Regulations Governing the Standards for Information System and Security Management of Electronic Payment Institutions Article 3
The terms as used in these Regulations are defined as follows:1. "Electronic payment business" shall mean shall mean businesses under the subparagraphs of Paragraph 1, Article 3 of the Act.2. "Electronic payment platform" ("e-payment platform") shall mean application software, system software and hardware equipment relating to the electronic payment business.3. "Electronic payment operating environment" shall mean e-payment platform, network, operating personnel, and any application software, system software and hardware equipment used the same network with the e-payment platform.4. Networks come in the following types:(1) "Dedicated network" means using electronic equipment or communication equipment to transmit data via direct connection by dial-up, leased line, virtual private network (VPN), etc.(2) "Internet" means using electronic equipment or communication equipment to transmit data via an Internet service provider.(3) "Mobile network" means using electronic equipment or communication equipment to transmit data via a telecom service provider.5. Data protection measures shall have the following attributes:(1) Confidentiality: It means data will not be intercepted or hacked for the resulting leakage that will harm the data secrecy.(2) Integrity: It means data will not be altered for the alteration will result in data inaccuracy, that is, data alteration will render the data invalid.(3) Authentication: It means data senders will not be able to send data under a false name.(4) Non-duplication: It means data content is protected against duplication.(5) Non-repudiation: It means the act of sending or receiving data is undeniable by the sender or recipient.6. Commonly used cryptopattern algorithms are as follows:(1) "Symmetric cryptopattern algorithms" refer to Data Encryption Standard (DES), Tripe DES (3DES) and Advanced Encryption Standard (AES).(2) "Non-symmetric algorithms" refer to Rivest, Shamir and Adleman Encryption Algorithm (RSA) and Elliptic Curve Cryptography (ECC).(3) "Hash algorithm" refers to Secure Hash Algorithm (SHA).7. "System operations/maintenance personnel" shall mean the operating personnel of e-payment platform who manage or operate the application software, system software, hardware, networks, database, call center, business promotion, account management or accounting operations in the operating environment.8. "One Time Password" ("OTP") shall mean a password that is valid for only one-time use and generated by a security token, FISC-II card or other devices that use the OTP algorithm.9. "Mobile device" shall been an equipment with communication and networking capabilities, including but not limited to smart phone and tablet computer.10. "Sensitive data" include but are not limited to password, personal data, identity data, credit card number, credit card verification code, and personalized data.11. "Near Field Communication" ("NFC") shall mean using point-to-point communication to enable a mobile device to carry out data transmission with other equipment at close range.12. "Online To Offline" ("O2O") shall mean an electronic payment institution using mobile device or other portable equipment to provide services at physical channels for its electronic payment business.13. "Payment via agreed linked deposit account" shall mean the service where in conducting its electronic payment business, an electronic payment institution gives a financial institution at where an user opens his/her account (referred to as "the financial institution holding the account" hereunder) an account payment deduction instruction according to the agreement between the user and the financial institution to transfer funds from the user's deposit account with the financial institution for the electronic payment institution to collect payment from the user and record the payment amount and the fund transfer activity under the user's electronic payment account ("e-payment account"). The mechanisms of the operation are as follows:(1) "Direct link mechanism" means the mechanism where an electronic payment institution gives a financial institution holding the account a payment deduction instruction directly to transfer funds from the user's deposit account.