要求（见第8章）；——修改了网络安全中对网络域安全隔离和限制、内容过滤、网络对象审计等的要求（见第8章，2014年版的第8章）；——修改了主机安全中对访问控制范围等的要求（见第8章，2014年版的第8章）；——修改了应用安全中对可信时间戳服务、登录访问安全策略、日志信息的要求（见第8章，2014年版的第8章）；——增加了数据安全中对个人信息保护、数据使用的要求（见8.5）；——增加了运维安全文档管理要求（见8.6）；——删除了文档要求（见2014年版的第9章）；——删除了外包附加要求（见2014年版的第10章）；——增加了SM系列算法的使用要求（见第8章）。
非金融机构支付服务业务系统检测规范 第1部分：互联网支付(V3.0)
非金融机构支付服务业务系统检测规范第1部分：互联网支付1 范围第三方检测机构按照本规范制定支付服务业务系统（互联网支付）技术标准符合性和安全性检测方案。
非金融机构若将支付服务业务系统外包给第三方服务机构，则还应按照本规范要求进行附加测试。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
——GB/T 25000.51-2010 软件工程软件产品质量要求与评价（SQuaRE）商业现货（COTS）软件产品的质量要求和测试细则——GB/T 16260-2006 软件工程产品质量——GB/T 18905-2002 软件工程产品评价——GB/T 27025-2008 检测和校准实验室能力的通用要求——GB/T 8567-2006 计算机软件文档编制规范——GB/T 9385-2008 计算机软件需求规格说明规范——GB/T 9386-2008 计算机软件测试文档编制规范——GB/T 14394-2008 计算机软件可靠性和可维护性管理——GB/T 15332-2008 计算机软件测试规范——GB/T 20271-2006 信息安全技术信息系统通用安全技术要求——GB/T 18336-2008 信息技术安全技术信息技术安全性评估准则——GB 17859-1999 计算机信息系统安全保护等级划分准则——《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号）——《非金融机构支付服务管理办法实施细则》（中国人民银行公告〔2010〕第17号）——《非金融机构支付服务业务系统检测认证管理规定》（中国人民银行公告〔2011〕第14号）3 术语和定义3.1非金融机构支付服务 non-financial institutions payment services是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务：a)互联网支付b)移动电话支付c)固定电话支付d)数字电视支付e)预付卡的发行与受理f)银行卡收单g)中国人民银行确定的其他支付服务3.2互联网支付internet payment是指依托互联网实现收付款方之间货币资金转移的行为。
中国支付清算协会关于印发《非银行支付机构预付卡业务风险防范指引》的通知
中国支付清算协会关于印发《非银行支付机构预付卡业务风险防范指引》的通知文章属性•【制定机关】中国支付清算协会•【公布日期】2020.09.23•【文号】中支协发〔2020〕137号•【施行日期】2020.11.01•【效力等级】行业规定•【时效性】现行有效•【主题分类】银行业监督管理正文中国支付清算协会关于印发《非银行支付机构预付卡业务风险防范指引》的通知中支协发〔2020〕137号各预付卡机构：为防范预付卡条码支付业务风险，引导预付卡机构建立健全预付卡业务风险管理机制，促进预付卡市场规范健康发展，中国支付清算协会组织对《支付机构预付卡业务风险防范指引》（中支协预付卡发〔2013〕4号）进行了修订，更名为《非银行支付机构预付卡业务风险防范指引》，并经中国支付清算协会第三届理事会第二次会议审议通过，现予以发布，自2020年11月1日起施行，请遵照执行。
