標準簡介

本標準規(guī)定了金融業(yè)使用生物特征識別機制鑒別人員身份的安全框架,介紹了生物特征識別技術的類型,闡述了有關應用問題。本標準也描述了實現架構,詳細規(guī)定了有效管理的*小安全要求,也為專業(yè)人員提供了控制目標和使用建議。本標準包括:———使用生物特征識別技術,通過驗證其聲稱的身份或識別其個體身份,對參與金融服務的人員和雇員身份進行鑒別;———根據風險管理的要求,對用戶登記時提交的憑證進行確認,以支持身份鑒別;———在整個生命周期內,包括登記、傳輸、存儲、身份確認、身份識別以及終止等過程,對生物特征信息進行管理;———生物特征識別信息在其生命周期內的安全性,包括數據完整性、源鑒別和機密性;———生物特征識別機制在邏輯和物理訪問控制中的應用;———保護金融機構及其客戶的監(jiān)控措施;———在整個生物特征識別信息生命周期中所使用的物理硬件的安全性。本標準不包括:———個體生物特征識別信息的隱私權和所有權;———有關數據采集、信號處理與生物特征數據匹配、以及生物特征匹配決策流程等方面的具體技術;———生物特征識別技術在非鑒別方面的便利性應用,如語音識別、用戶交互和匿名訪問控制等方面的使用。本標準適用于由于數據機密性或其他原因而對生物特征信息進行加密的強制方式。
英文名稱：Financial services—Biometrics—Security framework
標準狀態(tài)：現行
中標分類：綜合>>經濟、文化>>A11金融、保險
ICS分類：03.360;35.240.40
發(fā)布部門：國家質量監(jiān)督檢驗檢疫.
發(fā)布日期：2011-12-30
實施日期：2012-02-01
出版日期：2012-02-01
頁數：72頁【膠訂-大印張】

前言

本標準按照GB/T1.1—2009給出的規(guī)則起草。本標準修改采用ISO19092-1:2006《金融服務 生物特征識別 第1部分:安全框架》(英文版)。本標準與ISO19092-1:2006的技術性差異如下:a) 刪除全文中涉及ISO19092-2的內容(因ISO19092-2提案已被ISO 中止,且刪除這些內容并不影響標準的完整性);b) 刪除原標準中的10.1.2,因為本節(jié)中的密鑰名稱全部來自于已經終止的ISO19092-2;c) 10.1.2(原標準10.1.3)數字簽名中“哈希算法應滿足相關ISO 標準(或者等同的國家標準)的具體要求”改為“哈希算法應滿足相關國家標準的具體要求”;d) 刪除10.1.2(原標準10.1.3)數字簽名中的列項“應通過明文文本數據進行哈希運算,文本由一個或多個BiometricHeader和BiometricData類型的值組成,除了類型BiometricHeader和BiometricData值之外,還應包括一個IntegrityBlock類型的值”;e) 10.1.2和10.1.3(原標準10.1.3和10.1.4)中的“密鑰管理技術,如表1所示,應按照相關ISO、ISO/IEC標準(或者等同的國家標準)的具體規(guī)定執(zhí)行,例如ISO11568,或者ISO/IEC11770”改為“密鑰管理技術應按相關國家標準的具體規(guī)定執(zhí)行”;f) 刪除原標準中的表1(其后表格的編號都減去1);g) 10.1.3基于數據機密性目的的加密中“加密算法應按相關的ISO 標準(或者等同國家標準)的具體規(guī)定執(zhí)行”改為“加密算法應按相關的國家標準的具體規(guī)定執(zhí)行”;h) 11.3.1中表12(原標準中表13)的147項:“密鑰產生使用密鑰產生算法,具體如ISO 標準(或者等同的國家標準)”修改為“密鑰產生使用密鑰產生算法,具體見相關的國家標準”;i) 附錄A.3.4的列項d)中的“參考模板描述(例如,生物特征OID)”修改為“參考模板描述(例如,生物特征目標標識符)”;j) 刪除ISO19092-1:2006的附錄B.2,因為該處描述的個體身份識別標準不適合我國國情。本標準還做了下列編輯性修改:———將原文中的“本國際標準”、“ISO19092”、“ISO19092的本部分”、“本部分”修改為“本標準”;———刪除國際標準的前言;———為全文統(tǒng)一起見,將4.21等錯誤率的定義中的“交叉率(crossoverrate)”改稱“交叉錯誤率(crossovererrorrate)”;———9.3.3的列項a)中提到的再登記的要求:“使用原始的憑證材料,而并非已經存在的生物特征模板。該方式可提供足夠的保證水平,這依賴于已存在的生物特征模板和技術的可靠性和可用性”修改為“使用原始的憑證材料,而并非已經存在的生物特征模板。該方式可提供足夠的保證水平,這依賴于原始的憑證材料的可靠性和可用性”(勘誤);———11.4.5的表22集成電路卡(ICC)生命周期控制中的300項“除非CDF處于激活狀態(tài)或者再激活狀態(tài)時,否則IC不能用于金融交易”修改為“除非CDF處于激活狀態(tài)或者再激活狀態(tài)時,否則ICC不能用于金融交易”(勘誤);———C.8中的“對單因子生物特征識別系統(tǒng)使用簡單概率模型[20],在N 個用戶中不出現系統(tǒng)錯誤匹配的概率Pr為”修改為“對單因子生物特征識別系統(tǒng)使用簡單概率模型[20],在N 個用戶中出現系統(tǒng)錯誤匹配的概率Pr為”(勘誤)。本標準由中國人民銀行提出。本標準由全國金融標準化技術委員會(SAC/TC180)歸口。本標準負責起草單位:中國金融電子化公司。本標準參加起草單位:中國農業(yè)銀行、中信銀行、上海銀晨智能識別科技有限公司、北京中科虹霸科技有限公司、北京握奇數據系統(tǒng)有限公司、杭州中正生物認證技術有限公司、中國人民銀行興化市中心支行、中國人民銀行太原市中心支行、中國人民銀行石家莊市中心支行。本標準主要起草人:王平娃、陸書春、李曙光、劉運、趙征、林松、曾文斌、邱顯超、余偉華、汪雪林、梁敏、呂瑛、仲志輝、張龍龍、李軍。