银联卡个人化企业认证安全调查问卷(2021整理)

银联卡个人化企业认证平安
调查咨询卷
公布版本：V1.0
公布时刻：2021年6月银联卡个人化企业企业平安评估调查咨询卷一、填表人全然信息
二、生产企业全然信息
三、系统全然情况
四、企业业务全然情况
〔请简述企业的业务，包括讲明卡片个人化过程中贵企业所处的角色〕五、咨询题调查〔勾选方式，碰到无关内容的咨询题填写“无〞〕
1 数据治理
1.1数据传输
(1)数据信息传送使用的方式：
□专线□数据盘邮递□人工递送□其他
(2)假如是专线方式，答复下面咨询题：
(a)企业是否设置单独的数据接收效劳器
□否□是
(b)传输规定是如何规定的，是否平安
□否□是
(c)传输规定能否保证数据的完整性和平安性，如何保证的
□否□是，保证方法或手段___________
(d)个人化企业与发卡机构间的个人化数据是否加密传输
□否□是
(e)是通过软件加密依然硬件加密
□软件加密□硬件加密模块
(f)假如是软件加密那么密钥长度是
□64□128□128以上
(g)对数据进行加密保卫使用的机制是
□对称加密机制□非对称加密机制□其他___________
(h)签名和密钥交换使用的机制是
□对称加密机制□非对称加密机制□其他___________
(i)是否专门对通讯日志进行保管
□否□是
(j)假如需要猎取通讯日志，是否需要审批并填写使用记录
□否□是
(k)是否答应将通讯日志带离现场
□否□是
(3)假如采纳数据盘或人工邮递方式，答复以下咨询题：
(a)是否对邮递机构或运输手段进行筛选
□否□是，筛选标准_
(b)是否验证递送人员身份
□否□是，验证方式___________
(c)使用此种方式存储的数据的格式是：
□明文□密文
(d)能否验证其真实性和完整性
□否□是，验证方式___________
(e)存储介质有无专门的封装
□是□否
(f)有无措施来保证信息免受未经授权的公开或修改
□是□否
1.2数据平安
(1)假如采纳专线方式传输数据，数据的接收和转移是否需要两名或以上人员同时操作
□是□否
(2)数据转移之后是否删除设备上数据
□是□否
(3)上述操作是否进行操作记录
□是□否
(4)假如采纳数据盘邮递方式进行数据传输，生产企业是否需要两名或以上人员同时操作：
操作流程
□否□是
(5)生产企业对转移至个人化处理网络的数据进行处理时，可否答应出现明文数据
□是□否
(6)假如答应出现明文数据，请答复以下咨询题：
(a)是否事先有发卡机构的书面许可
□是□否
(b)现场是否有平安治理员监督
□是□否
(c)是否进行具体的记录备案
□是□否
(d)记录备案信息的内容包括：
□操作人员姓名□处理时刻□数据处理缘故□数据所属发卡行名
□结束时刻□平安治理员签名其它__________________
(7)完成加工后的个人化数据是否在平安治理人员监督下及时删除或销毁
□是□否，缘故__________________
(8)对持卡人或发卡机构相关信息的存取有无限制措施
□有□无
(9)对持卡人数据的修改是否需要发卡机构的书面批准，修改是否有记录
□是□否
2 网络治理
2.1通讯方式
(1)现在使用的与数据提供机构之间接进方式是
□专线□基于专网的MPLS □基于Internet □其他
(2)假如使用Internet，是否采纳了IPSEC/SSL等平安协议
□没有□有
(3)从生产环境中猎取通讯日志是否需要办理审批手续
□不是□是
假如需要，那么出示流程单样本和以往的流程单存档记录
□没有□有
(4)将通讯日志带离现场是否需要更加严格的审批
□不是□是
假如需要，能否提供审批单样本和以往的审批存档记录
□没有□有
2.2个人化网络平安
(1)个人化网络是否在物理和逻辑上均同与个人化过程无关的设备隔离
□没有□有
(2)是否差不多制订与个人化网络平安相关的制度和流程
□没有□有
(3)是否阻止未授权的对个人化网络的访咨询和接进
□没有□有
2.3防火墙及防进侵
(1)所有接进互联网的系统是否都安装防火墙
□没有□有
(2)防火墙是否安装在互联网接进点与DMZ区之间、DMZ区与内部网络之间
□没有□有
(3)存储、处理卡片个人化数据信息的系统与不可信网络连接点是否布置防火墙
□没有□有
(4)假如有无线网络，无线网络与存储、处理账户信息的相关系统之间是否安装了边界防
火墙
□没有□有
(5)是否建立了防火墙的治理标准，同时指定专人负责维护防火墙的配置与治理
□不是□是
(6)当前网络拓扑图是否记录了连接到持卡人数据的所有连接〔包括所有无线网络连接〕。

