Regulations Governing the Standards for Information System and Security Management of Electronic Payment Institutions Article 10
The design principle of the e-payment platform shall meet the following requirements:1. Design requirements for Internet application system:(1) The device PIN should not be transmitted over the Internet and sensitive data shall be end-to-end encrypted during transmission over the Internet.(2) There should be session control and website session timeout mechanism in place that if the user does not take any action within ten minutes, the system should discontinue the session. However, if the user uses a physical device in the possession of the user specified in Item (3).b, Subparagraph 3, Paragraph 1 of Article 7 to engage in transactions, the timeout may be extended to thirty minutes.(3) The system should be able to identify external networks, the sources of transaction data sent therefrom, and the accuracy of transaction data.(4) The system should be able to identify the consistency between user input and payment instruction received.(5) When the user undergoes identity verification and transaction, the system should use one time random number or timestamp to prevent resend attack.(6) When the user undergoes identity verification and transaction and it is necessary to use random number function for operation, the system should use secure random number function to generate the random number needed.(7) When the user changes personal data, or agrees on or changes the bank deposit account which receives withdrawn funds from e-payment account, identity verification must be carried out first in accordance with any transaction security design provided in Subparagraphs 2 to 4, Paragraph 1, Article 7 herein.(8) The system should be designed with masking function for the display of personal data.(9) The system should be designed with access control, protective and surveillance measures for personal datafiles and database.(10) A counterfeit and money laundering detection system should be established with risk analysis modules and indicators set up for instant alert and suitable actions when irregular transaction activities occur. The risk analysis modules and indicators should be examined and revised regularly.2. Program design requirements for O2O services:(1) Electronic payment institutions shall confirm the equipment used at physical channels and the confidentiality and integrity of data they send or receive.(2) When carrying out fund transfer or making payment for real transactions, an electronic payment institution should ask for user confirmation if the payment instruction is recorded on picture, barcode or file. If the aforementioned medium is delivered to others via NFC, bluetooth, scan or upload, the electronic payment institution, if deemed necessary, should add access control (e.g. password) to prevent theft or alteration by others.3. Design requirements for user-end application:(1) The electronic payment institution should use digital certificate recognized by the operating system for code signing.(2) At the time of executing a transaction, the system should first verify the authenticity of website.(3) The electronic payment institution should avoid storing sensitive data, and if necessary, adopt relevant mechanism, such as encryption or scrambling, safekeep the encryption keys and take effective precautions against data theft.4. Design requirements for mobile device application:(1) Check that the authority required for the application on the mobile device shall be comparable to the service to be provided before release. The initial release or any change of authority shall be approved by the legal compliance and the risk control departments in order to have a comprehensive evaluation complying with the obligation to inform under the Personal Information Protection Act.(2) The electronic payment institution should provide the name, version and download site of application for mobile devices on its website.(3) When the mobile device application is opened, if the system detects that the mobile device could have been hacked, the system should remind the user to beware the risk.(4) A reminder suggesting the installation of anti-virus software shall be placed in a noticeable manner (such as on the download page of the mobile app).(5) When the system adopts certificate authority for encrypted data transmission, the mobile device application should establish a list of trusted certificate authorities and authenticate the entire certificate chain and the validity of certificates issued.(6) Before using NFC to transmit payment transaction data, the transaction should be confirmed manually by user.(7) The design of the mobile app shall conform to the relevant self-disciplinary regulations specified by the Banks Association of the ROC (hereinafter referred to as the “Bankers Association”) with respect to mobile applications.5. Design requirements for reconfirmation:(1) Upon receiving payment instruction from user where the payment will be made via online credit card charge or user's e-payment account or the agreed linked deposit account, the electronic payment institution should notify the payor for reconfirmation in a manner agreed in advance with the user (e.g. transaction confirmation webpage, mail or short message) and proceed with the transaction following reconfirmation.(2) Where payment is made by other means not provided in the preceding item, it can be perceived as reconfirmation by payor.6. Unless otherwise provided in the Act and the orders authorized hereunder, the design of the barcode technology shall conform to relevant self-disciplinary regulations specified by the Bankers Association with respect to the security of the application of the barcode.