有关事项通知如下：一、遵守条码相关技术标准与规范预付卡机构发行条码预付卡或依托条码技术受理预付卡支付业务（以下简称预付卡条码支付业务）的，应按照《条码支付安全技术规范(试行)》《条码支付受理终端技术规范(试行)》（银办发〔2017〕242号印发）相关要求，强化预付卡条码支付技术风险防范，加强预付卡条码支付产品安全管理。
二、严禁超范围从事预付卡业务预付卡机构开展预付卡条码支付业务的，应严格按照人民银行核准的业务类型和地域范围开展预付卡业务。
通过技术手段确认客户在核准地域范围内，不得借助条码技术超出核准地域从事预付卡业务。
未获准办理网络支付业务的预付卡机构不得通过条码技术变相从事网络支付业务。
三、规范创新业务报告预付卡机构拟开展预付卡条码支付业务的，应提前向法人所在地的人民银行分支机构报告。
特此通知。
联系人：王蕊童宁电话：************88665192联系邮箱：***************.cn中国支付清算协会2020年9月23日。
预付卡管理办法
预付卡管理办法第一章总则第一条为规范支付机构预付卡业务管理，防范支付风险，维护持卡人合法权益，根据《中华人民共和国中国人民银行法》、《非金融机构支付服务管理办法》(中国人民银行令〔2022〕第2号公布)，制定本办法。
第二条支付机构在中华人民共和国境内从事预付卡业务，适用本办法。
本办法所称支付机构，是指取得《支付业务许可证》,获准办理“预付卡发行与受理”业务的发卡机构和获准办理“预付卡受理”业务的受理机构。
本办法所称预付卡，是指发卡机构以特定载体和形式发行的、可在发卡机构之外购买商品或服务的预付价值。
第三条支付机构应当依法维护相关当事人的合法权益，保障信息安全和交易安全。
第四条支付机构应当严格按照《支付业务许可证》核准的业务类型和业务覆盖范围从事预付卡业务，不得在未设立省级分支机构的省(自治区、直辖市、计划单列市)从事预付卡业务。
第五条支付机构应当严格执行中国人民银行关于支付机构客户备付金管理等规定，履行反洗钱和反恐怖融资义务。
第二章发行第六条预付卡分为记名预付卡和不记名预付卡。
记名预付卡是指预付卡业务处理系统中记载持卡人身份信息的预付卡。
不记名预付卡是指预付卡业务处理系统中不记载持卡人身份信息的预付卡。
第七条发卡机构发行的预付卡应当以人民币计价，单张记名预付卡资金限额不超过5000元，单张不记名预付卡资金限额不超过1000元。
中国人民银行可视情况调整预付卡资金限额。
第八条记名预付卡应当可挂失，可赎回，不得设置有效期不记名预付卡不挂失，不赎回，本办法另有规定的除外。
不记名预付卡有效期不得低于3年。
预付卡不得具有透支功能。
发卡机构发行销售预付卡时，应向持卡人告知预付卡的有效期及计算方法。
超过有效期尚有资金余额的预付卡，发卡机构应当提供延期、激活、换卡等服务，保障持卡人继续使用。
第十条个人或单位购买记名预付卡或一次性购买不记名预付卡1万元以上的，应当使用实名并提供有效身份证件。
发卡机构应当识别购卡人、单位经办人的身份，核对有效身份证件，登记身份基本信息，并留存有效身份证件的复印件或影印件。
央行2号令细则《非金融机构支付服务管理办法》
非金融机构支付服务管理办法第一章总则第一条为促进支付服务市场健康发展，规范非金融机构支付服务行为，防范支付风险，保护当事人的合法权益，根据《中华人民共和国中国人民银行法》等法律法规，制定本办法。
第二条本办法所称非金融机构支付服务，是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务：（一）网络支付；（二）预付卡的发行与受理；（三）银行卡收单；（四）中国人民银行确定的其他支付服务。
本办法所称网络支付，是指依托公共网络或专用网络在收付款人之间转移货币资金的行为，包括货币汇兑、互联网支付、移动电话支付、固定电话支付、数字电视支付等。
本办法所称预付卡，是指以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。
本办法所称银行卡收单，是指通过销售点（POS）终端等为银行卡特约商户代收货币资金的行为。
第三条非金融机构提供支付服务，应当依据本办法规定取得《支付业务许可证》，成为支付机构。
