Regulations Governing the Security of Electronic Stored Value Cards Article 9
Security design to address the security requirements for an issuer with respect to card management as provided in the preceding article shall meet the following criteria:1. Establishing computer resources access control mechanism and security protection measures to prevent unauthorized access to system resources and minimize the possibility of illegal entry by implementing the following measures and controls:(1) Establish the hardware or software security systems, such as firewall, security software and detection software.(2) Control the frequency of incorrect password entries.(3) Encrypt the password file of computer system.(4) Save the transaction log and audit trail.(5) Design an access control, such as using password or ID card.(6) Implement login time control.(7) Use VPN for remote access.(8) Tiered management of system resources based on their significance and sensitivity.(9) Enforce the change of preset passwords for application software and network operating systems.(10) Ensure personal data protection when the system provides all kinds of service functions.2. Transactions must be traceable. The transaction log shall contain the following information and be saved in the mainframe of the issuer for future reference:(1) User ID or card number.(2) Transaction amount.(3) The ID of terminal equipment.(4) Transaction sequence number or transaction date and time.3. The issuer shall monitor illegal transactions.4. Key management shall give the following security considerations:(1) Ensure the quality of keys (prevent the use of weak keys).(2) Ensure that the leak of key content will not occur during the use, storage, transfer or destruction of key.(3)Store keys in hardware security module that is FIPS 140-2Level 3compliant or higher, and are subject to expressed key export restrictions.(4)Make duplicate of keys to ensure their usability.(5)Implement proper access control procedure for the upgrade or disposal of key storage equipment or medium to ensure that leakage of keys will not occur.5. Enhance the security and availability of the computer systems, including:(1) Prepare backup mainframe, server, communication equipment, networks, and peripheral equipment.(2) Install virus detection software to scan the network nodes and servers periodically, and periodically update the virus definitions.(3) Install the patches or hotfixes of systems if necessary.(4) Establish an intrusion detection mechanism for extranet and periodically update attribute code.(5) Establish an online control mechanism and restrict connection to non-business related websites.(6) Arrange email-related social engineering drill every year for system operations/ maintenance personnel.(7) Conduct vulnerability scan every quarter and take incremental improvement actions based on the risk level.(8) Conduct code scanning or black box testing for changed programs every half a year and take incremental improvement actions based on the risk level.(9) Put servers, network equipment and other operations equipment centrally in the machine room with three lines of defense established, including perimeter access control, internal space surveillance and equipment cabinet access control to ensure the physical security of operations equipment.6. Enhance the security and availability of application systems:(1) The security design for Internet application system shall meet the following requirements:a. The device PIN shall not be transmitted over the Internet and sensitive data shall be end-to-end encrypted during transmission over the Internet.b. There shall be session control and website session timeout mechanism in place. If the cardholder does not take any action within ten minutes, the system shall discontinue the session or take other protective measures. However, if the cardholder uses a physical device in the possession of the cardholder specified in Item(1).(f), Subparagraph 3 of Article 7 to carry out transactions, the timeout may be extended to thirty minutes.c. The system shall be able to identify external networks, the sources of transaction data sent therefrom, and the accuracy of transaction data.d. The system should be able to identify the consistency between cardholder input and payment instruction received.e. When the cardholder undergoes identity verification and transaction, the system shall use one time random number or timestamp to prevent resend attack.f. When the cardholder undergoes identity verification and transaction and it is necessary to use random number function for operation, the system shall use secure random number function to generate the random number needed.g. When the cardholder changes his agreement to the online transaction, two or more identity verification must be carried out first in accordance with any transaction security design provided in Item (1).(e)~(g), Subparagraph 3 of Article 7 herein.h. The system shall be designed with masking function for the display of personal data.i. The system shall be designed with access control, protective and surveillance measures for personal data files and database.j. A counterfeit and money laundering detection system should be established with risk analysis modules and indicators set up for instant alert and suitable actions when irregular transaction activities occur. The risk analysis modules and indicators should be examined and revised regularly.(2) The security design for cardholder-end applications shall meet the following requirements:a. The issuer shall use digital certificate recognized by the operating system for code signing.b. At the time of executing a transaction, the system shall first verify the authenticity of website.c. The issuer shall avoid storing sensitive data, and if necessary, adopt relevant protective mechanism, such as encryption or scrambling, safekeep the encryption keys and take effective precautions against data theft.(3) The security design for the applications provided for mobile devices shall meet the following requirements:a. Check that the authority required for the application on the mobile device shall be comparable to the service to be provided before release. The initial release or any change of authority shall be approved by the legal compliance or the risk control departments in order to have a comprehensive evaluation complying with the obligation to inform under the Personal Information Protection Act.b. The issuer should provide the name, version and download site of application for mobile devices on its website.c. When the mobile device application is opened, if the system detects that the mobile device could have been hacked, the system should remind the cardholder to beware the risk.d. A reminder suggesting the installation of anti-virus software shall be placed in a noticeable manner (such as on the download page of the mobile app).e. When the system adopts certificate authority for encrypted data transmission, the mobile device application should establish a list of trusted certificate authorities and authenticate the entire certificate chain and the validity of certificates issued.f. Before using NFC to transmit payment transaction data, the transaction should be confirmed manually by cardholder.g. The design of the mobile app shall conform to the relevant self-disciplinary regulations specified by the Banks Association of the ROC (hereinafter referred to as the “Bankers Association”) with respect to mobile applications.(4) The issuer shall conduct penetration testing regularly for its Internet service systems or applications and take incremental improvement actions based on the risk level.(5)The design of the barcode technology shall conform to relevant self-disciplinary regulations specified by the Bankers Association with respect to the security of the application of the barcode.7. Draft operations management rules. The internal accountability system and approval procedure of the issuer, contracted merchants and recharge institutions and attribution of responsibility between them and the cardholders shall include:(1) Security policy, standard, procedure or guidelines, including the equipment specifications.(2) Descriptions of security mechanisms and security procedures.(3) Key management measure or rules.(4) Security instructions for cardholders and a complete contract.