中文原文 電子支付機構資訊系統標準及安全控管作業基準辦法第10條
電子支付平臺之設計原則，應符合下列要求：
一、網際網路應用系統設計要求：
（一）載具密碼不應於網際網路上傳輸，機敏資料於網際網路傳輸時應全程加密。
（二）應設計連線控制及網頁逾時中斷機制，使用者超過十分鐘未使用應中斷其連線。
但使用者以第七條第一項第三款第三目之2所定使用者所持有之實體設備進行交易，得延長至三十分鐘。
（三）應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。
（四）應辨識使用者輸入與系統接收之支付指示一致性。
（五）應設計於使用者進行身分確認與交易機制時，須採用一次性亂數或時間戳記，以防止重送攻擊。
（六）應設計於使用者進行身分確認與交易機制時，如需使用亂數函數進行運算，須採用安全亂數函數產生所需亂數。
（七）應設計於使用者修改個人資料、約定或變更提領電子支付帳戶款項之銀行存款帳戶時，須先經第七條第一項第二款至第四款任一類交易安全設計進行身分確認。
（八）應設計個人資料顯示之隱碼機制。
（九）應設計個人資料檔案及資料庫之存取控制與保護監控措施。
（十）應建置防偽冒與洗錢防制偵測系統，建立風險分析模組與指標，用以於異常交易行為發生時即時告警並妥善處理。
該風險分析模組與指標應定期檢討修訂。
二、實體通路支付服務程式設計要求：
（一）電子支付機構應確認實體通路之設備及其所傳送或接收之訊息隱密性及完整性。
（二）電子支付機構辦理款項間移轉或支付實質交易款項時，如將支付指示記錄於圖片、條碼或檔案，應經使用者確認；如將上述媒體透過近距離無線通訊、藍芽、掃描、上傳等機制交付他人者，應視必要增加存取限制（如密碼），防止第三人竊取或竄改。
三、使用者端程式設計要求：
（一）應採用被作業系統認可之數位憑證進行程式碼簽章。
（二）執行時應先驗證網站正確性。
（三）應避免儲存機敏資料，如有必要應採取加密或亂碼化等相關機制保護並妥善保護加密金鑰，且能有效防範相關資料被竊取。
四、行動裝置應用程式設計要求：
（一）於發布前檢視行動裝置應用程式所需權限應與提供服務相當；首次發布或權限變動，應經法遵部門及風控部門同意，以利綜合評估是否符合個人資料保護法之告知義務。
（二）應於官網上提供行動裝置應用程式之名稱、版本與下載位置。
（三）啟動行動裝置應用程式時，如偵測行動裝置疑似遭破解，應提示使用者注意風險。
（四）應於顯著位置（如行動裝置應用程式下載頁面等）提示使用者於行動裝置上安裝防護軟體。
（五）採用憑證技術進行傳輸加密時，行動裝置應用程式應建立可信任憑證清單並驗證完整憑證鏈及其憑證有效性。
（六）採用NFC技術進行付款交易資料傳輸前，應經由使用者人工確認。
（七）行動裝置應用程式設計要求應符合中華民國銀行商業同業公會全國聯合會（以下簡稱銀行公會）所訂定之行動裝置應用程式相關自律規範。
五、再確認之設計要求：
（一）收到支付指示後，以信用卡線上刷卡、電子支付帳戶款項或約定連結存款帳戶付款進行支付者，應以事先與使用者同意之方式（如交易確認頁面、郵件、簡訊等）通知付款方再確認，經確認無誤後才進行交易。
但實體通路支付服務，不適用之。
（二）非以前目方式辦理者，如透過其他方式進行付款者，可視為付款方之再確認。
六、採用條碼掃描技術之設計要求，應符合銀行公會所訂定之條碼掃描應用安全相關自律規範。
