Regulations Governing the Standards for Information System and Security Management of Electronic Payment Institutions Article 19
The system lifecycle management of e-payment operating environment shall meet the following requirements:1. Draw up and implement information security development and design specifications.2. For outsourced development of application software, implement supervision and ensure that the outsourced service providers effectively observe these Regulations.3. Make sure system software and application software have installed the latest security patches.4. For sensitive data used in testing, undergo data masking or control protection first.5. From development stage to operational stage, handle changes in accordance with the established change control procedure and retained relevant records; changes to the operating environment (e.g. execution, review) shall be carried out by at least 2 persons for internal check.6. For modification of system software, first undergo technical review and testing; do not attempt to modify software packages at own discretion and carry out risk evaluation first. Program version change or production of comparison report should not be at the discretion of development personnel; source code management should be established to conform to the principles of segregation of duties and internal check.
中文原文 電子支付機構資訊系統標準及安全控管作業基準辦法第19條
電子支付作業環境之系統生命週期管理應符合下列要求：
一、應訂定資訊安全開發設計規範並落實執行。
二、對於委外開發的應用軟體，應執行監督並確保其有效遵循本辦法規定。
三、應確保系統軟體和應用軟體安裝最新安全修補程式。
四、對於測試用之機敏資料，應先進行資料遮蔽處理或管制保護。
五、於開發階段起至營運階段，應遵循變更控制程序處理並留存相關紀錄；營運環境變更（如執行、覆核）應由二人以上進行，以相互牽制。
六、系統軟體變更應先進行技術審查並測試；套裝軟體不應自行異動，並應先進行風險評估。
程式不應由開發人員自行換版或產製比對報表，應建立程式原始碼管理機制，以符合職務分工與牽制原則。
一、應訂定資訊安全開發設計規範並落實執行。
二、對於委外開發的應用軟體，應執行監督並確保其有效遵循本辦法規定。
三、應確保系統軟體和應用軟體安裝最新安全修補程式。
四、對於測試用之機敏資料，應先進行資料遮蔽處理或管制保護。
五、於開發階段起至營運階段，應遵循變更控制程序處理並留存相關紀錄；營運環境變更（如執行、覆核）應由二人以上進行，以相互牽制。
六、系統軟體變更應先進行技術審查並測試；套裝軟體不應自行異動，並應先進行風險評估。
程式不應由開發人員自行換版或產製比對報表，應建立程式原始碼管理機制，以符合職務分工與牽制原則。