风险防范和支付安全相关术语（支付信息安全管理类）
时间：2019-07-16
银联卡支付信息安全管理标准 UnionPay Payment Data Security Standard——缩写： UPDSS
指银联卡支付信息安全管理标准， 是银联卡业务参与方进行支付信息安全管理的标准。
直接参与方 Direct Participant
直接参与方， 是指直接参与支付业务的主体， 包括但不限于银联卡发卡机构、基于银联卡的支付账户发行方 、涉及银联卡交易的银行卡清算机构、从事银联卡收单业务的收单机构、银联卡收单特约商户、基于银联卡的二维码应用服务方等。
间接参与方 Indirect Paticipant
间接参与方，是指向支付业务直接参与方提供专业化服务的机构，包括但不限于银联卡卡片生产厂商、聚合技术服务商、托管服务提供商 、受理终端厂商、软件供应商及其他专业化服务机构。
二维码应用服务方 Application Service Provider for UnionPay QR Code Payment
二维码应用服务方指加入二维码支付业务并提供移动应用的主体机构。
收单专业化服务机构 Specialized Acquiring Service Provider
收单专业化服务机构指从事商户拓展与服务， 终端布放与维护，交易接入服务，渠道接入服务等的专业化机构。
聚合技术服务商 Aggregation Technology Service Provider
聚合技术服务商指通过开展“聚合支付”服务，为商户提供融合多个支付渠道、一站式资金结算和对账等综合支付解决方案的机构。
云服务提供商 Cloud Service Provider
云服务提供商指获得互联网资源协作服务业务经营许可的企业，利用架设在数据中心之上的设备和资源，通过互联网或其他网络以随时获取、按需使用、随时扩展、协作共享等方式，为用户提供数据存储、互联网应用开发环境、互联网应用部署和运行管理等服务。
支付信息 Payment Data
支付信息，包括但不限于银联卡上记录的账户信息、基于银联卡开展支付业务的网络支付账户信息、身份鉴别信息、支付业务涉及的必要个人信息和其他支付相关信息。
银联卡上记录的账户信息 Account Data Encoded on UnionPay Card
银联卡上记录的账户信息包括银联卡卡号、卡片有效期、磁道信息（含芯片等效磁道信息）、卡片验证码（CVN及CVN2）等，以及基于上述信息产生的支付标记。
基于银联卡开展支付业务的网络支付账户信息 Network Payment Account Data Linked with UnionPay Card
基于银联卡开展支付业务的网络支付账户信息包括网络支付账户、用户注册名、用户登录名、用户ID等，以及基于上述信息的支付标记。
身份鉴别信息 Identication Data
身份鉴别信息包括个人标识代码（PIN），网络支付业务中的登录密码、手势密码、查询密码、支付密码、动态口令、短信验证码、密码提示问题答案，指纹、虹膜、人脸等个人生物特征信息，预付卡支付密码等。
支付业务涉及的必要个人信息 Necessary Personal Data related to Payment
支付业务涉及的必要个人信息包括但不限于姓名、身份证和护照等证件类识别标识、手机号码、固定电话号码、电子邮箱、工作及家庭地址以及支付业务中采集或产生的其他个人信息。
其他支付相关信息 Other Related Payment Data
其他支付相关信息指机构或商户名称、机构或商户编码、批量制卡文件、加密密钥、终端编码、终端序列号、设备标识、支付应用软件标识、 IP地址、交易位置信息等。
身份鉴别 Authentication
身份鉴别用来验证身份或证实信息完整性的过程。
生物鉴定 Bimetrics
生物鉴定指通过身体的某些特征或行为，例如指纹、视网膜图案、声音或签名等验证人的身份的方法。
分级 Classification
分级将信息分成许多类别，以便对不同类别施行适当控制的方法。可以基于信息的类别、重要程度、潜在的欺诈危险性或敏感度进行分类。
敏感支付信息 Sensitive Payment Data
敏感支付信息作为支付要素能够直接完成交易且一旦泄漏将对信息主体的资金安全造成严重影响的支付信息，包括卡片有效期、磁道信息（含芯片等效磁道信息）、卡片验证码（CVN及CVN2）、个人标识代码（PIN）、网络支付密码以及用于身份鉴别的个人生物特征信息等。
个人标识代码 Personal Identification Number——缩写： PIN
个人标识代码是在联机交易中识别持卡人身份合法性的数据信息。本标准中个人标识代码主要限定在发卡机构与持卡人约定的交易密码，不包含支付平台自身的客户鉴别信息，如登录密码、支付密码、生物特征信息等。
支付密码 Payment Password
支付密码指用户在商户平台、支付平台等进行网络支付交易时提供的用于完成身份鉴别的密码信息。
生物特征信息 Personal Biometric Data for Indentification
生物特征信息是指人的生理特征或行为特征，例如指纹、虹膜等信息，可用来进行个人身份的鉴定。
卡片有效期 Card Expiry Date
卡片有效期是发卡机构规定的卡片有效使用时间，印制在卡片的正面左下方位置，超过该时间后，卡片将停止使用。
卡片验证码 Card Verification Number