但本條例及本條例授權訂定之命令另有規定者，依其規定。
一、網際網路應用系統設計要求：
（一）載具密碼不應於網際網路上傳輸，機敏資料於網際網路傳輸時應全程加密。
（二）應設計連線控制及網頁逾時中斷機制，使用者超過十分鐘未使用應中斷其連線。
但使用者以第七條第一項第三款第三目之2所定使用者所持有之實體設備進行交易，得延長至三十分鐘。
（三）應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。
（四）應辨識使用者輸入與系統接收之支付指示一致性。
（五）應設計於使用者進行身分確認與交易機制時，須採用一次性亂數或時間戳記，以防止重送攻擊。
（六）應設計於使用者進行身分確認與交易機制時，如需使用亂數函數進行運算，須採用安全亂數函數產生所需亂數。
（七）應設計於使用者修改個人資料、約定或變更提領電子支付帳戶款項之銀行存款帳戶時，須先經第七條第一項第二款至第四款任一類交易安全設計進行身分確認。
（八）應設計個人資料顯示之隱碼機制。
（九）應設計個人資料檔案及資料庫之存取控制與保護監控措施。
（十）應建置防偽冒與洗錢防制偵測系統，建立風險分析模組與指標，用以於異常交易行為發生時即時告警並妥善處理。
該風險分析模組與指標應定期檢討修訂。
二、實體通路支付服務程式設計要求：
（一）電子支付機構應確認實體通路之設備及其所傳送或接收之訊息隱密性及完整性。
（二）電子支付機構辦理款項間移轉或支付實質交易款項時，如將支付指示記錄於圖片、條碼或檔案，應經使用者確認；如將上述媒體透過近距離無線通訊、藍芽、掃描、上傳等機制交付他人者，應視必要增加存取限制（如密碼），防止第三人竊取或竄改。
三、使用者端程式設計要求：
（一）應採用被作業系統認可之數位憑證進行程式碼簽章。
（二）執行時應先驗證網站正確性。
（三）應避免儲存機敏資料，如有必要應採取加密或亂碼化等相關機制保護並妥善保護加密金鑰，且能有效防範相關資料被竊取。
四、行動裝置應用程式設計要求：
（一）於發布前檢視行動裝置應用程式所需權限應與提供服務相當；首次發布或權限變動，應經法遵部門及風控部門同意，以利綜合評估是否符合個人資料保護法之告知義務。
（二）應於官網上提供行動裝置應用程式之名稱、版本與下載位置。
（三）啟動行動裝置應用程式時，如偵測行動裝置疑似遭破解，應提示使用者注意風險。
（四）應於顯著位置（如行動裝置應用程式下載頁面等）提示使用者於行動裝置上安裝防護軟體。
（五）採用憑證技術進行傳輸加密時，行動裝置應用程式應建立可信任憑證清單並驗證完整憑證鏈及其憑證有效性。
（六）採用NFC技術進行付款交易資料傳輸前，應經由使用者人工確認。
（七）行動裝置應用程式設計要求應符合中華民國銀行商業同業公會全國聯合會（以下簡稱銀行公會）所訂定之行動裝置應用程式相關自律規範。
五、再確認之設計要求：
（一）收到支付指示後，以信用卡線上刷卡、電子支付帳戶款項或約定連結存款帳戶付款進行支付者，應以事先與使用者同意之方式（如交易確認頁面、郵件、簡訊等）通知付款方再確認，經確認無誤後才進行交易。
但實體通路支付服務，不適用之。
（二）非以前目方式辦理者，如透過其他方式進行付款者，可視為付款方之再確認。
六、採用條碼掃描技術之設計要求，應符合銀行公會所訂定之條碼掃描應用安全相關自律規範。
但本條例及本條例授權訂定之命令另有規定者，依其規定。