□不是□是
(7)在所有外部网络连接点以及隔离区〔DMZ〕与内部网络区域之间是否均配置了防火墙
□不是□是
(8)防火墙网络组件逻辑治理的组、角色和职责描述是否清楚明确
□不是□是
(9)防火墙配置标准是否包括一个业务必需的效劳和端口清单文件
□不是□是
(10)防火墙配置标准是否包括任何可用协议〔不仅限于HTTP、SSL、SSH和VPN〕的审批和
记录规定。

□不是□是
(11)防火墙配置标准是否包括任何风险性协议〔如FTP〕的审批和记录规定，同时讲明使用
此类协议的缘故以及已采取的平安措施。

□不是□是
(12)是否建立了路由器的治理标准。

□不是□是
(13)防火墙配置标准是否要求每季度复审防火墙和路由器的规那么设置。

□不是□是
(14)是否建立了一个防火墙配置用来拒尽来自不可信网络和主机的所有通信，个人化数据
环境必需的协议除外
□不是□是
(15)任何存储有持卡人数据的系统〔及其组成局部〕与公共效劳器之间的任何连接〔包括
无线连接〕，是否都有防火墙配置对其进行限制
□不是□是
(16)互联网访咨询操纵文档中是否限制了通过互联网访咨询DMZ区IP的流量
□不是□是
(17)是否禁止通过互联网访咨询内部网络IP地址
□不是□是
(18)防火墙的规那么设置中是否屏蔽了所有RFC1918(包括3个网段：.0～
10.255.255.255;172.16.0.0~172.31.255.255;192.168.0.0~192.168.255.255)中所
定义的内部IP地址对DMZ区的访咨询
□不是□是
(19)检查防火墙是否执行状态检查〔动态包过滤〕
□不是□是
(20)数据效劳器是否放置于内部网络，并通过防火墙与DMZ区隔离。

□不是□是
(21)是否限制持卡人数据环境的进站和出站流量，仅答应必需的流量
□不是□是
(22)是否将路由器配置文件同步化。

例如，运行配置文件〔路由器在正常工作状态下使用
的配置文件〕和初始化配置文件〔当路由器重新启动时会使用〕应具有相同的平安配置
□不是□是
(23)任何与互联网直截了当相连、又被用于访咨询组织〔内部〕网络的移动电脑和职员所
有的电脑〔比方，职员使用的笔记本电脑〕上是否安装并启用个人防火墙系统，以及是否按照组织规定的标准对防火墙进行了配置而且职员无法修改配置。

□不是□是
(24)是否禁止任何存储持卡人数据的内部网络和系统组件〔比方，数据库，日志，跟踪文
件〕被外部网络间接/直截了当地公开访咨询。

□不是□是
(25)是否建立一个DMZ以过滤和并屏蔽所有流量，禁止为Internet流量提供直截了当的进
站和出站路由
□不是□是
(26)是否限制源自支付卡应用、目的地为DMZ区IP地址的出站流量
□不是□是
(27)是否实施IP伪装以防止内部地址被识不并被显露在Internet上
□不是□是
(28)关于上面的样本防火墙/路由器组件，检查是否采纳了NAT、PAT或其他使用RFC1918
地址空间的技术，以限制将IP地址从内部网络播送到互联网〔IP伪装〕。

