标准对mPOS的要求分为基本要求和叠加要求两部分，均属于通用技术要求范围，对具体实现方案不进行限制。
1、基本要求
根据原有标准，为mPOS的主要组成部分设置基础和前提性的要求，主要包括：受理终端应首先满足《PIN输入设备安全规范》要求；上位机软件应首先满足《支付应用软件安全规范》；后台处理系统应满足《银联卡收单机构账户信息安全管理标准》、《银联卡账户信息与交易数据安全管理规则》、《第三方机构接入银联技术安全要求》等要求。
2、叠加要求
在基本要求基础上，对各部分提出针对mPOS特点的叠加要求，具体项目不再赘述，仅对关键内容概括举例如下：
对于受理终端，应具有安全读取账户信息的功能（包括磁条卡和IC卡），对卡片数据进行有效保护；应能够显示交易类型、金额、结果等足够操作和判断的信息，并确保提示信息收到保护；设备固件、程序的下载和更新应具有合法性的验证机制；设备应保证“一机一密”要求的落实，并建议在交易过程中实现“一次一密”密钥机制；应有设备签到机制，并向后台处理系统上送设备序列号，同时具有对后台系统合法性的验证能力；对外提供的加密功能进行限制，对外提供MAC校验功能需进行关键域校验或强制填充；传输协议和接口进行安全保护；私有密钥和证书进行安全保护；具备抗重放机制等。
对于上位机（支付应用软件），要求上送上位机唯一特征码作为参考信息；与后台系统之间采用安全协议进行数据传输；具有用户访问控制；建议上送地理位置信息。
对于后台处理系统，要求对受理终端进行合法性验证，并与受理终端配合实现防交易重放的功能。
3、其他方面
mPOS的前端核心安全主要由受理终端实现，由支付应用软件和后台处理系统配合。但受理终端主要提供设备安全，整体上必须由实际部署的应用流程和安全机制给予有效支撑。因此，在支付应用软件的认证过程中，要求提交详细的整体设计方案（包括受理终端至后台处理系统的交互全流程和关键操作）供初步评估。
《要求》自2014年6月发布之日起即生效，要求生产企业按规范进行产品开发和生产制造。自2014年10月1日起，新采购的产品应通过银联安全认证。
为支持市场创新和尝试，不因规范而限制市场发展，在mPOS规范发布前，对于mPOS受理终端部分按已有的《PIN输入设备安全规范》进行规范和认证，上位机软件按《支付应用软件安全规范》进行规范和认证。这两项正是mPOS要求的主要组成部分，在mPOS规范未发布之时，既支持市场创新，又给出了基本的安全基础。已布放的mPOS产品，如不满足《要求》的，收单机构应采取有效手段加强安全管理和控制，并于2015年1月1日前完成改造。
对于mPOS产品，将为通过认证的外接专用受理终端发放《受理终端安全证书》，为上位机软件发放《支付应用软件安全证书》，并在类型或备注信息中提示“属于mPOS硬件设备部分”或“mPOS移动通讯设备端软件部分”，供收单机构区分和辨识。
对于后台处理系统将不进行专门认证，建议收单机构自行加强安全设计和管理。
下一讲我们将一起学习国外mPOS标准的情况，敬请关注、分享。
标准对mPOS的要求分为基本要求和叠加要求两部分，均属于通用技术要求范围，对具体实现方案不进行限制。
1、基本要求
根据原有标准，为mPOS的主要组成部分设置基础和前提性的要求，主要包括：受理终端应首先满足《PIN输入设备安全规范》要求；上位机软件应首先满足《支付应用软件安全规范》；后台处理系统应满足《银联卡收单机构账户信息安全管理标准》、《银联卡账户信息与交易数据安全管理规则》、《第三方机构接入银联技术安全要求》等要求。
2、叠加要求
在基本要求基础上，对各部分提出针对mPOS特点的叠加要求，具体项目不再赘述，仅对关键内容概括举例如下：
对于受理终端，应具有安全读取账户信息的功能（包括磁条卡和IC卡），对卡片数据进行有效保护；应能够显示交易类型、金额、结果等足够操作和判断的信息，并确保提示信息收到保护；设备固件、程序的下载和更新应具有合法性的验证机制；设备应保证“一机一密”要求的落实，并建议在交易过程中实现“一次一密”密钥机制；应有设备签到机制，并向后台处理系统上送设备序列号，同时具有对后台系统合法性的验证能力；对外提供的加密功能进行限制，对外提供MAC校验功能需进行关键域校验或强制填充；传输协议和接口进行安全保护；私有密钥和证书进行安全保护；具备抗重放机制等。
对于上位机（支付应用软件），要求上送上位机唯一特征码作为参考信息；与后台系统之间采用安全协议进行数据传输；具有用户访问控制；建议上送地理位置信息。
对于后台处理系统，要求对受理终端进行合法性验证，并与受理终端配合实现防交易重放的功能。
3、其他方面
mPOS的前端核心安全主要由受理终端实现，由支付应用软件和后台处理系统配合。但受理终端主要提供设备安全，整体上必须由实际部署的应用流程和安全机制给予有效支撑。因此，在支付应用软件的认证过程中，要求提交详细的整体设计方案（包括受理终端至后台处理系统的交互全流程和关键操作）供初步评估。
《要求》自2014年6月发布之日起即生效，要求生产企业按规范进行产品开发和生产制造。自2014年10月1日起，新采购的产品应通过银联安全认证。
为支持市场创新和尝试，不因规范而限制市场发展，在mPOS规范发布前，对于mPOS受理终端部分按已有的《PIN输入设备安全规范》进行规范和认证，上位机软件按《支付应用软件安全规范》进行规范和认证。这两项正是mPOS要求的主要组成部分，在mPOS规范未发布之时，既支持市场创新，又给出了基本的安全基础。已布放的mPOS产品，如不满足《要求》的，收单机构应采取有效手段加强安全管理和控制，并于2015年1月1日前完成改造。
对于mPOS产品，将为通过认证的外接专用受理终端发放《受理终端安全证书》，为上位机软件发放《支付应用软件安全证书》，并在类型或备注信息中提示“属于mPOS硬件设备部分”或“mPOS移动通讯设备端软件部分”，供收单机构区分和辨识。
对于后台处理系统将不进行专门认证，建议收单机构自行加强安全设计和管理。
下一讲我们将一起学习国外mPOS标准的情况，敬请关注、分享。