Regulations Governing the Security of Electronic Stored Value Cards Article 14
The security design to address the security requirements for an issuer with respect to electronic stored value cards it issues as provided in the preceding article shall meet the following criteria:1. The electronic stored value card must have an independent and unique ID or the function of authentication to ensure its validity.2. Electronic stored value card that adopts user ID +fixed password shall have the following security designs:(1) If the user ID uses only explicit data (such as uniform business number, ID card number, mobile phone number, email address, and credit card number) for identification, a cardholder code should be used for additional identification, which may not use any explicit data mentioned above.(2) The password shall comprise of no less than six characters.(3) The password shall not be identical to the user ID or the cardholder code.(4) The password should not be made up of identical alphanumeric characters, continuous English alphabets or numbers, with the exception of default password.(5) The password is suggested the use of combination of alphanumeric characters, and preferably contain upper case and lower case English alphabets or symbols.(6) When wrong password is inputted five consecutive times, access to e-payment platform should be restricted and the cardholdermust reapply for the setting of password.(7) Changed password shall not be the same as thepreviously set password.(8) If the password has not changed for more than one year, the issuer should take proper actions.(9) If the issuer issues a default password at the time the cardholder registers, the cardholder shall be required to change the default password when he/she logs in the first time.3. Personal data stored in the electronic stored value cards must be protected: If personal data are stored in electronic stored value cards, access control or cardholder verification mechanism shall be implemented to restrict access.4.Draft the electronic stored value card delivery control process: The issuer should properly manage the life cycle of electronic stored value cards, should draft electronic stored value card production, issuance, and delivery control processes, implement control of card production outsource operation, and implement physical security control of electronic stored value cards.
中文原文 電子票證應用安全強度準則第14條
前條發行機構電子票證安全需求之安全設計應符合下列要求：
一、電子票證須具有獨立且唯一之識別碼或具有認證之功能，以確保其合法性。
二、若採用戶代號及固定密碼者，應具有下列之安全設計：
（一）用戶代號如使用顯性資料（如商業統一編號、身分證統一編號、行動電話號碼、電子郵件帳號、電子票證編號等）作為唯一之識別，應另行增設持卡人代號以資識別。
持卡人代號亦不得為上述顯性資料。
（二）密碼不應少於六位。
（三）密碼不應與用戶代號相同，亦不得與持卡人代號相同。
（四）密碼不應訂為相同之英數字、連續英文字或連號數字，預設密碼不在此限。
（五）密碼建議採英數字混合使用，且宜包含大小寫英文字母或符號。
（六）密碼連續錯誤達五次時應限制使用，須重新申請密碼。
（七）變更後之密碼不得與變更前一次密碼相同。
（八）密碼超過一年未變更，發行機構應做妥善處理。
（九）持卡人註冊時係由發行機構發予預設密碼者，於持卡人首次登入時，應強制變更預設密碼。
三、儲存於電子票證之個資必須保護：若使用電子票證儲存個人資料，應設計存取控制或持卡人確認之機制，以限制其讀取。
四、制定電子票證交貨控管流程：發行機構應針對電子票證之生命週期進行妥善之管理，應制定電子票證製發卡與交貨控管流程、管制外包製卡作業及落實實體電子票證之安全控管。
一、電子票證須具有獨立且唯一之識別碼或具有認證之功能，以確保其合法性。
二、若採用戶代號及固定密碼者，應具有下列之安全設計：
（一）用戶代號如使用顯性資料（如商業統一編號、身分證統一編號、行動電話號碼、電子郵件帳號、電子票證編號等）作為唯一之識別，應另行增設持卡人代號以資識別。
持卡人代號亦不得為上述顯性資料。
（二）密碼不應少於六位。
（三）密碼不應與用戶代號相同，亦不得與持卡人代號相同。
（四）密碼不應訂為相同之英數字、連續英文字或連號數字，預設密碼不在此限。
（五）密碼建議採英數字混合使用，且宜包含大小寫英文字母或符號。
（六）密碼連續錯誤達五次時應限制使用，須重新申請密碼。
（七）變更後之密碼不得與變更前一次密碼相同。
（八）密碼超過一年未變更，發行機構應做妥善處理。
（九）持卡人註冊時係由發行機構發予預設密碼者，於持卡人首次登入時，應強制變更預設密碼。
三、儲存於電子票證之個資必須保護：若使用電子票證儲存個人資料，應設計存取控制或持卡人確認之機制，以限制其讀取。
四、制定電子票證交貨控管流程：發行機構應針對電子票證之生命週期進行妥善之管理，應制定電子票證製發卡與交貨控管流程、管制外包製卡作業及落實實體電子票證之安全控管。