支付机构依法接受中国人民银行的监督管理。
未经中国人民银行批准，任何非金融机构和个人不得从事或变相从事支付业务。
第四条支付机构之间的货币资金转移应当委托银行业金融机构办理，不得通过支付机构相互存放货币资金或委托其他支付机构等形式办理。
支付机构不得办理银行业金融机构之间的货币资金转移，经特别许可的除外。
第五条支付机构应当遵循安全、效率、诚信和公平竞争的原则，不得损害国家利益、社会公共利益和客户合法权益。
第六条支付机构应当遵守反洗钱的有关规定，履行反洗钱义务。
第二章申请与许可第七条中国人民银行负责《支付业务许可证》的颁发和管理。
申请《支付业务许可证》的，需经所在地中国人民银行分支机构审查后，报中国人民银行批准。
本办法所称中国人民银行分支机构，是指中国人民银行副省级城市中心支行以上的分支机构。
第八条《支付业务许可证》的申请人应当具备下列条件：（一）在中华人民共和国境内依法设立的有限责任公司或股份有限公司，且为非金融机构法人；（二）有符合本办法规定的注册资本最低限额；（三）有符合本办法规定的出资人；（四）有5名以上熟悉支付业务的高级管理人员；（五）有符合要求的反洗钱措施；（六）有符合要求的支付业务设施；（七）有健全的组织机构、内部控制制度和风险管理措施；（八）有符合要求的营业场所和安全保障措施；（九）申请人及其高级管理人员最近3年内未因利用支付业务实施违法犯罪活动或为违法犯罪活动办理支付业务等受过处罚。
《支付机构预付卡业务管理办法(征
支付机构预付卡业务管理办法（征求意见稿）第一章总则第一条为规范支付机构预付卡业务管理，维护当事人合法权益,防范支付风险,根据《中华人民共和国中国人民银行法》、《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号发布）等法律法规，制定本办法。
第二条支付机构在中华人民共和国境内从事预付卡业务经营活动，适用本办法.本办法所称支付机构，是指取得《支付业务许可证》、获准办理“预付卡发行和受理"或“预付卡受理"业务的非金融机构，包括预付卡发卡机构和受理机构。
本办法所称预付卡，是指发卡机构采用磁条、芯片等技术以卡片、密码等形式发行的预付价值，包括但不限于磁条预付卡、芯片预付卡（含电子现金、电子钱包）、具有唯一身份识别性质的密码、串码、图形、电子信息、生物特征信息。
第三条支付机构开展预付卡业务，应遵守法律、行政法规和本办法的各项规定,不得损害国家利益、社会公众利益和持卡人的合法权益。
第四条支付机构应保障预付卡发行、使用和受理的安全,依法对购卡人身份信息资料和交易信息保密，依法保守特约商户的商业秘密.第五条支付机构开展预付卡业务应遵循安全高效、平等自愿、有序竞争的原则。
第六条中国人民银行及其分支机构依法对支付机构预付卡业务进行监督管理。
本办法所称中国人民银行分支机构，是指中国人民银行上海总部,各分行、营业管理部、省会(首府）城市中心支行、副省级城市中心支行.第二章发行第七条预付卡分记名预付卡和不记名预付卡.记名预付卡是指预付卡业务处理系统中记载持卡人身份信息及相关购卡信息的预付卡。
不记名预付卡是指预付卡业务处理系统中不记载持卡人身份信息的预付卡。
第八条单张记名预付卡资金限额为5000元。
单张不记名预付卡资金限额为1000元。
用于小额快速支付领域的电子现金、电子钱包类芯片预付卡资金限额为1000元。
具有向发卡机构为客户开立的网络实名个人支付账户充值功能的充值卡资金限额为100元。
中国人民银行根据具体情况调整预付卡资金限额。
第三方支付(预付卡)有关政策法规文件
第三方支付（预付卡）有关政策法规文件自2009年起，国家相关主管部门对第三方支付机构进行了摸底调研，并随后做出了一系列的规定，主要的政策法规文件及预付卡相关内容摘要如下：
这一连串的政策文件让很多从事预付卡业务的企业体会到了国家对该类业务监管的决心和实施力度，企业在感受到巨大监管压力的同时也逐步明晰了预付卡业务“正当经营”的出路，使得企业做事有法可依了，对规范行业市场起到了里程碑式的作用，甚至有人称2011年为第三方支付元年。
非银行支付机构网络支付业务管理办法资料