(2) "Indirect link mechanism" means the mechanism where an electronic payment institution gives a dedicated deposit account bank a payment deduction instruction indirectly through the financial information service enterprise or clearing house to which the bank is connected to transfer funds from the user's deposit account with the bank.
中文原文 電子支付機構資訊系統標準及安全控管作業基準辦法第3條
本辦法用詞定義如下：
一、電子支付機構業務：指本條例第三條第一項各款業務。
二、電子支付平臺：指辦理電子支付機構業務相關之應用軟體、系統軟體及硬體設備。
三、電子支付作業環境：指電子支付平臺、網路、作業人員及與該電子支付平臺網路直接連結之應用軟體、系統軟體及硬體設備。
四、網路型態區分如下：
（一）專屬網路：指利用電子設備或通訊設備直接以連線方式（撥接（Dial-Up）、專線（Leased-Line）或虛擬私有網路（VirtualPrivateNetwork，VPN）等）進行訊息傳輸。
（二）網際網路（Internet）：指利用電子設備或通訊設備，透過網際網路服務業者進行訊息傳輸。
（三）行動網路：指利用電子設備或通訊設備，透過電信服務業者進行訊息傳輸。
五、訊息防護措施區分如下：
（一）訊息隱密性（Confidentiality）：指訊息不會遭截取、窺竊而洩漏資料內容致損害其秘密性。
（二）訊息完整性（Integrity）：指訊息內容不會遭篡改而造成資料不正確，即訊息如遭篡改時，該筆訊息無效。
（三）訊息來源辨識性（Authentication）：指傳送方無法冒名傳送資料。
（四）訊息不可重複性（Non-duplication）：指訊息內容不得重複。
（五）訊息不可否認性（Non-repudiation）：指無法否認其傳送或接收訊息行為。
六、常用密碼學演算法如下：
（一）對稱性加解密演算法：指資料加密標準（DataEncryptionStandard；以下簡稱DES）、三重資料加密標準（TripleDES；以下簡稱3DES）、進階資料加密標準（AdvancedEncryptionStandard；以下簡稱AES）。
（二）非對稱性加解密演算法：指RSA加密演算法（Rivest,ShamirandAdlemanEncryptionAlgorithm；以下簡稱RSA）、橢圓曲線密碼學（EllipticCurveCryptography；以下簡稱ECC）。
（三）雜湊函數：指安全雜湊演算法（SecureHashAlgorithm；以下簡稱SHA）。
七、系統維運人員：指電子支付平臺之作業人員，其管理或操作營運環境之應用軟體、系統軟體、硬體、網路、資料庫、使用者服務、業務推廣、帳務管理或會計管理等作業。
八、一次性密碼（OneTimePassword；以下簡稱OTP）：指運用動態密碼產生器、晶片金融卡或以其他方式運用OTP原理，產生限定一次使用之密碼。
九、行動裝置：指包含但不限於智慧型手機、平板電腦等具通信及連網功能之設備。
十、機敏資料：指包含但不限於密碼、個人資料、身分認證資料、信用卡卡號、信用卡驗證碼或個人化資料等。
十一、近距離無線通訊（NearFieldCommunication；以下簡稱NFC）：指利用點對點功能，使行動裝置在近距離內與其他設備進行資料傳輸。
十二、實體通路支付服務（OnlineToOffline，O2O）：指電子支付機構就電子支付機構業務，利用行動裝置或其他可攜式設備於實體通路提供服務。
十三、約定連結存款帳戶付款：指電子支付機構辦理電子支付機構業務，依使用者與開戶金融機構間之約定，向開戶金融機構提出扣款指示，連結該使用者存款帳戶進行轉帳，由電子支付機構收取支付款項，並於該使用者電子支付帳戶記錄支付款項金額及移轉情形之服務，作業機制如下：
（一）直接連結機制：指電子支付機構直接向開戶金融機構提出扣款指示，連結使用者存款帳戶進行轉帳之機制。
（二）間接連結機制：指電子支付機構經由專用存款帳戶銀行介接金融資訊服務事業或票據交換所，間接向開戶金融機構提出扣款指示，連結使用者存款帳戶進行轉帳之機制。
一、電子支付機構業務：指本條例第三條第一項各款業務。
二、電子支付平臺：指辦理電子支付機構業務相關之應用軟體、系統軟體及硬體設備。
三、電子支付作業環境：指電子支付平臺、網路、作業人員及與該電子支付平臺網路直接連結之應用軟體、系統軟體及硬體設備。
四、網路型態區分如下：
（一）專屬網路：指利用電子設備或通訊設備直接以連線方式（撥接（Dial-Up）、專線（Leased-Line）或虛擬私有網路（VirtualPrivateNetwork，VPN）等）進行訊息傳輸。
（二）網際網路（Internet）：指利用電子設備或通訊設備，透過網際網路服務業者進行訊息傳輸。
（三）行動網路：指利用電子設備或通訊設備，透過電信服務業者進行訊息傳輸。
五、訊息防護措施區分如下：
（一）訊息隱密性（Confidentiality）：指訊息不會遭截取、窺竊而洩漏資料內容致損害其秘密性。
（二）訊息完整性（Integrity）：指訊息內容不會遭篡改而造成資料不正確，即訊息如遭篡改時，該筆訊息無效。
（三）訊息來源辨識性（Authentication）：指傳送方無法冒名傳送資料。
（四）訊息不可重複性（Non-duplication）：指訊息內容不得重複。
（五）訊息不可否認性（Non-repudiation）：指無法否認其傳送或接收訊息行為。
六、常用密碼學演算法如下：
（一）對稱性加解密演算法：指資料加密標準（DataEncryptionStandard；以下簡稱DES）、三重資料加密標準（TripleDES；以下簡稱3DES）、進階資料加密標準（AdvancedEncryptionStandard；以下簡稱AES）。
（二）非對稱性加解密演算法：指RSA加密演算法（Rivest,ShamirandAdlemanEncryptionAlgorithm；以下簡稱RSA）、橢圓曲線密碼學（EllipticCurveCryptography；以下簡稱ECC）。
（三）雜湊函數：指安全雜湊演算法（SecureHashAlgorithm；以下簡稱SHA）。
七、系統維運人員：指電子支付平臺之作業人員，其管理或操作營運環境之應用軟體、系統軟體、硬體、網路、資料庫、使用者服務、業務推廣、帳務管理或會計管理等作業。
八、一次性密碼（OneTimePassword；以下簡稱OTP）：指運用動態密碼產生器、晶片金融卡或以其他方式運用OTP原理，產生限定一次使用之密碼。
九、行動裝置：指包含但不限於智慧型手機、平板電腦等具通信及連網功能之設備。
十、機敏資料：指包含但不限於密碼、個人資料、身分認證資料、信用卡卡號、信用卡驗證碼或個人化資料等。
十一、近距離無線通訊（NearFieldCommunication；以下簡稱NFC）：指利用點對點功能，使行動裝置在近距離內與其他設備進行資料傳輸。
十二、實體通路支付服務（OnlineToOffline，O2O）：指電子支付機構就電子支付機構業務，利用行動裝置或其他可攜式設備於實體通路提供服務。
十三、約定連結存款帳戶付款：指電子支付機構辦理電子支付機構業務，依使用者與開戶金融機構間之約定，向開戶金融機構提出扣款指示，連結該使用者存款帳戶進行轉帳，由電子支付機構收取支付款項，並於該使用者電子支付帳戶記錄支付款項金額及移轉情形之服務，作業機制如下：
（一）直接連結機制：指電子支付機構直接向開戶金融機構提出扣款指示，連結使用者存款帳戶進行轉帳之機制。
（二）間接連結機制：指電子支付機構經由專用存款帳戶銀行介接金融資訊服務事業或票據交換所，間接向開戶金融機構提出扣款指示，連結使用者存款帳戶進行轉帳之機制。