TC68 SC2/SC7国际金融标准化组织2009年第1季度跟踪情况报告

　　2009年第1季度TC68 SC2/SC7的主要标准化动态为：1）TC68、SC7及ISO 20022RMG将于2009年5月18日－20日在巴西里约热内卢召开年会，我国作为P成员国将参加上述年会；2）ISO DIS 22895《金融服务 安全 密码语法方案》制定工作由于缺乏足够的技术专家以及在范围界定上存在分歧而终止；3）ISO/CD 9564-1《银行业务 个人识别码的管理与安全 第1部分：基于识别卡系统的PIN处理的基本原则和要求》形成委员会草案稿，该草案稿较上一版标准做了大幅度的改动，适用范围扩大到ATM、POS机之外，增加了PIN BLOCK应用安全要求等内容，并将原标准的预计结构由4部分调整为3部分；4）瑞士标准化协会（SNV）正式成为ISO 4217:2008《表示货币和资金的代码》标准维护机构秘书处；5）其它标准的制修订也取得了不同进展，具体跟踪情况如下：

　　一、安全管理和基本银行业务操作分技术委员会（Security management and general banking operations），简称SC2

　　1、分委员会情况介绍

　　SC2主要负责与金融业务相关的安全标准的制定和维护。秘书处设在美国标准化协会（American National Standards Institute，简称ANSI），共有20个P成员国和17个O成员国。在TC68发布的46项有效标准中，SC2负责维护的标准共计18项，约占TC68发布标准的一半，是TC68的重要分委会。目前，SC2下设4个工作组开展本领域的标准化工作：

　　在建工作项目及其简要工作计划如下：
　　

　　2、工作动态及标准制修订情况

　　本季度SC2致力于已有标准的制修订，没有新项目提案及新国际标准发布，主要标准化动态如下：

　　（1）《银行业务 个人识别码的管理与安全 第1部分：基于识别卡系统的PIN处理的基本原则和要求》形成委员会草案（ISO CD 9564-1）。该草案为ISO 9564-1:2002的修订版，较上一版的主要差异如下：

　　a） 标准名称由2002版的《银行业务 个人识别码的管理和安全 第1部分：ATM和POS系统中联机PIN处理的基本原则和要求》改为《银行业务 个人识别码的管理与安全 第1部分：基于识别卡系统的PIN处理的基本原则和要求》；

　　b） 标准的预计结构由原来的4部分改为3部分，去掉了原标准《银行业务 个人识别码的管理与安全 第3部分：ATM和POS系统中脱机PIN处理要求》，并且第4部分的名称也由原来的《银行业务 个人识别码的管理和安全 第4部分：开放网络中PIN处理指南》改为《银行业务 个人识别码的管理和安全 第4部分：开放网络中PIN处理优选方法》；

　　c） 标准的适用范围由ATM、POS机扩大到自动加油站、自动售货机、PIN更换/选择系统等，并将联机和脱机PIN的处理原则和要求纳入到一个标准中；

　　d） 增加了基于IC卡应用的脱机PIN的验证要求；

　　e） 增加了PIN BLOCK使用的安全要求，这些要求包括：

　　Ø 应采用适当的控制措施来避免与卡发布有关功能的误用；
　　Ø 不应将标准的PIN BLOCK格式转化为非标准的PIN BLOCK格式；
　　Ø PIN BLOCK格式2的使用应限制在IC卡环境中的离线PIN验证和PIN变更上；
　　Ø 不应将包含主账号（PAN）的PIN BLOCK格式转换为不包含主账号的PIN BLOCK格式；
　　Ø 当包含主账号（PAN）的PIN BLOCK格式转换时，不应进行PAN的变更；
　　Ø 仅PIN BLOCK格式0-3支持由PIN及PAN的导出计算，如PIN验证码、PIN偏移值；
　　Ø 明文PIN BLOCK的完整性验证应依赖于PIN BLOCK的首字节及填充数字。
　　
　　f） 删去了密钥管理一般原则、PIN验证技术、用于联机PIN加密的PIN输入设备、伪随机PIN生成例子等资料性附录。

　　该标准修订版从整体来看适用范围更广，结构更紧凑，并增加了PIN BLOCK应用安全限制等内容，符合当前PIN处理的安全需求，对防范当前不断出现的新的金融安全攻击具有重要意义。

　　（2） ISO DIS 22895《金融服务 安全 密码语法方案》标准终止制定

　　《金融服务 安全 密码语法方案》标准是SC2根据金融领域最新技术发展及应用需求而新推出的标准。该标准拟定义一套通用的密码报文语法方案，以对ISO 20022标准做进一步的补充和完善。该标准由于面临下述困难而终止制定：

　　a） 缺乏足够的技术专家参与，只有法国、英国、美国参与；

　　b） 标准范围的界定上存在分歧：一种意见认为该标准应只对密码语法方案做一般性规定，另一种意见认为该标准中应包含具体的技术性内容；

　　c） 两次形成最终国际标准草案（FDIS）的投票，均未通过。

　　目前，SC2正在进行解散WG4（金融服务业密码报文结构）的投票。

　　二、银行核心业务分技术委员会（Core banking），简称SC7

　　1、分委员会情况简介

　　SC7主要负责银行核心业务领域中与基本银行业务，如存款提取、放贷、账户维护以及与支付过程相关的标准制订。秘书处设在法国标准化协会（Association française de normalisation，简称AFNOR），共有22个P成员国，16个O成员国。

