Regulations Governing the Security of Electronic Stored Value Cards Article 6
For card transactions, an issuer shall ensure that the electronic stored value cards it issues meet the following security requirements:1.Online purchase transaction(1)Confidentiality: For transactions processed via Internet/mobile network connection, the security design shall meet A requirements.(2)Integrity: For transactions processed via dedicated network connection, the security design shall meet B1 requirements; for transactions processed via Internet/mobile network connection, the security design shall meet B2 requirements.(3)Authentication: For Level 1 transactions, the security design shall meet C1 or C3 requirements; for Level 2 transactions, the security design shall meet C2 requirements.(4)Non-repeatability: The security design shall meet F requirements.2.Off-line purchase transaction(1)Confidentiality: For transactions processed via network/other offline means interface, the security design shall meet A requirements.(2)Integrity: For Level 1 transactions processed via contact/contactless interface, the security design shall meet B1 requirements; For Level 2 transactions processed via contact/contactless interface, the security design shall meet B2 requirements; For transactions processed via network/other offline means interface, the security design shall meet B2 requirements.(3)Authentication of stored value card: For Level 1 transactions processed via contact/contactless interface, the security design shall meet D1 requirements; For Level 2 transactions processed via contact/contactless interface, the security design shall meet D2 requirements; For transactions processed via network/other offline means interface, the security design shall meet D2 requirements.(4)Authentication of terminal: For Level 1 transactions processed via contact/contactless interface, the security design shall meet E1 requirements; For Level 2 transactions processed via contact/contactless interface, the security design shall meet E2 requirements; For transactions processed via network/other offline means interface, the security design shall meet E2 requirements.(5)Non-repeatability: The security design shall meet F requirements.3.Online recharge transaction(1)Confidentiality: For transactions processed via Internet/mobile network connection, the security design shall meet A requirements.(2)Integrity: For transactions processed via dedicated network connection, the security design shall meet B1 requirements; for transactions processed via Internet/mobile network connection, the security design shall meet B2 requirements.(3)Authentication of issuer: For Level 1transactions processed via dedicated network connection, the security design shall meet E1 requirements; For Level 2transactions processed via dedicated network connection, the security design shall meet E2requirements;fortransactions processed via Internet/mobile network connection, the security design shall meet E2 requirements.(4)Non-repeatability: The security design shall meet F requirements.4.Off-line recharge transaction(1)Confidentiality: For transactions processed via network/other offline means interface, the security design shall meet A requirements.(2)Integrity: For Level 1 transactions processed via contact/contactless interface, the security design shall meet B1 requirements; For Level 2 transactions processed via contact/contactless interface, the security design shall meet B3requirements; For transactions processed via network/other offline means interface, the security design shall meet B3requirements.(3)Authentication of terminal: For Level 1 transactions processed via contact/contactless interface, the security design shall meet E1 requirements; For Level 2 transactions processed via contact/contactless interface, the security design shall meet E2 requirements; For transactions processed via network/other offline means interface, the security design shall meet E2 requirements.(4)Non-repeatability: The security design shall meet F requirements.5.Fund transfer transaction(1)Confidentiality: For transactions processed via Internet/mobile network connection, the security design shall meet A requirements.(2)Integrity: For transactions processed via dedicated network connection, the security design shall meet B1 requirements; for transactions processed via Internet/mobile network connection, the security design shall meet B2 requirements.(3)Authentication: For Level 1 transactions, the security design shall meet C1 or C3 requirements; for Level 2 transactions, the security design shall meet C2 requirements.(4)Non-repeatability: The security design shall meet F requirements.6.Clearing and Accounting transaction(1)Confidentiality: For transactions processed via Internet/mobile network connection, the security design shall meet A requirements.(2)Integrity: For transactions processed via dedicated network connection, the security design shall meet B1 requirements; for transactions processed via Internet/mobile network connection, the security design shall meet B2 requirements.(3)Authentication of message: For transactions processed via Internet/mobile network connection, the security design shall meet C2 requirements.(4)Non-repeatability: The security design shall meet F requirements.7.Where the transaction information in Subparagraphs 1 ~ 6 above contains personal data as defined in the Personal Data Protection Act, the issuer shall adopt symmetric or asymmetric cryptographic system to encrypt such personal data to ensure their confidentiality and prevent unauthorized access. The level of cryptographic strength of the cryptographic system shall not be lower than that required for confidentiality (A requirements) set out in Subparagraph 1 of Article 7 herein.