非银行支付机构网络支付业务管理办法资料非银行支付机构网络支付业务管理办法是针对非银行支付机构进行管理的一项法规，其目的是加强对网络支付业务的规范和监管，保护消费者的权益，维护市场秩序，促进网络支付业务的健康发展。
非银行支付机构是指除商业银行、农村信用社和邮政储蓄银行外的其他金融机构，包括支付机构、电子支付机构、预付卡发行机构等。
这些机构通过互联网、移动网络等方式提供各种支付服务，如网上支付、手机支付、预付卡等，已成为人们生活中不可或缺的一部分。
为了加强对非银行支付机构的监管，非银行支付机构网络支付业务管理办法规定，非银行支付机构必须取得支付许可证才能从事网络支付业务，并且需要遵守一系列规定。
其中，支付许可证的申请会受到金融监管部门的严格审查，申请者必须符合特定的资质要求和财务条件，如注册资本金、净资产、安全保障能力等。
此外，非银行支付机构网络支付业务管理办法还对非银行支付机构的业务活动进行了具体规定。
其中，保护消费者权益是其中最重要的一个方面。
在网络支付中，消费者的个人信息和支付信息都需要得到很好的保护。
因此，非银行支付机构必须保证支付系统的稳定性和安全性，并采取必要的技术手段加密用户的个人信息和支付信息，防止被非法获取和使用。
此外，非银行支付机构还需要制定合理的收费标准，并公示收费标准和收费方式，确保消费者的知情权和选择权。
非银行支付机构还必须建立健全的消费者申诉和处理机制，及时解决消费者的投诉和纠纷，保障消费者的合法权益，避免不良的社会反响。
在非银行支付机构网络支付业务管理办法的监管下，网络支付业务将可以更加安全、可靠地发展。
非银行支付机构不仅需要遵守相关规定，还需要关注市场变化和消费者需求，通过技术创新和服务优化，更好地满足消费者的需求，推动网络支付行业朝着更加健康、可持续的方向发展。
关于规范商业预付卡管理的意见
关于规范商业预付卡管理的意见中国人民银行监察部财政部等关于规范商业预付卡管理的意见中国人民银行监察部财政部商务部国家税务总局国家工商行政管理总局国家预防腐败局文件国办发〔2011〕25号关于规范商业预付卡管理的意见近年来，适应信息技术发展和小额支付服务市场创新的客观需要，商业预付卡市场发展迅速。
商业预付卡以预付和非金融主体发行为典型特征，按发卡人不同可划分为两类：一类是专营发卡机构发行，可跨地区、跨行业、跨法人使用的多用途预付卡；另一类是商业企业发行，只在本企业或同一品牌连锁商业企业购买商品、服务的单用途预付卡。
总体看，商业预付卡在减少现钞使用、便利公众支付、刺激消费等方面发挥了一定作用。
同时，商业预付卡市场也存在监管不严、违反财务纪律、缺乏风险防范机制、公款消费和收卡受贿等突出问题，严重扰乱了税收和财务管理秩序，助长了腐败行为。
为规范商业预付卡管理、严肃财经纪律、防范金融风险、促进反腐倡廉，现提出如下意见：一、明确职责，加强管理强化对商业预付卡发卡人的管理，是规范商业预付卡管理的首要环节，必须进一步明确部门职责，落实分类监管。
人民银行要严格按照《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号）的规定，加强对多用途预付卡发卡人的监督检查，完善业务管理规章，维护支付体系安全稳定运行。
未经人民银行批准，任何非金融机构不得发行多用途预付卡，一经发现，按非法从事支付结算业务予以查处。
对商业企业发行的单用途预付卡，商务部门要强化管理，抓紧制定行业标准，适时出台管理办法。
金融机构未经批准，不得发行预付卡。
二、健全制度，规范行为规范商业预付卡的发行和购买，是防范利用商业预付卡洗钱、套现、偷逃税款以及行贿受贿的有效途径，必须进一步建立健全规章制度，加大执法力度。
一是建立商业预付卡购卡实名登记制度。
对于购买记名商业预付卡和一次性购买1万元（含）以上不记名商业预付卡的单位或个人，由发卡人进行实名登记。
非金融机构支付服务管理办法实施细则
附件1非金融机构支付服务管理办法实施细则(征求意见稿)第一条根据《非金融机构支付服务管理办法》（以下简称《办法》）及有关法律法规，制定本细则。
第二条《办法》所称支付机构，是指依据《办法》规定取得《支付业务许可证》的非金融机构。