□不是□是
(29)是否认期对路由配置和防火墙策略进行检查，对路由器和防火墙的事件日志、进侵检
测〔防备〕设备的告警事件进行分析和处理
□不是□是
(30)是否建立对所有的路由配置和防火墙策略的批准、测试和变更的正式流程，路由配置
和防火墙策略在每次变更后是否及时回档
□不是□是
(31)是否对登录网络及网络平安设备的用户进行身份鉴不，严格操纵能够修改网络及网络
平安设备配置的账号
□不是□是
(32)是否及时进行网络及网络平安设备的补丁安装和版本升级，及时更新进侵检测〔防备〕
系统的防护知识库
□不是□是
(33)是否拨号访咨询网络方式
□不是□是
(34)假如有拨号网络访咨询方式
a)是否对拨号用户严格访咨询操纵
□不是□是
b)每个用户须设置口令是否相同
□不是□是
c)口令最短长度是多少
□不是□是
d)口令是否认期修改
□不是□是
e)是否答应外部公司拨号或其他方式的远程维护连接
□不是□是
f)是否认期或在网络发生重大变更后，对平安操纵措施、网络连接和限制措施进行渗
透性测试或漏洞扫描对网络及网络平安设备系统设置、补丁配置和的漏洞进行检
查，并确认没有内部用户私自连接到外部网络，外部访咨询不能非授权进进内部网
络。

□不是□是
g)是否在网络边界处布防进侵检测〔防备〕设备，监视可能的攻击行为，记录进侵事
件的发生，并报警正在发生的进侵事件。

□不是□是
h)防火墙〔系统、软件、配置文件、数据库文件等〕是否备份，以便在系统崩溃时数
据、配置文件能够及时恢复。

备份的数据和文件必须妥善保留，确保其平安性，只
答应授权的人员接触。

□不是□是
i)一旦防火墙被进侵，防火墙治理员是否针对检测到的攻击重新配置防火墙。

□不是□是
j)在没有防火墙保卫的情况下，个人化系统是否能够与外网IP或Internet相连。

□不是□是
2.4系统补丁治理
(1)关于样本系统组件、要害效劳器、无线接进点和相关的软件，每个系统上是否安装了提
供商最新提供的补丁。

□不是□是
(2)是否建立平安策略，要求在两个月内安装所有相关的新平安补丁。

□不是□是
(3)是否建立与更新、升级相关的平安策略，否要求更新和升级必须通过审批〔□不是,□
是〕，同时具体登记升级软件的版权〔□不是,□是〕、来源〔□不是,□是〕、版本(□不是,□是)等信息。

□不是□是
(4)是否对所有变更〔包括补丁〕，在部署到实际生产环境之前都进行测试，是否出具测试
报告。

□没有□有
2.5防病毒治理
(1)是否采纳防病毒软件来保卫整个个人化网络
□否□是
(2)任何进进个人化网络的文件、软件或数据在进进前是否要用防病毒软件进行检测
□否□是
(3)，是否差不多制定必要策略定期对个人化网络进行扫描
□不是□是
(4)是否在所有系统中部署防病毒软件〔UNIX及大型主机系统除外〕
□不是□是
(5)是否严格限制下载和使用免费软件或共享软件〔假如具有监控下载和使用的软件系统
也能够〕
□不是□是
(6)是否要求〔或者防病毒软件设置了〕所有外部存储介质〔软盘、移动硬盘和U盘〕在
使用前，必须进行病毒扫描
□不是□是
(7)是否要求及时更新防病毒软件和病毒库
□不是□是
(8)防病软件的宿主系统是否支持自动更新和定期扫描，以及样本系统组件、要害效劳器
和无线接进点是否启用了这些功能
□不是□是
(9)是否支持日志生成以及是否依据组织的信息保留策略对日志进行了保留
□不是□是
2.6客户和第三方的访咨询操纵
(1)提提供客户和第三方的访咨询接口是否依据许可范围进行设置，第三方和客户只能够
瞧到答应其访咨询的内容
□否□是
(2)对外提供的访咨询接口是否只答应使用授权的通信协议、指令和通道
□否□是
(3)是否认期对有访咨询权限的客户或第三方的帐号进行检查
□否□是
有无检查记录
(4)是否严格操纵有访咨询许可的网络连接所提供的效劳，不答应客户或第三方利用该网
络连接相互通讯
□不是□是
2.7远程访咨询操纵
(1)是否拒尽超出业务范围的远程访咨询权限申请
□不是□是
(2)其是否对正常业务范围的远程访咨询权限申请进行记录，并按照规定时刻回收远程访
咨询权限
□不是□是
(3)是否禁用了不必要或不平安的效劳〔如匿名FTP效劳、Telnet效劳等〕禁用了不必要
或不平安的效劳
□不是□是
(4)是否严格限制远程网络或者无线接进设备接进要害网络内，是否具有审批流程
□不是□是
(5)每台接进设备是否进行了备案。

