T/HBPFS 005-2023 移动金融客户端应用标准

T/HBPFS005-2023

ICS03.060

CCSA11

团体标准

T/HBPFS005-2023

移动金融客户端应用标准

FinancialMobileApplicationSoftware

EnterpriseStandard

2023-12-26发布2023-12-31实施

河北省金融学会发布

T/HBPFS005-2023

目次

前言...........................................................................................................................................................2

1、范围.....................................................................................................................................................3

2、规范性引用文件.................................................................................................................................3

3、术语和定义.........................................................................................................................................3

4、缩略语.................................................................................................................................................7

5、安全性.................................................................................................................................................7

6、技术先进性.......................................................................................................................................22

7、创新及前瞻性...................................................................................................................................23

1

T/HBPFS005-2023

前言

本文件按照GB/T1.1-2020《标准化工作导则第1部分:标准化文件的结构和起草规则》

的规定起草。

本文件由中国人民银行保定市分行和保定银行股份有限公司提出。

本文件由河北省金融学会归口。

本文件起草单位：中国人民银行保定市分行保定银行股份有限公司秦皇岛银行股份有限公

司衡水银行股份有限公司北京科蓝软件系统股份有限公司

本文件的主要起草人：吴强林振英杨钊孙莉陈桂兰王林芳王震刘继勇王钊郭丰灶

王亚萱项海南尹子平张保新

2

T/HBPFS005-2023

移动金融客户端应用标准

1、范围

本文件规定了移动金融客户端应用标准，明确了安全性、规范性、技术先进性、创

新及前瞻性的规范要求。

本文件适用于移动金融客户端应用。

2、规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注

日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版

本（包括所有的修改单）适用于本文件。

GB/T35273-2020信息安全技术个人信息安全规范

JR/T0092—2019移动金融客户端应用软件安全管理规范

JR/T0171-2020个人金融信息保护技术规范

JR/T0068-2020网上银行系统信息安全通用规范

JR/T0071-2020金融行业网络安全等级保护实施指引

JR/T0118-2015金融电子认证规范

JR/T0149-2016中国金融移动支付支付标记化技术规范

3、术语和定义

下列术语和定义适用于本文件。

3.1移动金融客户端应用软件financialmobileapplicationsoftware

在移动终端上为用户提供金融交易服务的应用软件。

注1：包括但不限于可执行文件、组件等。

注2：[JR/T0092-2019，定义2.1]

3.2资金交易类客户端应用软件capitaltransactionclientapplicationsoftware

直接面向用户提供资金交易服务的移动金融客户端应用软件。

注1：包括但不限于手机银行、支付APP等。

注2：[JR/T0092-2019，定义2.2]

3.3个人信息personalInformation

以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或

者反映特定自然人活动情况的各种信息。

3

T/HBPFS005-2023

注1:个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、

通信联系方式、通信记录和内容、账号、密码、财产信息、征信信息、行踪轨迹、住宿

信息、健康生理信息、交易信息等。

注2:[GB/T35273—2017，定义3.1]

3.4个人金融信息personalfinancialinformation

金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。

注1：包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷

信息及其他反映特定个人某些情况的信息。

注2：[JR/T0092-2019，定义2.5]

3.5个人金融信息主体personalfinancialinformationsubject

个人金融信息所标识的自然人。

注:[JR/T0071-2020，定义3.4]

3.6个人金融信息控制者personalfinancialinformationcontroller

有权决定个人金融信息处理目的、方式等机构。

注1：包括但不限于银行卡磁道或芯片信息、卡片验证码、卡片有效期、银行卡密

码、网络支付交易密码等。

注2:[JR/T0071-2020，定义3.5]

3.7个人敏感信息personalSensitiveInformation

一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健

康受到损害或歧视性待遇等的个人信息。

注1:个人敏感信息包括身份证件号码、个人生物识别信息、银行账号、通信记录

和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14

周岁以下(含)儿童的个人信息等。

注2:[GB/T35273—2017，定义3.2]

3.8收集collect

获得个人金融信息的控制权的行为。

注1：收集行为包括由个人金融信息主体主动提供、通过与个人金融信息主体交互

或记录个人金融信息主体行为等自动采集行为，以及通过共享、转让、搜集公开信息等

间接获取个人金融信息等行为。

注2：如金融产品或服务提供者提供工具供个人金融信息主体使用，提供者不对个

人金融信息进行访问的，则不属于本标准所称的收集。例如手机银行客户端应用软件在

终端获取用户指纹特征信息用于本地鉴权后，指纹特征信息不回传至提供者，则不属于

用户指纹特征信息的收集行为。

注3：[JR/T0171-2020，定义3.6]

4

T/HBPFS005-2023

3.9公开披露publicdisclosure

向社会或不特定群体发布信息的行为。

注:[GB/T35273—2020，定义3.10]