支付机构不得以金融机构名义开展业务活动。
第三条《办法》所称预付卡不包括：（一）仅限于发放社会保障金的预付卡；（二）仅限于乘坐公共交通工具的预付卡；（三）仅限于缴纳电话费等通信费用的预付卡。
除前款规定外，预付卡发行机构与预付卡特约商户不是同一法人的，均适用《办法》。
第四条支付机构发行预付卡的，应当提供预付卡的受理服务。
《办法》所称预付卡的受理，包括为预付卡特约商户代收预付价值以及根据收到的预付价值为预付卡特约商户代收对等货币资金的行为。
第五条《办法》第二条所称销售点（POS）终端仅指以实物形式存在的销售点终端。
第六条《办法》第七条所称中国人民银行副省级城市中心支行以上的分支机构，包括中国人民银行上海总部，各分行、营业管理部，各省会（首府）城市中心支行、副省级城市中心支行。
第七条《办法》第八条第（四）项所称有5名以上熟悉支付业务的高级管理人员，是指申请人的高级管理人员中至少有5名人员具备下列任一条件：（一）具有大学本科以上学历且从事支付结算业务或金融信息处理业务5年以上；（二）具有会计、经济、金融、计算机或电子通讯等专业的高级技术职称。
前款所称高级管理人员，包括董事、总经理、副总经理、财务负责人、合规负责人、风险管理负责人、市场推广负责人、系统运维负责人、分公司负责人或实际履行上述职责的人员。
第八条《办法》第八条第（五）项所称反洗钱措施，包括反洗钱基本政策、反洗钱岗位设置、可疑交易监测系统等。
第九条《办法》第八条第（六）项所称支付业务设施，包括支付业务处理系统、网络通信系统以及容纳上述系统的专用物理场所（简称机房）。
支付业务处理系统应当由申请人拥有并运行，且应当符合中国人民银行规定的业务规范、技术标准和安全要求等。
非金融机构支付服务管理办法全文
非金融机构支付服务管理办法全文非金融机构支付服务管理办法全文第一章总则第一条为加强对非金融机构支付服务的管理，规范非金融机构支付服务行为，保护支付服务使用人权益，维护国家金融安全和经济秩序，根据《中华人民共和国支付结算法》、《中华人民共和国电子签名法》等法律、行政法规，结合非金融机构支付服务实际，制定本办法。
第二条本办法适用于提供支付服务的非金融机构，包括第三方支付机构、银行卡收单机构、预付卡发卡机构等，以及支付服务使用人。
第三条非金融机构支付服务应当遵守法律法规、遵循市场规则、依靠技术手段、保障安全可靠、促进便利高效。
第四条非金融机构支付服务应当贯彻实名制、防范洗钱、打击网络犯罪、保障用户隐私。
第五条国务院银行业监督管理机构负责对第三方支付机构进行监管；中国人民银行负责对银行卡收单机构和预付卡发卡机构进行监管。
第六条金融机构和大型互联网企业不得擅自利用其在支付服务领域的优势地位限制、排挤其他支付服务提供者，干扰或破坏支付市场的正常竞争秩序。
第二章支付业务和服务第七条非金融机构支付服务应当向支付服务使用人提供便捷、安全、高效的支付业务和服务，具体包括：（一）资金转移和结算服务；（二）在线支付、移动支付、POS支付等电子支付服务；（三）预付卡发行和管理服务；（四）银行卡收单服务；（五）其他支付相关服务。
第八条非金融机构支付服务提供者应当有完善的信息披露机制，告知支付服务使用人自身的资质、信用等情况，明确服务内容和质量承诺，对收费标准和方式、支付结果确认等进行透明化介绍。
第九条非金融机构支付服务提供者应当依法对支付服务使用人进行真实身份核实，并建立完善的客户身份识别、风险评估、客户分类等知识库，有效识别客户的身份和风险等级，做好客户知情与提示工作，防范欺诈和非法洗钱等违法犯罪活动，确保服务的安全和合法可靠。
第十条非金融机构支付服务提供者应当合理控制服务风险，建立风险防范和应对机制，加强技术风险、操作风险、市场风险、信用风险等监测和管理。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
建议
(14)允许使用SSH的V1版本
建议
(15)没有禁止客户端通过telnet协议（明文传输）在内部网络内进行远程管理
建议
(16)没有禁止客户端通过telnet协议（明文传输）在外部网络内进行远程管理
