《商业银行应用程序接口安全管理规范》 JR_T 0185—2020.pdfVIP

ICS 35.240.40 A 11 JR 中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T 0185—2020 商业银行应用程序接口安全管理规范 Commercial bank application programming interface secure management specification 2020 - 02 - 13 发布 2020 - 02 - 13 实施 中国人民银行 发 布 JR/T 0185—2020 商业银行应用程序接口安全管理规范 1 范围 本标准规定了商业银行应用程序接口的类型与安全级别、安全设计、安全部署、安全集成、安全运 维、服务终止与系统下线、安全管理等安全技术与安全保障要求。 本标准适用于商业银行对外互联的应用程序接口的设计和应用，以指导从事或参与商业银行应用程 序接口服务的银行业金融机构、集成接口服务的应用方开展相关工作，并为第三方安全评估机构等单位 开展安全检查与评估工作提供参考（接口类型关系详见附录A）。其他类型应用程序接口的设计和应用 可参照本标准执行。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。 凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 25069 信息安全技术 术语 JR/T 0071 金融行业信息系统信息安全等级保护实施指引 JR/T 0124—2014 金融机构编码规范 3 术语和定义 GB/T 25069界定的以及下列术语和定义适用于本文件。 3.1 应用程序接口 application programming interface 一组预先定义好的功能，开发者可通过该功能（或功能的组合）便捷地访问相关服务，而无需关注 服务的设计与实现。 3.2 应用方 application agency 调用商业银行应用程序接口的机构。 3.3 应用程序接口唯一标识 application programming interface unique ID 由商业银行自行定义，用于区分商业银行应用程序接口功能的唯一标识。 3.4 应用程序接口统一识别码 uniform application programming interface ID 商业银行依据行业主管部门发布的编码规则，生成的商业银行应用程序接口统一识别码。 注：用于标识商业银行机构代码、接口类型、服务类别、接口顺序号等内容。 1 JR/T 0185—2020 3.5 应用软件开发工具包 software development kit 基于特定软件包、软件框架、硬件平台、操作系统等建立应用程序时所使用的软件开发工具集合。 3.6 应用唯一标识 application unique ID 在应用方身份核验通过后，根据其调用的金融产品与服务类型，由商业银行为其授予的唯一标识。 注：包括服务器端应用标识与移动终端应用软件标识两种。 3.7 应用鉴别密文 application secret 应用合法性鉴别凭证，与应用唯一标识配套使用，以验证通过API 方式接入的应用合法性，接入验 证通过后，即可完成系统对接，调用应用程序接口或使用应用程序接口提供的功能和数据。 3.8 移动金融客户端应用软件 financial mobile application software 在移动终端上为用户提供金融交易服务的应用软件。 注：包括但不限于可执行文件、组件等。 3.9