　　在TC68发布的45项有效标准中，SC7负责维护的标准共计12项，目前下设4个工作组开展本领域的标准化工作：

　　在建工作项目及其简要工作计划如下：

　　2、工作动态及标准制修订情况

　　本季度SC7致力于已有标准的制修订，没有新项目提案及新国际标准发布，主要标准化动态如下：

　　（1）ISO TMB“个人隐私工作组”积极推动个人隐私领域的标准化工作

　　为推动个人隐私领域的标准化工作，ISO TMB“个人隐私工作组”最近在ISO TC68/SC7、ISO JTC1等相关标准化组织中征集有关个人隐私领域标准化需求及现状等的问卷调查，问卷内容包括：

　　a) 各国或标准化组织在“个人信息保护、公平信息处理”等方面的标准化情况；

　　b) 如果正在开展上述工作，需要ISO TMB提供哪些指南或帮助？

　　c) 希望ISO TMB进一步开展的标准化工作是什么？

　　针对上述问题SC7答复如下：

　　a） SC7已发布了ISO 22307:2008隐私影响评估标准，该标准给出了隐私影响评估方面的指导原则；

　　b） 需要ISO TMB提供有关隐私信息披露的分类级别及匿名技术；

　　c） 希望ISO TMB在制定相关标准时，充分考虑各国的规章制度，并建议将标准化的重点放在个人数据及个人的信息交互上；

　　d) 建议ISO TMB对泄漏隐私与利用隐私进行反恐及防范犯罪之间的界限给出评估标准。

　　（2）ISO/DIS 9362《银行业务 银行电信报文 银行标识代码》标准进入形成最终国际标准草案稿（FDIS）的投票阶段

　　ISO/DIS 9362为ISO 9362:1993的修订版。较前一版本，本次修订的主要变化如下：

　　将银行标识码（BIC）的定义由原来的只针对银行业扩大到金融机构、非金融机构以及相关实体，目的是便于上述机构在处理银行业及相关金融环境中的电讯报文时进行自动化处理。

　　修订后的银行标识代码（BIC）具体结构如下：

　　银行标识代码（BIC）由8位或11位字符构成，依次包括下述前三个或所有四个部分：

　　Ø 机构代码（B）
　　Ø 国家代码（C）
　　Ø 地区代码（L）
　　Ø 分支机构代码（A）

　　具体为：4an2a2an3an（BBBBCCLLAAA），其中n代表数字，a代表字母，an代表字母和数字。

　　除去“银行代码”改为“机构代码”外，有关银行标识代码（BIC）的其它规定没有变化。

　　鉴于本标准在国内外的广泛应用，我国在该标准形成最终国际标准草案的投票中投了赞成票。

　　（3）ISO/FDIS 11649《金融服务 银行核心业务 汇款业务中收款方参考号编码方法》进入形成国际标准（IS）投票阶段

　　本标准详细描述了电子环境和纸质环境中“汇款业务中收款方参考号”（RF Creditor Reference）的构成及其要素，规定了该参考号校验位的生成及校验方法，并列举了具体的应用实例。“汇款业务中收款方参考号”（RF Creditor Reference）用于在汇款业务中唯一的标识一个汇款业务文件或一组汇款业务数据，以便于交易双方能准确识别与核验汇款交易。

　　鉴于本标准有利于促进汇款业务中数据的自动化处理，降低人工干预的工作量，并提高交易数据的准确性，我国在该标准形成国际标准的投票中投了赞成票。

　　（4）ISO 9992-2:1998《金融交易卡 集成电路卡与卡接受设备之间的报文 第2部分：功能、报文（命令和响应）、数据元和结构》进行系统评估（复审）

　　ISO 9992-2标准主要规定了金融机构发行的集成电路卡（IC卡）在与卡接受设备（CAD）进行信息交互时的通用要求：

　　a） 集成电路卡（IC卡）与卡接受设备（CAD）之间报文交换所要求的功能及完成上述功能的命令和响应；

　　b） 集成电路卡（IC卡）和卡接受设备（CAD）之间进行交换时，使用的数据元标识和定义；

　　c） 报文中使用的文件和记录的逻辑结构，以及数据元映射到报文的方式。

　　鉴于ISO 9992-2:1998标准在金融行业尚有着广泛应用，故我国建议该标准继续有效。

　　（5）SC7将与“ISO/PC 235信用评价技术委员会”（Rating Services）建立联络关系

　　“ISO/PC 235信用评价技术委员会”是一个专门从事信用领域国际标准化工作的技术组织，其秘书处设在德国标准化学会（DIN）。现已有德国、丹麦、法国、韩国、荷兰、西班牙、英国等7个P成员国，另有以色列和瑞典2个O成员国。2007年5月，该委员会推出了“信用评价”国际标准（讨论稿），目前还没有正式作为国际标准发布。

　　SC7已决议通过与“ISO/PC 235信用评价技术委员会”建立联络关系。

　　（6）瑞士正式成为ISO 4217:2008《表示货币和资金的代码》标准维护机构秘书处

　　本季度公布了ISO TMB 2008 137号决议有关提名瑞士为ISO 4217标准维护机构秘书处的投票结果。共有中国、美国、英国等12个国家参与了投票，全票通过。

　　三、会议信息

　　TC68、SC7及ISO 20022RMG年会将于2009年5月18-20日在巴西里约热内卢举行。TC68报名及提交国家报告截止日期2009年4月15日；SC7报名截止日期4月18日，提交国家报告截止日期5月1日，具体会议日程草案见附件。

　　为加强与其他国家和组织在金融标准化领域的沟通与合作，学习和借鉴国外先进的经验与做法，我国作为P成员国已报名参加上述会议。

　　附件：1、TC68及SC7年会会议日程草案

　　2、2009年第1季度ISO TC68 SC2/SC7文件处理情况表

　　中国金融电子化公司

　　二〇〇九年三月三十日

附件1：TC68及SC7年会会议日程草案