禁用telnent登陆
2
结构安全
(1)无链路备份
有主备链路
(2)核心网络设备缺少冗余
提供网络设备允余配置
(3)链路使用同一运营商的线路
主备线路使用同一运营商
(4)系统中使用动态路由（包括OSPF、IEGRP等），但动态路由未启用动态路由认证。
使用静态路由不影响检测结果
3
网络设备防护
(1)SNMP community字符串为默认值
1.4.7现金充值
联机充值
1.4.8指定账户圈存
无
1.4.9非指定账户圈存
无
1.4.10IC卡脚本通知
无
1.4.11圈提
无
1.4.12脱机消费*（脱机交易类必测项）
无
1.4.13脱机消费文件处理*（脱机交易类必测项）
无
1.4.14脱机余额查询*（脱机交易类必测项）
无
1.4.15交易查询*
历史和当前交易查询
2
系统高峰时段的联机交易数量
无
3
对可预期的系统生命周期内，受理终端数量和发卡量的增长情况（3年）
pos:5000
卡 ：50000
4
受理终端主要核心业务功能点分布比例。比如，POS终端系统，联机交易业务占70％，联机余额查询占20％，联机交易明细查询占10％等
消费：33%
查询余额：67%
6
一年的业务量（交易笔数，如果交易类型有多种，请分别说明）
(3)安全管理职责由其他人员兼职
已经按照岗位职责划分出独立的网络管理人员
主机安全
序号
检测项
案例
对应说明
1
身份鉴别
(1)用户密码策略设置不安全（密码长度、过期时间、锁定策略等）
Linux中可以设定
(2)Linux系统引导程序GRUB未设置密码
Linux中设定
(3)Solaris 未设置eeprom硬件保护口令
(9)访问生产区服务器的终端机可同时访问互联网
网络设备不允许远程访问
(10)未进行地址转换，以隐藏内部网络结构
进行地址转换，外部使用转换后地址访问机器
(11)防火墙访问控制规则中存在冗余的允许策略
删除多余的允许策略
(12)系统对Internet提供服务，但访问控制粒度未控制到端口级。
网络设备不提供给外部访问
登陆使用ssh
2
访问控制
(1)无禁用操作系统默认用户（如daemon、bin、sys、adm等）
禁用默认用户
(2)系统存在多余的自建账户（数据库、应用中间件的默认用户未删除或关闭）
删除多余的自建用户
(3)日志文件权限设置不安全
建议问题
(4)存在具有SUID/SGID权限的文件
建议问题
(5)存在全局可写文件/目录
可以配置ip，mac等访问限制
(14)没有强制注销及超时限制
设定登陆超时时间
(15)应用中间件控制台登录密码使用默认口令
无中间控制台
(16)服务器操作系统登录未采用双因素认证
建议问题
(17)SSH默认开启了X11转发功能
建议问题
(18)SSH服务端配置文件未指明仅支持协议2
建议问题
(19)主机远程登录，用户名和密码明文传输
设置snmp服务的community为指定的值，或者可不使用snmp服务
(2)路由器使用默认的enable密码
网络配置enable密码
(3)未限制口令最小长度、复杂度和更新时间等
设置网络设备登陆
(4)路由器/防火墙的enable密码未加密存储
设置密码加密
(5)路由器/防火墙的enable密码存储加密方式不安全，易被破解
建议
(5)未设置DoS/DDoS攻击、网络ARP欺骗攻击等的防护措施
在防火墙(深信服AF1110)开启防火墙ddos攻击。
5
网络安全审计
(1)数据中心无独立的网络监控设备
数据中心有此设备
(2)未建立主机、应用的自动化监控平台
建议
(3)网络设备无审计记录
进行人工审计，每月在进行网络巡检时，进行log查看的人工审计
建议问题
(12)操作系统与数据库系统的特权用户未分离
进行权限分离
(13)未实现最小权限分配，系统无审计员等安全角色
设定安全角色完成系统审计等功能
3
安全审计
(1)主机系统未开启系统日志审计功能
建议问题，可以安装日志审计工具软件
(2)Windows主机未配置本地安全审计策略
建议问题
(3)没有专人定时检查系统日志
划分核心区域将测试，监控，生产分开
(2)未部署入侵检测类安全产品或进行有效的入侵检测防范