中文原文 電子票證應用安全強度準則第6條
發行機構於交易面應確保電子票證交易符合下列安全規定：
一、線上即時消費交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性：應用於第一級應用範圍等級者應符合C1或C3要求；應用於第二級應用範圍等級者應符合C2要求。
（四）不可重覆性：應符合F要求。
二、非線上即時消費交易（一）訊息隱密性：採用網路或其他離線方式者應符合A要求。
（二）訊息完整性：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合B1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合B2要求；採用網路或其他離線方式者應符合B2要求。
（三）來源辨識性之電子票證認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合D1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合D2要求；採用網路或其他離線方式者應符合D2要求。
（四）來源辨識性之端末認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合E1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合E2要求；採用網路或其他離線方式者應符合E2要求。
（五）不可重覆性：應符合F要求。
三、線上即時加值交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性之發卡端認證：採用專屬網路且應用於第一級應用範圍等級者應符合E1要求；採用專屬網路且應用於第二級應用範圍等級者應符合E2要求；採用網際網路或行動網路者應符合E2要求。
（四）不可重覆性：應符合F要求。
四、非線上即時加值交易（一）訊息隱密性：採用網路或其他離線方式者應符合A要求。
（二）訊息完整性：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合B1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合B3要求；採用網路或其他離線方式者應符合B3要求。
（三）來源辨識性之端末認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合E1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合E2要求；採用網路或其他離線方式者應符合E2要求。
（四）不可重覆性：應符合F要求。
五、票證款項移轉交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性：應用於第一級應用範圍等級者應符合C1或C3要求；應用於第二級應用範圍等級者應符合C2要求。
（四）不可重覆性：應符合F要求。
六、帳務清算及結算交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性之訊息認證：採用網際網路或行動網路者應符合C2要求。
（四）不可重覆性：應符合F要求。
七、本條第一款至第六款之交易訊息中若包含個人資料保護法所定義之個人資料，為確保其隱密性，應採對稱性加解密系統或非對稱性加解密系統進行個人資料之加密，以防止未經授權者取得個人資料，其安全強度應不得低於第七條第一款訊息隱密性A之規定。
一、線上即時消費交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性：應用於第一級應用範圍等級者應符合C1或C3要求；應用於第二級應用範圍等級者應符合C2要求。
（四）不可重覆性：應符合F要求。
二、非線上即時消費交易（一）訊息隱密性：採用網路或其他離線方式者應符合A要求。
（二）訊息完整性：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合B1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合B2要求；採用網路或其他離線方式者應符合B2要求。
（三）來源辨識性之電子票證認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合D1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合D2要求；採用網路或其他離線方式者應符合D2要求。
（四）來源辨識性之端末認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合E1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合E2要求；採用網路或其他離線方式者應符合E2要求。
（五）不可重覆性：應符合F要求。
三、線上即時加值交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性之發卡端認證：採用專屬網路且應用於第一級應用範圍等級者應符合E1要求；採用專屬網路且應用於第二級應用範圍等級者應符合E2要求；採用網際網路或行動網路者應符合E2要求。
（四）不可重覆性：應符合F要求。
四、非線上即時加值交易（一）訊息隱密性：採用網路或其他離線方式者應符合A要求。
（二）訊息完整性：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合B1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合B3要求；採用網路或其他離線方式者應符合B3要求。
（三）來源辨識性之端末認證：採用接觸式或非接觸式介面且應用於第一級應用範圍等級者應符合E1要求；採用接觸式或非接觸式介面且應用於第二級應用範圍等級者應符合E2要求；採用網路或其他離線方式者應符合E2要求。
（四）不可重覆性：應符合F要求。
五、票證款項移轉交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性：應用於第一級應用範圍等級者應符合C1或C3要求；應用於第二級應用範圍等級者應符合C2要求。
（四）不可重覆性：應符合F要求。
六、帳務清算及結算交易（一）訊息隱密性：採用網際網路或行動網路者應符合A要求。
（二）訊息完整性：採用專屬網路者應符合B1要求；採用網際網路或行動網路者應符合B2要求。
（三）來源辨識性之訊息認證：採用網際網路或行動網路者應符合C2要求。
（四）不可重覆性：應符合F要求。
七、本條第一款至第六款之交易訊息中若包含個人資料保護法所定義之個人資料，為確保其隱密性，應採對稱性加解密系統或非對稱性加解密系統進行個人資料之加密，以防止未經授權者取得個人資料，其安全強度應不得低於第七條第一款訊息隱密性A之規定。