ICS 35. 240. 40 CCS A 11 团•体标准 T/BFIA0062021 “领跑者”术 标准评价要求商业银行应用 程序接口服务 AssessmentreguirementsforforerunnerstandardsCommercialbankapplication programming interface service 2021-12-02发布 2021-12-02实施 北京金融科技产业联盟 发布 ！ 版权保护文件 版权所有归属于该标准的发布机构，除非有其他规定，否则未经许可，此发行物及其章节不得以其 他形式或任何手段进行复制、再版或使用，包括电子版、影印版，或发布在互联网及内部网络等。使用 许可可与发布机构获取。 T/BFIA 006—2021 目 次 前言 II 1 范围. 2 规范性引用文件 3术语和定义... 4评价指标体系... 4.1基本要求.. 4.2评价指标分类.. 4.3评价指标体系框架 5评价方法 5.1 概述. 5.2 标准规范性评价 5.3 标准水平评价.. 5.4 标准执行能力评价.. 参考文献. T/BFIA006—2021 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规则起 草。 本文件由北京金融科技产业联盟提出并归口 本文件起草单位：北京金融科技产业联盟、中国金融电子化公司、北京国家金融科技认证中心有限 公司、北京银联金卡科技有限公司、中金金融认证中心有限公司、北京软件产品质量检测检验中心。 本文件主要起草人：潘润红、聂丽琴、李明艳、潘丽扬、冯晓文、张勇、高峰、陈酪琼、胡一鸣、 李璐。 II T/BFIA 006—2021 “领跑者”标准评价要求商业银行应用程序接口服务 1范围 本文件规定了商业银行应用程序接口服务“领跑者”标准评价的基本要求、评价指标体系及评价方 法。 本文件适用于商业银行应用程序接口服务企业标准和应用（服务）水平评价。为从事商业银行应用 程序接口服务的银行业金融机构、集成接口服务的应用方等机构制定企业标准提供参考。 2规范性引用文件 电科技 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T28448一2019信息安全技术网络安全等级保护测评要求 JR/T0171—2020个人金融信息保护技术规范 JR/T0185一2020商业银行应用程序接口安全管理规范 3术语和定义 下列术语和定义适用于本文件。 3. 1 应用程序接口 applicationprogramminginterface 组预先定义好的功能，开发者可通过该功能（或功能的组合）便捷地访问相关服务，而无需关注 服务的设计与实现。 [来源：JR/T0185- 2020.3.11 3. 2 评估对象targetofevaluation 评估截止日期前在企业标准信息公共服务平台公开的商业银行应用程序接口服务领域的企业标准。 4评价指标体系 4.1 基本要求 4.1.1企业提供服务质量应与公开一致性承诺标准保持一致。 4.1.2 近三年无重大安全、质量、环境等责任事故。 4.1.3 企业无不良信用记录、重大投诉等社会不良影响。 4.1.4 企业应为规模化提供的服务，标准指标应符合JR/T0185。 4.1.5 企业应按照JR/T0185等有关标准，建立并运行管理体系。 4.2 评价指标分类 1 T/BFIA 006—2021 4.2.1概述 商业银行应用程序接口服务“领跑者”标准评价指标包括基础指标、核心指标和创新指标。 4.2.2基础指标 基础指标包括接口类型、安全级别、安全设计、安全部署、安全集成、安全运维、服务终止与系统 下线和安全管理。 4.2.3核心指标 核心指标包括接口身份认证、用户身份认证、算法及密钥、攻击防护、接口连接时间、应用方日志 留存、安全传输、运维监测、系统日志、服务可靠性和服务性能。分为先进水平、平均水平和基准水平。 4.2.4创新指标 创新指标包括人工智能、大数据、云计算等金融科技相关技术的应用，鼓励企业根据条件成熟情况 适时增加，提升商业银行应用程序接口服务能力。 4.3评价指标体系框架 商业银行应用程序接口服务“领跑者”标准评价指标体系框架见表1。 表1评价指标体系框架 评价指标 指标水平分级 指标类型 指标 来源 先进水平 平均水平 基准水平 企业标准文本应按照JR/T0185,6.1中的 接口类型 JR/T0185 要求，对所涉及的商业银行应用程序接口 类型进行规定。 企业标准文本应对商业银行应用程序接 安全级别 JR/T0185 口的安全级别进行规定，至少应不低于 JR/T0185,6.2中的要求。 