未检测到
(3)日常办公网可访问核心生产服务器和网络设备
使用vpn限制对网络设备访问
(4)数据库服务器与WEB服务器位于同一区域，未合理划分DMZ区
将数据区和web服务器分开
(5)在路由器或者交换机上未配置QOS，也未做其它网络流量控制
(4)对于没有审计工具，但可人工实现，并有相关制度及记录
建议
(5)未开启日志功能
网络设备开启日志功能
(6)未使用NTP或类似的技术对关键设备的时间进行同步
建议
(7)没有专人定时查看并分析日志
建议
(8)不对审计记录进行备份保存，日志信息循环记录
需要专门的日志服务器
(9)未合理配置日志缓冲区大小
配置网络设备日志缓冲区大小
查询：450000
消费：300000
其他（续期，改密，积分等）：120000
7
压力解除后系统自恢复时间
1分25秒
8
“日终批处理”对应的系统功能，数据量及响应时间要求
100000条数据
20分15秒
网络安全测试
编号
检测项
对应说明
1
网络访问控制
(1)未划分核心域、管理域等网络不同区域，核心网边界未进行有效隔离
设定用户登陆失败锁定策略
(9)root用户存在可疑的路径参数环境变量
清除root用户非使用环境变量
(10)对root用户的使用没有申请机制
安全管理制度
(11)主机未更改默认用户登录名
使用主机用户均为按照安全制度新建的应用操作用户
(12)主机默认显示上一次登录用户名
系统未做此配置
(13)没有对访问特定服务器的内部终端进行限制
2.3.3控制移动POS机的安装
《移动POS安装要求》
2.3.4终端安全检测报告
联迪E550安全检测报告
2.3.5密码键盘安全检测报告
联迪E550安全检测报告
2.3.6终端监控管理
《POS终端巡检制度》
《商户走访记录表》
性能
以下声明的系统指标已经在被测系统中实现。
编号
检测规范要求
系统指标
1
系统实际部署的受理终端数量和发卡量
(10)没有定期的内部审计安全检查
建议
(11)未提供网络设备故障处理制度及相应记录
建议
(12)针对网络故障未形成知识库
建议
(13)针对网络故障未生成分析文档
文档《网络故障分析表》
6
网络安全管理
(1)网络设备软件版本过低
建议
(2)应用协议（如SNMP协议）版本过低
建议
(3)没有漏洞扫描工具，也没有漏洞扫描记录和报告
1.2
卡片管理
1.2.1制卡*（无卡片发行情况不适用）
卡资料管理
1.2.2卡片发行*（无卡片发行情况不适用）
售卡
1.2.3卡片激活*（无卡片发行情况不适用）
售卡激活
1.2.4充值
联机充值
1.2.5卡片有效期延长*（无卡片发行情况不适用）
卡有效期延期
1.2.6更换*（无卡片发行情况不适用）
换卡管理
1.2.7密码修改
使用CentOs
(4)多人共享root用户口令
Linux设定非全部人能使用root
(5)操作系统存在默认口令及弱口令
设定用户密码复杂度，强制密码更改
(6)Oracle tnslsnr没有设置口令
设定tnslsnr密码
(7)未禁止root用户直接登录
远程登陆限制root直接登陆
(8)连续错误登录多次未自动锁定账号
做网络流量限制
(6)防火墙访问控制规则中未配置默认的拒绝策略
放火墙配置信任访问策略
(7)未对可登录核心系统主机的主机范围进行限定
控制生产环境的机器是否可访问
(8)无法对非授权设备私自联到内部网络和内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断
对机器的从内向外或者从外向内访问进行严格限制
建议
(11)设备存在不需要的用户
删除调试过程中使用的用户
4
网络入侵防范
(1)没有安装IDS或防恶意代码软件
开启了防火墙（深信服AF1110）IPS功能
(2)病毒库更新不及时；IDS特征库更新不及时
定时有网络安全人员进行网络病毒库更新
(3)防范软件未能及时安装补丁
定时有网络安全人员进行补丁安装
(4)网络设备（防火墙、路由器、交换机和IDS等）无安全配置标准
Nessus软件进行扫描
(4)网络设备的重要文件（如配置文件等）未进行备份保存