□不是□是
(6)是否禁用了提供商支持和维护系统所使用的账户，仅在需要时才启用此账户
□不是□是
(7)提供商支持和维护系统所使用的账户是否在使用之后及时关闭
□不是□是
(8)是否对提供商支持和维护系统所使用的账户的使用情况进行监控
□不是□是，假如进行了监控，提供监控的日志文件位置。

(9)检查使用策略是否禁止在本地硬盘、软盘或其它外部介质上存储持卡人数据。

□不是□是
(10)使用策略中是否禁止在远程访咨询中使用剪切、粘贴和打印功能。

□不是□是
(11)检查是否实现了作用于所有远程网络访咨询的双因素认证机制
□没有□有，假如有，请讲明双因素认证机制
(12)检查远程登录操作文档记录，验证其是否包含下面的几项内容：
◆远程访咨询人员
□没有□有
◆工作内容
□没有□有
◆持续时刻
□没有□有
◆监督人的签字确认
□没有□有
(13)是否使用SSL/TLS技术对无线治理界面的治理员访咨询进行了加密。

治理员是否能够
远程连接到无线治理界面〔所有无线环境的治理都只能在操纵台上进行〕
□不是□是
(14)是否每一台效劳器只担负一项要紧功能〔例如，Web效劳器、数据库效劳器和DNS应该
被分不部署在不同的效劳器上〕
□不是□是
3 机房及系统平安〔略〕
4 访咨询操纵及审核
4.1用户权限操纵
(1)所有对网络、系统和数据资源是否均是有工作需要
□否□有
(2)有无完善的用户访咨询治理机制，且是否按照“因需知晓〞进行访咨询操纵
□没有□有
(3)是否有用户访咨询治理机制明确了各个级不用户的权限和责任
□没有□有
(4)是否有权限分配规定。

□没有□有
(5)权限的分配是否使用了“双人操纵〞原那么
□不是□是
4.2用户名治理
(1)同一系统内的用户是否依据性质和用途遵循同一的命名规那么
□不是□是
4.3登录操纵
(1)是否建立有关认证方法的文档讲明，是否至少采纳下面的一种认证方式
●口令
□没有□有
●令牌〔如SecureID、证书等〕
□没有□有
●生物特征
□没有□有
□不需要□需要
(2)是否对一般用户登录鉴不失败3次后锁定
□不是□是
(3)是否使用鉴不失败系统告警提示机制
□不是□是
(4)一般用户不活动时刻超过5分钟是否自动登出
□不是□是
(5)是否严格限制远程登录〔远程拨号或VPN〕操作范围和审批程序
□不是□是
4.4密码治理
(1)密码是否满足如下规那么
a)长度很多于6位；
b)至少包含1个字母，1个数字
c)密码至少包含3个不相同的字符；
d)每季度更换一次密码；
e)禁止使用最近4次曾使用过的密码；
□不是□是
(2)是否不同的账号使用了不同的初始密码，以及使用什么策略。

□没有□有，使用的策略
(3)关于样本系统组件、要害效劳器和无线接进点，系统口令的长度是否被设置为不低于6
个字符。

□不是□是
(4)关于样本系统组件、要害效劳器和无线接进点，系统口令的长度是否被设置为必须包
含字母和数字。

□不是□是
(5)关于效劳提供商是否要求客户口令必须符合最低口令长度规定。

□没有□有
(6)关于效劳提供商，是否要求客户口令必须包含字母和数字。

□没有□有
(7)用户重置密码是否有平安机制；
□不是□是
(8)系统强制修改初始密码；不得以明文方式显示、存储和传输密码；
□不是□是
(9)是否使用系统和产品在安装时生成的缺省密码。

□不是□是
(10)选择一个样本系统组件、要害效劳器，是否差不多更改了默认的账户和口令。

□没有□有
(11)选择一个样本无线接进点，检查以下相关的提供商默认设置：
◆安装时是否更改了WEP密钥，知晓密钥的职员离开组织或转换工作岗位时否更改了
WEP密钥。

