Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO 13491——金融服务零售安全加密设备（概念、要求与安全合规清单）标准系列
Financial Services — Secure Cryptographic Devices (Retail)（第 1 部分 2016 / 第 2 部分 2017）
🔐 BS ISO 13491 是英国标准协会（BSI）采用 ISO 13491 形成的英国国家标准，规定金融服务领域零售安全加密设备（如加密 PIN 键盘、ATM、POS 终端中的安全模块）的概念、要求与评估方法，以及用于金融交易设备的安全合规清单。零售金融交易高度依赖加密技术保护 PIN、密钥与交易数据，安全加密设备是防篡改、防攻击的核心。该系列由两个部分构成：第 1 部分规定概念、要求与评估方法，第 2 部分规定用于金融交易设备的安全合规清单。
💡 零售安全加密设备的价值在于”可信边界”：设备内置安全模块（如加密处理器、安全存储），在物理与逻辑上抵御攻击，确保 PIN 与密钥在设备内不被窃取或篡改。
一、系列概述与标准构成 📌
本系列由 BSI 技术委员会 IST/12（金融服务）负责英国方面制定，直接采用 ISO 13491 文本。第 1 部分（BS ISO 13491-1:2016）取代已撤销的 BS ISO 13491-1:2007；第 2 部分（BS ISO 13491-2:2017）取代已撤销的 BS ISO 13491-2:2016。两部分 ICS 分类号均为 35.240.40（信息技术在银行与金融服务中的应用）。
| 标准编号 | 中文标题 | 规定对象 | 主要内容 |
|---|---|---|---|
| BS ISO 13491-1:2016 | 金融服务——零售安全加密设备——第 1 部分：概念、要求与评估方法 | 设备总体 | 安全加密设备概念、攻击场景、安全要求与评估方法 |
| BS ISO 13491-2:2017 | 金融服务——零售安全加密设备——第 2 部分：用于金融交易设备的安全合规清单 | 合规清单 | 安全合规清单的构成、使用与合规评估 |
⚠️ 金融安全设备必须经受对抗性攻击评估。评估方法应涵盖物理攻击、侧信道攻击、逻辑攻击与故障注入等，任何未经验证的设备不得用于关键交易场景。
二、概念、要求与评估方法（第 1 部分）🛡️
第 1 部分规定零售安全加密设备的概念、要求与评估方法。标准定义安全加密设备的概念与安全边界，给出常见攻击场景（如探针、拆卸、侧信道、故障注入、逻辑攻击等），并规定设备应满足的安全要求。
标准强调设备的抗篡改与安全保护能力：密钥与敏感数据应安全存储与销毁，物理防护应能检测并响应攻击，逻辑接口应经过安全设计。评估方法用于验证设备是否符合安全要求，为设备认证与采购提供依据。
2.1 安全边界与攻击场景
安全边界是设备中所有敏感操作（PIN 验证、密钥运算、数据加解密）的可信环境。标准逐一分析攻击者可能采取的手段：物理探针与电路分析获取存储内容，拆卸外壳绕过防护，通过功耗与电磁辐射进行侧信道分析，通过电压与时钟扰动实施故障注入，以及利用软件漏洞实施逻辑攻击。评估方法针对这些场景设计对应的验证试验。
2.2 密钥管理与敏感数据处理
密钥生命周期（生成、存储、分发、使用、销毁）必须全部处于安全控制之下。标准要求密钥以明文形式出现的场景尽可能少且受监控，未使用的密钥与临时数据应及时销毁；PIN 输入、传输与验证过程中的中间值不得以可恢复的形式泄露到安全边界之外。
✅ 概念核心：安全边界内的一切敏感操作应在一个可验证的可信环境中完成，边界外不应泄露可用信息；一旦检测到篡改企图，设备应触发密钥销毁等响应机制。
三、安全合规清单（第 2 部分）📋
第 2 部分规定用于金融交易设备的安全合规清单。合规清单是一组结构化的安全检查项，用于评估设备是否符合第 1 部分的安全要求。标准规定合规清单的使用方式（如正式评估与非正式评估），并给出合规评估的流程与判定方法。
合规清单使安全评估更具操作性：评估人员可按清单逐项核查设备的物理防护、密钥管理、访问控制、审计与日志等，形成一致的合规结论，便于跨机构、跨区域互认。
🚨 合规清单不能替代深入的安全评估。清单作为一致性核查工具，对高风险、新型攻击或复杂设备，仍应结合专业安全分析与渗透测试。
四、关键安全要求与实施要点 📊
- 物理防护：设备应具备防拆卸、防探针、防篡改检测与响应能力。
- 密钥管理：密钥生成、存储、分发、使用与销毁应符合安全要求。
- 访问控制：敏感操作应进行身份认证与授权，防止未授权访问。
- 审计与日志：记录关键安全事件，支持事后分析与追溯。
- 评估与认证：按第 1 部分评估方法完成评价，并留存评估报告供监管与审计查阅。
五、工程实践应用 🛠️
- ATM 与 POS 终端：内置安全加密模块保护 PIN 输入与交易数据。
- 支付安全：用于银行卡支付、二维码支付等场景的设备安全评估与认证。
- 设备采购：金融机构按合规清单与认证结果选择安全设备。
- 合规审计：定期对在用设备进行合规核查，发现并整改安全隐患。
- 供应链安全：从交付、安装到运维全过程保持设备完整性与可追溯性，防止中途被替换或改装。
六、常见问题解答 ❓
❓ 问：零售安全加密设备保护什么？
答：主要保护 PIN、密钥、交易数据与认证信息，防止窃取、篡改与未授权使用。
答：主要保护 PIN、密钥、交易数据与认证信息，防止窃取、篡改与未授权使用。
❓ 问：为何要评估攻击场景？
答：设备面临对抗性攻击，评估各类攻击场景可验证防护有效性，识别并弥补薄弱环节。
答：设备面临对抗性攻击，评估各类攻击场景可验证防护有效性，识别并弥补薄弱环节。
🔍 问：合规清单与安全评估有何区别？
答：合规清单是结构化的一致性核查工具，安全评估是深入的分析与验证；清单用于常规核查，评估用于高风险或复杂场景。
答：合规清单是结构化的一致性核查工具，安全评估是深入的分析与验证；清单用于常规核查，评估用于高风险或复杂场景。
❓ 问：该系列适用于云端支付吗？
答：标准针对零售物理安全加密设备；云端与虚拟化环境的安全应参考相应支付与信息安全标准。
答：标准针对零售物理安全加密设备；云端与虚拟化环境的安全应参考相应支付与信息安全标准。
