GB/T 27912-2026 金融服务 生物特征识别 安全框架

ICS3524040

CCSA.11.

中华人民共和国国家标准

GB/T27912—2026

代替GB/T27912—2011

金融服务生物特征识别安全框架

Financialservices—Biometrics—Securityframework

ISO190922023MOD

(:,)

2026-09-28发布2027-04-01实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T27912—2026

目次

前言

…………………………Ⅲ

引言

…………………………Ⅴ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………2

缩略语

4……………………7

金融服务背景下的生物特征识别技术

5…………………8

概述

5.1…………………8

通用的安全注意事项

5.2………………9

个人设备漏洞及控制策略

5.3…………9

生物特征验证与生物特征辨识

5.4……………………9

生物特征模态和核心系统

6………………10

概述

6.1…………………10

生物特征模态

6.2………………………10

生物特征识别系统及其配套系统

6.3…………………12

金融生物特征认证系统可用性考量

7———………………18

概述

7.1…………………18

生物特征模态的特性

7.2………………18

生物特征识别系统的性能与评估

7.3…………………18

金融生物特征认证系统架构

8———………………………20

概述

8.1…………………20

概念性业务架构

8.2……………………21

技术架构

8.3……………21

注册架构

8.4……………22

设备和相关的生物特征认证架构

8.5PBP……………22

金融生物特征认证系统威胁和漏洞

9———………………28

通用威胁考量

9.1………………………28

生物特征呈现漏洞

9.2…………………29

比对决策和存储子系统漏洞

9.3、……………………30

金融生物特征认证系统安全要求

10———………………31

通则

10.1………………31

通用的安全要求

10.2…………………31

身份注册

10.3…………………………32

呈现

10.4………………33

数据的存储和处理

10.5………………33

Ⅰ

GB/T27912—2026

比对与决策

10.6………………………34

登记

10.7………………34

再登记

10.8……………35

细化

10.9………………35

验证

10.10………………35

辨识

10.11………………36

终止

10.12………………36

中止和重新激活

10.13…………………37

存档

10.14………………37

安全符合性验证

10.15…………………37

附录资料性生物特征识别应用场景

A()………………39

概述

A.1………………39

卡片

A.2PBP…………………………39

互联网的卡片

A.3PBP………………40

移动支付设备

A.4……………………41

移动支付终端

A.5……………………43

附录资料性生物特征识别环境的威胁和漏洞

B()……………………45

卡的漏洞和缓解措施

B.1………………45

移动设备的漏洞和缓解措施

B.2………………………45

附录规范性生物特征识别安全控制清单

C()…………47

概述

C.1…………………47

通用安全控制

C.2………………………47

生物特征基准数据生命周期控制

C.3………………48

附录资料性技术差异及其原因一览表

D()……………51

参考文献

……………………53

Ⅱ

GB/T27912—2026

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

本文件代替金融服务生物特征识别安全框架与相

GB/T27912—2011《》,GB/T27912—2011

比除结构调整和编辑性改动外主要技术变化如下

,,:

增加更改和删除了部分术语见第章年版的第章

a)、(3,20114);

增加和删除了部分缩略语见第章年版的第章

b)(4,20115);

增加了金融服务背景下的生物特征识别技术见第章

c)(5);

更改了生物特征模态和核心系统见第章年版的第章第章

d)(6,20116、8);

增加了金融生物特征认证系统的可用性考量架构威胁和漏洞安全要求见第章

e)、、、(7~10);

增加了生物特征识别安全控制清单见附录

f)(C);

删除了技术方面的考虑见年版的第章

g)(20117);

删除了管理和安全要求见年版的第章

h)(20119);

删除了安全基础设施见年版的第章

i)(201110);

删除了生物特征身份确认的控制目标见年版的第章

j)(201111);

删除了生物特征登记见年版的附录

k)(2011B);

删除了安全考虑见年版的附录

l)(2011C);

删除了生物特征识别设备的安全要求见年版的附录

m)(2011D);

删除了现有的应用见年版的附录

n)(2011E)。

本文件修改采用金融服务生物特征识别安全框架

ISO19092:2023《》。

本文件与相比存在较多技术差异在所涉及的条款的外侧页边空白位置用垂直

ISO19092:2023,,

单线进行了标识这些技术差异及其原因一览表见附录

(|)。D。

本文件做了下列编辑性改动

:

在生物特征样本的定义下增加示例包含指纹图像的记录是生物特征样本

———3.14:;

增加部分缩略语

———;

后增加示例

———10.6.2a);

调整附录附录的顺序与正文中的引用顺序保持一致

———A、B,;

附录表中删除第一个编号条款以及该行之上的行

———CC.2,29Controlcriteria。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国金融标准化技术委员会归口