□不是□是
◆是否更改了默认SSID。

□不是□是
◆是否禁止了SSID播送。

□不是□是
◆是否更改了接进点的默认SNMP社区字符串。

□不是□是
◆是否更改了接进点的默认口令。

□不是□是
◆假如无线系统支持WPA，是否启用了WPA或WPA2技术。

□不是□是
◆是否更改了其他与平安相关的无线提供商默认设置〔假如适用〕。

□不是□是
(12)对账户的增加、删除、修改或者变更权限的审批历史记录是否通过了严格的审批。

□没有□有
(13)检查权限更改记录，对下面的情况是否明确或者记录了权限回收时刻。

a) 临时修改
□没有□有
b) 离职
□没有□有
c) 岗位变动
□没有□有
(14)是否关于连续90天未使用的账号应予以权限冻结；冻结后30天仍未使用的，予以注
销
□不是□是
(15)首次登陆应是否强制要求修改密码
□没有□有
(16)关于样本系统组件、要害效劳器和无线接进点：
是否禁用或移用了公用用户ID和账户
□没有□有
是否不存在可执行系统治理活动和其他要害功能的共享用户ID
□没有□有
是否禁用使用共享和公用的用户ID治理无线LAN和设备
□没有□有
(17)口令策略/程序中是否明确地禁止共享口令
□没有□有
(18)是否禁止发送共享口令，即使接收到请求时也禁止
□不是□是
(19)是否强制要求用户定期更改登录密码，修改周期最长不得超过3个月
□没有□有，使用的策略
(20)关于效劳提供商，是否要求定期修改客户口令，以及是否为客户提供了口令修改指导，
这些指导讲明了在何时以及哪些情况必须修改口令
□不是□是
(21)是否对密码进行加密保卫，密码明文可不能以任何形式出现
□不是□是
(22)是否在重置用户密码前对用户身份进行核实，以及核实方法。

□不是□是，核实方法
(23)是否进行了用户登录错误次数限制。

□不是□是，限制几次。

(24)假如对登录错误次数有限制，那么核有用户登录限制数是否是5次〔超过就会锁定〕。

□不是□是
(25)关于样本系统组件、要害效劳器和无线接进点，系统/会话空闲超时是否被设置为10
分钟或更短。

□不是□是
4.5平安审计
(1)是否启用了审计功能
□不是□是
(2)日志是否记录用户登录系统的时刻和方式
□不是□是
(3)日志是否记录失败的访咨询尝试
□不是□是
(4)日志是否记录对要害名目的访咨询或执行要害操作的记录〔与系统平安相关的事件〕
□不是□是
(5)现场检查日志，确定是否认期统计用户访咨询系统资源的记录信息并反响用户进行确
认和评估
□不是□是
(6)进行内部或外部审计的周期
□无□一年一次□一季度一次□其他
(7)是否对设备进行了平安测试，以确保操纵方法能够识不并阻止平安区域内的非授权访
咨询企图。

〔例如：每季度使用一次无线分析工具识不所有无线设备〕。

□不是□是
(8)每年是否托付由中国银联认可的有资质的第三方机构进行定期扫描
□不是□是
(9)以下网络重大变更后是否扫描：
◆安装新的设备
□不是□是
◆网络拓扑结构调整
□不是□是
◆调整防火墙配置
□不是□是
◆应用系统升级
□不是□是
(10)弱点扫描是否通过。

□不是□是
(11)
□不是□是
(12)以下网络重大变更后是否进行渗透测试：
◆操作系统升级
□不是□是
◆应用系统升级
□不是□是
◆网络拓扑变更
□不是□是
◆WEB效劳器变更
□不是□是
(13)渗透测试是否通过。

□不是□是
(14)是否安装了进侵检测系统。

□不是□是
(15)是否部署了文件完整性监控软件或者人工对核心文件监控和治理。

□不是□是
(16)是否配置文件完整性监控软件或者按照流程人为对要害文件定期进行对照。

□不是□是
(17)对核心文件的修改是否需要授权。

□不是□是
(18)监控和治理的核心文件是否包括下面的几类。

◆防火墙配置文件
□不是□是
◆交换机配置文件
□不是□是
◆路由器配置文件
□不是□是
4.6日志治理
假如建立了日志记录及审核机制〔□没有□有〕，请完成下面的评估内容。

(1)日志记录和治理机制中是否包含下面的内容。

◆用户对敏感信息的访咨询
□没有□有
◆登录系统的方式
□没有□有
◆失败的访咨询尝试
□没有□有
◆系统治理员的操作
□没有□有
◆对系统日志的访咨询
□没有□有
◆其他涉及账户信息平安的系统记录
□没有□有
(1)检查组织内的正确时刻捕捉和发送流程以及样本系统组件、要害效劳器和无线接进点
的时刻相关系统参数设置，是否包含同时实施了时刻同步过程。