应符合JR/T0185,7要求 至少包含：设计基本要求、接口安全设计 JR/T 0185 安全设计 （身份认证安全、接口交互安全）、服务 JR/T0171 安全设计（授权管理、攻击防护、安全监 基础指标 控、密钥管理）。 应符合JR/T0185,8要求 至少包括：网络部署逻辑结构示意图、互 联网边界部署了具备相应网络安全防护 措施、接口服务层与银行业务层之间部署 JR/T 0185 安全部署 了具备相应网络安全防护措施、接口服务 GB/T28448 层应至少部署流量控制、监控分析等服 务、应用方部署商业银行应用程序接口的 安全控制措施应符合国家网络安全等级 保护有关标准二级及以上安全要求。 2 T/BFIA 006—2021 表1 （续） 评价指标 指标水平分级 指标类型 指标 来源 先进水平 平均水平 基准水平 应符合JR/T0185,9要求 至少包含：应用方核准（应用方 准入、应用方身份核验）、接入 安全控制（身份认证、安全传 安全集成 JR/T0185 输）、运行安全（用户身份认证、 权限控制、数据安全、应用方安 全能力、应用方接口集成）、应 用方退出。 应符合JR/T0185,10要求 至少包含：安全监测（运维监控、 基础指标 异常监控）、风险控制（服务风 安全运维 JR/T 0185 险控制、交易流程控制、交易风 险控制）、变更控制、运维巡检、 事件处理。 应符合JR/T0185,11要求 服务终止与 JR/T0185 至少包括：服务终止与系统下 系统下线 线。 应符合JR/T0185,12要求 安全管理 JR/T0185 至少包含：管理制度、应用安全 责任、安全审计。 企业标准文本提出应用程 序接口及接口服务层对应 企业标准文本提出应用程 企业标准文本提出应用程序接 用方身份认证采用的安全 序接口及接口服务层对应 口及接口服务层对应用方身份 级别为（APP ID 用方身份认证采用的安全 认证采用的安全级别为 接口身份认 JR/T0185 App_Secret）、（App_ID、 级别为（App_ID、数字证 （APP_ID、App_Secret） 证 数字证书）和（App_ID、 书）和（ApP_ID、公私钥 （App_ID、数字证书）禾 和 公私钥对）三种方式中任 对）两种方式中的任意 （ApP_ID、公私钥对）三种方式 意两种的组合且满足双向 种且满足双向认证。 中的任意一种。 核心指标 认证。 企业标准文本明确提出独 企业标准文本明确提出具 企业标准文本明确提出具体的 用户身份认 立的硬件设备或生物识别 JR/T0185 体的多因子认证方式实现 双因子认证方式实现用户身份 证 认证方式实现用户身份认 用户身份认证 认证 证 满足平均水平，并提出采 企业标准文本提出使用的 企业标准文本提出使用的加密 算法及密钥 JR/T0185 用了国家密码管理部门认 加密和签名算法应分配不 和签名算法宜分配不同的密钥， 可的国产密码算法 同的密钥，且相互分离 且相互分离 3 T/BFIA 006—2021 表1 （续） 评价指标 指标水平分级 指标类型 指标 来源 先进水平 平均水平 基准水平 企业标准文本提出API和 SDK应对常见的网络攻击具 企业标准文本提出API和 企业标准文本提出API和SDK 有安全防护能力，移动终端 SDK应对常见的网络攻击 应对常见的网络攻击具有安 应用SDK应具备静态逆向分 具有安全防护能力，移动终 全防护能力，移动终端应用 攻击防护 JR/T0185 析防护能力，应具备动态调 端应用SDK应具备静态逆 SDK应具备静态逆向分析防护 试防护能力。并对API和SDK 向分析防护能力，应具备动 能力，宜具备动态调试防护能 提出具体攻击防护类型及 态调试防护能力。 力。 措施。 商业银行应对商业银行应 商业银行应对商业银行应用 接口连接时 按照业务类型或安全级别 用程序接口连接时间进行 程序接口连接时间进行限制， JR/T0185 间 分别规定连接时间 限制，明确具体的时间参数 依据业务必须的最小时间设 值 计有效期，避免长期有效连接 应用方与商业银行应用程 应用方与商业银行应用程 应用方与商业银行应用程序 应用方日志 序接口集成相关的日志留 JR/T0185 序接口集成相关的日志留 接口集成相关的日志留存=6 留存 存>6个月，且明确日志中 存>6个月 个月 包含的必要要素 应采用SSL/TLS等安全通 应采用SSL/TLS等安全通道 安全传输 JR/T 0185 道连接进行通信，应使用 连接进行通信，宜使用TLS 核心指标 TLS1.2及以上版本 1.2及以上版本 商业银行应对应用程序接 监控相关服务器、接口服务 口相关服务器的运行状态 商业银行应对应用程序接口 的运行状态，并建立告警机