(SAC/TC180)。

本文件起草单位北京国家金融标准化研究院有限责任公司中国人民银行福建省分行中国人民

:、、

银行湖北省分行中国人民银行甘肃省分行紫光数字影像科技广东有限公司中国银联股份有限公

、、()、

司中国人民银行武威市分行北京银联金卡科技有限公司中国工商银行股份有限公司中国人民银行

、、、、

三明市分行中国人民银行龙岩市分行中国人民银行吉林省分行中国人民银行吉林市分行中国人民

、、、、

银行张掖市分行中国人民银行白银市分行中国人民银行云南省分行中国农业银行股份有限公司

、、、、

交通银行股份有限公司招商银行股份有限公司中信银行股份有限公司中金金融认证中心有限公司

、、、、

北京数字认证股份有限公司北京中科虹霸科技有限公司金电信息科技北京有限责任公司甘肃银

、、()、

行股份有限公司杭州银行股份有限公司徽商银行股份有限公司广东南粤银行股份有限公司武汉农

、、、、

村商业银行股份有限公司重庆农村商业银行股份有限公司广州银行电子结算中心蚂蚁科技集团股

、、、

Ⅲ

GB/T27912—2026

份有限公司浙江中正智能科技有限公司中关村智联软件服务业质量创新联盟

、、。

本文件主要起草人韩竺吾刘运林羽刘晓段国建乔梁汤洋彭秋蕾李沐阳周刚李远

:、、、、、、、、、、、

赵海李恩达邵淼饶宇熹邱显超彭晓圆李伟强周庆斌丁一马小琼邓琳莹韩博李瓒陈欢

、、、、、、、、、、、、、、

王益萱唐云霞袁凡钱菲顾幸男张腾腾张洪鹏许晓亮李川华夏周亮李喆方彧胡元瑞

、、、、、、、、、、、、、、

王娟娟陆碧波梁敏黄群

、、、。

本文件及其所代替文件的历次版本发布情况为

:

年首次发布为

———2011GB/T27912—2011;

本次为第一次修订

———。

Ⅳ

GB/T27912—2026

引言

零售电子交易的安全认证历来以基于卡及的技术为核心保障机制然而随着新技术的涌现

PIN。,

和传统技术的发展采用个人生物特征识别技术作为交易认证的替代或补充方法已成为可能

,。

生物特征识别是一种识别个体身份的机制包括使用指纹虹膜和面部图像等识别方式

,、。

生物特征识别系统在公众中的广泛应用取决于多重因素

:

便利性和易用性

———;

适当的安全水平

———;

性能

———;

非入侵性

———。

本文件为金融业零售支付领域生物特征识别技术的整合应用提供安全指南涵盖从组件到系统层

,

面的基于卡或其他技术的实施方案同时包含兼容性验证的相关建议需要说明的是本文件中的指南

,。,

并不能保证某一特定的实施方案能够抵御所有威胁部署此类技术的金融机构有责任根据机构自身安

。

全风险管理流程采取适当的控制措施以有效应对相关威胁

,。

Ⅴ

GB/T27912—2026

金融服务生物特征识别安全框架

1范围

本文件规定了在金融服务主要针对零售支付场景中使用生物特征识别技术对客户进行身份认证

()

的安全框架并介绍了最常见的生物特征识别技术类型和相关应用问题本文件还描述了实现生物特

,。

征认证的典型架构和相关的最小控制目标

。

本文件的适用范围包括

:

基于以下目的的生物特征识别技术应用

———:

对声称身份的验证

●;

个体身份辨识

●;

生物特征认证威胁漏洞和控制措施

———、;

支持身份认证的登记凭证验证

———;

生物特征信息的全生命周期管理包括登记传输和存储验证识别和销毁过程

———,、、、;

与生物特征采集和生物特征数据处理配套使用的硬件安全要求

———;

生物特征认证架构和相关安全要求

———。

本文件的适用范围不包括

:

生物特征数据采集特征提取与比对识别决策流程的详细技术规范

———、、;

生物特征识别技术在非金融交易场景中的应用例如物理或逻辑的系统访问控制

———,。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

所有部分信息安全技术椭圆曲线公钥密码算法

GB/T32918()SM2

金融服务密钥管理零售

ISO11568()[Financialservices—Keymanagement(retail)]

注银行业务密钥管理零售第部分一般原则

:GB/T27909.1—2011()1:(ISO11568-1:2005,MOD)

银行业务密钥管理零售第部分对称密码及其密钥管理和生命周期

GB/T27909.2—2011()2:

(ISO11568-2:2005,MOD)

银行业务密钥管理零售第部分非对称密码系统及其密钥管理和生命周期

GB/T27909.3—2011()3:

(ISO11568-4:2007,MOD)

银行业务密钥管理零售第部分使用公开密钥密码的密钥管理技术

GB/T21082.4—2007()4:

(ISO11568-4:1998,MOD)

金融服务安全加密设备零售第部分概念和要求

ISO13491-1()1:[Financialservices—

Securecryptographicdevices(retail)—Part1:Conceptsandrequirements]

注金融服务安全加密设备零售第部分概念要求和评估方法

:GB/T21079.1—2022()1:、(ISO13491-1:

2016,MOD)

金融服务安全加密设备零售第部分金融交易中设备安全符合性检测清单

ISO13491-2()2:

[Financialservices—Securecryptographicdevices(retail)—Part2:Securitycompliancechecklistsfordevices

usedinfinancialtransactions]

1