□不是□是
(2)是否使用了NTP或类似技术进行时刻同步。

□不是□是
假如使用了NTP技术，检查运行的网络时刻协议〔NTP〕是否为最新版本。

□不是□是
(3)是否只有审计用户能够访咨询或更改审计日志
□不是□是
(4)是否仅答应有工作需要的人员查瞧评估追踪记录。

□不是□是
(5)评估追踪记录是否被及时备份到集中的日志效劳器上或难以更改的介质上。

□不是□是
(6)是否将无线网络的日志复制到了一台位于内部局域网的日志效劳器上。

□不是□是
(7)是否使用文件完整性监视和变更检测软件保卫日志，确保已有的日志被改变时产生报
警〔所以，在已有的日志中添加数据，不应触发报警〕。

□不是□是
(8)是否天天复审所有系统的日志。

□不是□是
(9)日志复审是否包含那些执行平安功能的效劳器，例如进侵检测〔IDS〕、身份验证、授
权和记账协议〔AAA〕效劳器〔例如，RADIUS〕。

□不是□是
(10)是否对所有系统组件进行了定期日志审查。

□不是□是
(11)是否要求日志至少保留一年。

□不是□是
5 加工过程及平安治理
5.1磁条卡个人化
(1)数据的加解密过程和数据转换过程是否均在硬件加密设备〔HSM〕中进行
□不是□是
(2)当个人化设备向卡片写进数据时，是否采纳了加密且个人化设备能够识不的格式
□不是□是
(3)当个人化设备向卡片写进数据时，设备操作人员是否能够在设备上读出明文数据
□不是□是
5.2IC卡初始化及其平安
(1)当IC卡初始化设备向IC卡发送初始化命令和指令时，是否对发送的指令和数据进行
加解密和MAC校验
□不是□是
(2)加解密过程是否与硬件平安模块〔HSM〕相连
□不是□是
(3)KENC、KDEC、KMAC密钥值对每一片卡是否是唯一的，且并在生成者密钥的保卫下放在
卡上
□不是□是
(4)假如KENC、KDEC、KMAC密钥值不能放在卡上，其物理存取是否有严格限制
□不是□是
(5)对卡片的访咨询是否必须通过一个16位或以上的口令保卫
□不是□是
(6)IC卡初始化操作是否必须位于工厂的高平安区
□不是□是
IC卡个人化
〔一〕数据预备平安要求
(1)数据预备的全过程是否在与硬件平安模块相连的数据处理设备上进行
□不是□是
(2)密钥的导进导出是否符合?EMV2000支付系统集成电路标准?和?中国金融集成电路〔IC〕
卡标准?
□不是□是
〔二〕个人化处理平安要求
(3)个人化处理是否必须位于工厂的高平安区并满足所有平安要求及程序
□不是□是
(4)个人化处理是否到达?银联标识卡生产企业平安治理指南?中的要求
□不是□是
5.4流程平安要求
〔一〕个人化加工操作程序
(1)个人化加工操作程序是否作为正式的文档
□不是□是
(2)对个人化加工操作程序的改动要通过相关治理者的授权
□不是□是
(3)操作程序文档是否具体讲明具体执行每项工作时的工作流程
□不是□是
(4)操作程序文档是否包含个人化设备操作过程，数据信息处理和处置过程，错误或异常
情况操作指导及设备使用限制
□不是□是
〔二〕个人化处理过程操纵
(1)个人化处理过程中，卡片和持卡人信息能否显露给任何无关人员
□不是□是
(2)个人化处理过程中，个人化数据内容能否修改
□不是□是
(3)在各工序交接过程中，负责统计卡片的其他部门人员是否预先明白数目
□不是□是
(4)个人化处理过程是否严格执行数字治理
□不是□是
(5)有无每个工单/分批的要紧审查操纵记录
□不是□是
(6)审查操纵记录的内容是否包括施工单号、发卡人名称、卡片类型等
□不是□是
(7)关于操纵记录中的每一项处理功能，是否包含以下记录内容：最初发放数量、上一期
的卡剩余量、卡移交数量、退回仓库的卡片数、废卡数量、样卡/试验卡数量、个人化作业设备及其工作记录、操作员签名、日期、时刻、审查人签名等
□不是□是
(8)操纵记录是否记录了所有个人化加工处理设备故障
□不是□是
(9)设备故障记录是否至少保留3个月
□不是□是。