3.10转让transferofcontrol

将个人金融信息控制权由一个控制者向另一个控制者转移的过程。

注1：包括但不限于银行卡磁道或芯片信息、卡片验证码、卡片有效期、银行卡密

码、网络支付交易密码等。

注2:[JR/T0171-2020，定义3.8]

3.11共享sharing

个人金融信息控制者向其他控制者提供个人金融信息，且双方分别对个人金融信息

拥有独立控制权的过程。

注:[JR/T0171-2020，定义3.9]

3.12支付账号paymentaccount

具有金融交易功能的银行账户、非银行支付机构支付账户及银行卡卡号。

注1：包括但不限于银行卡磁道或芯片信息、卡片验证码、卡片有效期、银行卡密

码、网络支付交易密码等。

注2:[JR/T0171-2020，定义3.11]

3.13支付标记paymenttoken(Token)

作为支付账号等原始交易要素的替代值，用于完成特定场景支付交易。

注:[JR/T0149—2016，定义3.2]

3.14短信验证码SMScode

后台系统以短信形式发送到用户绑定手机上的随机数，用户通过回复该随机数进行

身份认证。

注1：包括但不限于银行卡磁道或芯片信息、卡片验证码、卡片有效期、银行卡密

码、网络支付交易密码等。

注2:[JR/T0088.1—2012，定义2.44]

3.15匿名化anonymization

通过对交易信息的技术处理，使得交易信息主体无法被识别，且处理后的信息不能

被复原的过程。

注:[JR/T0171-2020，定义3.23]

5

T/HBPFS005-2023

3.16去标识化de-identification

通过对交易信息的技术处理，使其在不借助额外信息的情况下，无法识别交易信息

主体的过程。

注1：去标识化仍建立在个体基础之上，保留了个体颗粒度，采用假名、加密、加

盐的哈希函数等技术手段替代对个人金融信息的标识。

注2:[JR/T0171-2020，定义3.24]

3.17删除delete

在金融产品和服务所涉及的系统中去除交易信息的行为，使其保持不可被检索、访

问的状态。

注:[JR/T0171-2020，定义3.25]

3.18语音识别automaticspeechrecognition

将人类语音中的词汇内容转换为计算机可读的输入。

示例：按键、二进制编码或者字符序列。

3.19语音合成texttospeech

将文本信息转化为语音数据的技术，涉及声学、语言学、数字信号处理、多媒体等

多种前沿的高新科技。

3.20自然语言理解naturallanguageprocessing

使用自然语言同计算机进行通讯的技术。

3.21第三方信源thethirdpartysource

客户端应用软件调用语音能力时可以接入的第三方服务。

6

T/HBPFS005-2023

4、缩略语

下列缩略语适用于本文件。

APP：客户端应用软件（ApplicationSoftware）

URI：统一资源标识符（UniformResourceIdentifier）

TEE：可信执行环境（TrustedExecutionEnvironment）

SDK：软件开发工具包（SoftwareDevelopmentKit）

SE：安全单元（SecureElement）

5、安全性

5.1总则

移动金融客户端软件的开发、设计、运维、身份认证安全、逻辑安全、安全功能设

计、密码算法以及密钥管理、数据安全、个人金融信息保护等均应符合JR/T0092—2019

《移动金融客户端应用软件安全管理规范》、JR/T0171—2020《个人金融信息保护技

术规范》、JR/T0068-2020《网上银行系统信息安全通用规范》。

5.2基本安全要求

5.2.1密码算法

a)客户端应用软件应使用密码算法对资金有关交易或重要业务操作进行保护。

b)密码算法、密钥长度及密钥管理方式应符合国家密码主管机构要求的国产商用

密码算法提出要求。

c)密钥在传输过程中应使用密码算法对密钥进行保护。

d)随机生成的密钥应具有一定的随机性与不可预测性。

e)密钥应加密存储，并确保密钥储存位置和形式的安全。

[JR/T0092-2019，定义5.4]

5.2.2风险提示

应对客户端运行环境进行安全评测，并根据安全评测情况对客户进行风险提示：

a)应对客户端运行环境的安全状况进行检测并向后台系统反馈，并将此作为风控策

略的依据。

b)应采取有效措施提升客户端环境安全级别，针对不同的安全等级采取相应的风

7

T/HBPFS005-2023

险控制措施。

c)应在门户站点等渠道发布客户端环境安全的提示。

d)当发现客户端环境存在重大安全缺陷或安全威胁时，应采取必要措施对用户进

行警示或拒绝交易。

e)当移动金融客户端软件进入后台时，对客户进行风险提示。

[JR/T0068-2020，定义6.2.1.2]

5.2.3缺陷解决率

应每年对移动金融客户端及服务器进行渗透测试和安全评估，对于在渗透测试、安

全评估等过程中发现的缺陷和漏洞