卡片验证码是对磁条信息合法性进行验证的代码，通常写入磁道中； CVN2是非面对面交易中验证交易者是否持有卡片的代码，通常位于卡片背面。
磁道信息 Track Information
磁道信息是一磁、二磁和三磁定义的必备或可选的数据元。磁道信息可以在物理卡的磁条上，也可以被包含在集成电路或者其他媒介上。
重要支付信息 Important Payment Data
重要支付信息指通过关联其他支付要素会对完成交易或信息主体的资金安全造成一定影响的支付信息，包括但不限于银联卡卡号、支付标记、网络支付业务中的支付账户、登录密码和查询密码、证件类识别标识、手机号码、固定电话号码、动态口令、短信验证码、密码提示问题答案、批量制卡文件、加密密钥、设备标识、 IP地址、交易位置信息以及其他可能对完成交易造成一定影响的个人信息。
登录密码 Login Password
登录密码指用户登录到商户平台、支付平台所使用的用于身份鉴别的密码信息，一般与登录用户名共同使用。
动态口令 Dynamic Password
动态口令也称动态密码，由令牌种子与其他数据，通过特定算法运算生成的一次性口令。
短信验证码 SMS Verification Code
短信验证码也称短信动态密码，是身份认证系统以手机短信形式发送到客户手机上的随机数，也是一种手机动态口令形式，客户在登录或者交易认证时输入，从而确保系统身份认证的安全性。
证件类识别标识 Identifier of Identifcation
证件类识别标识是由国家法定有权部门颁发，能够唯一确定客户的且具有法律效力的标识。
一般支付信息 General Payment Data
一般支付信息指对完成交易或信息主体的资金安全影响较小或无影响的支付信息，包括但不限于网络支付用户注册名和登录名、用户ID、姓名、电子邮箱、工作及家庭地址、终端编码、终端序列号、支付应用软件标识以及支付业务中采集或产生的其他个人信息。
双人控制 Dual Control
双人控制指利用两个或多个人共同协调操作以保护敏感支付信息，确保任何一个人均不能单独访问、使用敏感支付信息。
双重控制 Double Control
双重控制指单个人员不能控制保护项的过程。
互联网协议 Internet Protocol——缩写： IP
互联网协议是一种网络层协议，包含地址信息和部分控制信息，数据包根据这些信息被路由，IP是互联网协议集中最重要的网络层协议。
互联网协议安全性 Internet Protocol Security——缩写： IPSEC
互联网协议安全性是一系列由互联网工程工作组（IETF）正式制定的，基于IP网络（包括Intranet、 Extranet和Internet）的开放性IP安全标准，通过对所有IP数据包进行加密和认证以确保IP通信安全。
安全套接层 Secure Sockets Layer——缩写： SSL
安全套接层是一种国际标准的加密及身份认证通信协议，能在浏览器和服务器之间建立一条安全的、可信任的通讯通道，确保数据保密性、完整性和相互鉴定。
公共网络 Public Network
公共网络是普通大众都可以进入的网络，包括国际互联网和公共电话系统。
不可逆加密 Irreversible Encryption
不可逆加密将原文转换成加密形式，但这种加密形式是不能还原的一种加密方式。
硬加密 Hard Encryption
硬加密是指终端配备专用密码键盘（密码输入模块与加密模块无缝连接，且密码键盘具备“开机自毁”功能），使用专用密码键盘中的加密芯片进行加密。
强效加密 Strong Cryptography
强效加密指使用经过行业测试和认可的加密算法和密钥长度，对数据进行加密保护的方法。包括但不限于AES（128位和更高）、 TDES/TDEA（最少三倍长的密钥）、 RSA（2048位和更高）、 ECC（224位和更高）以及 DSA/D-H（2048/224位和更高）、 SM2（256位）、SM4（128位）。
穿行测试 Walk-through Test
穿行测试指在正常运行条件下，将初始数据输入控制流程，穿越全流程和所有关键环节，把实际运行结果与控制设计要求对比，以发现控制流程缺陷的方法。
弱点扫描 Vulnerability Scanning
弱点扫描指利用漏洞扫描工具，采用模拟攻击的形式对系统组成元素可能存在的安全漏洞进行逐项检查和评估，以尽早发现安全漏洞并进行修补，消除安全隐患。按照工作模式，漏洞扫描器分为主机漏洞扫描器和网络漏洞扫描器。其中前者基于主机，通过在主机系统本地运行代理程序来检测系统漏洞，例如操作系统扫描器和数据库扫描器。后者基于网络，通过请求/应答方式远程检测目标网络和主机系统的安全漏洞。
渗透性测试 Penetration Test
渗透性测试指经过授权的，从一个攻击者的角度采用可控制、非破坏性质的方法和手段发现目标服务器和网络设备中存在的弱点来检查和审核一个网络系统的安全性的过程。
访问权限控制 Access Control
访问权限控制是指通过授权接触信息的人来限制接触信息和信息处理资源的功能。
物理访问控制 Physical Access Control
物理访问控制是指在未授权人员和被保护的信息来源之间设置物理保护的控制。
逻辑访问控制 Logical Access Control
逻辑访问控制指利用其他方法控制访问。
（本汇编向支付产业各参与方发布，但仅作为参考资料供各方参考。本汇编由中国银联股份有限公司起草。)
银联商务微信服务号
银联商务微信订阅号
沪公网安备 31011502007281号