中文原文 電子票證應用安全強度準則第9條
前條發行機構管理面安全需求之安全設計應符合下列要求：
一、建立電腦資源存取控制機制與安全防護措施，防範未經授權存取系統資源，並降低非法入侵之可能性。
應以下列方式處理及管控：
（一）建置安全防護軟硬體，如防火牆（Firewall）、安控軟體、偵測軟體等。
（二）控制密碼錯誤次數。
（三）電腦系統密碼檔加密。
（四）留存交易紀錄（TransactionLog）及稽核追蹤紀錄（AuditTrail）。
（五）設計存取權控制（AccessControl）如使用密碼、晶片卡等。
（六）簽入（Login）時間控制。
（七）遠端存取應使用虛擬私有網路（VPN）。
（八）系統資源應依其重要性與敏感性分級管理。
（九）強制更換應用軟體及網路作業系統之預設密碼。
（十）系統提供各項服務功能時，應確保個人資料保護措施。
二、交易必須可被追蹤，交易紀錄明細應包含下列資訊，並留存於發行機構主機備查：
（一）用戶代號或卡號。
（二）交易金額。
（三）端末設備代號。
（四）交易序號或交易日期、時間。
三、發行機構應監控非法交易。
四、金鑰管理應有下列之安全考量：
（一）應確保金鑰品質（避免產生弱金鑰）。
（二）金鑰之使用、儲存、傳送與銷毀，應確保金鑰之內容無洩露之虞。
（三）金鑰應儲存於通過FIPS140-2Level3（含）以上之硬體安全模組內並限制金鑰明文匯出。
（四）金鑰應備份以確保其可用性。
（五）保存金鑰之設備或媒體，於更新或報廢時，應具適當之存取控管程序，以確保金鑰無洩露之虞。
五、提昇電腦系統之安全及可用性，包含：
（一）預備主機、伺服器、通訊設備、線路、週邊設備等備援裝置。
（二）建置病毒偵測軟體（VirusDetectionSoftware），定期對網路節點及伺服器進行掃毒，並定期更新病毒碼。
（三）定期更新系統修補程式（Patch,Hotfix）。
（四）於對外網段建置入侵偵測機制並定期更新特徵碼。
（五）建置上網管制機制，限制連結非業務相關網站。
（六）每年針對系統維運人員進行郵件社交工程演練。
（七）每季進行弱點掃描，依據風險高低逐步改善。
（八）每半年針對異動程式進行程式碼掃描或黑箱測試，依據風險高低逐步改善。
（九）伺服器、網路設備等營運設備應集中於機房內，並應建立外圍門禁管制、內部空間監控及機櫃門禁管制等三道防護，以確保實體安全。
六、提昇應用系統之安全及可用性：
（一）提供網際網路之應用系統應符合下列安全設計：1.載具密碼不應於網際網路上傳輸，機敏資料於網際網路傳輸時應全程加密。
2.應設計連線控制及網頁逾時中斷機制。
持卡人超過十分鐘未使用應中斷其連線或採取其他保護措施，但持卡人以第七條第三款第一目之6所定持卡人所持有的實體設備進行交易，得延長至三十分鐘。
3.應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。
4.應辨識持卡人輸入與系統接收之支付指示一致性。
5.應設計於持卡人進行身分確認與交易機制時，須採用一次性亂數或時間戳記，以防止重送攻擊。
6.應設計於持卡人進行身分確認與交易機制時，如需使用亂數函數進行運算，須採用安全亂數函數產生所需亂數。
7.應設計於持卡人修改線上即時交易之約定時，須先經採用第七條第三款第一目之5至7之二項（含）以上認證方式進行身分確認。
8.應設計個人資料顯示之隱碼機制。
9.應設計個人資料檔案及資料庫之存取控制與保護監控措施。
10.應建置防偽冒與洗錢防制偵測系統，建立風險分析模組與指標，用以於異常交易行為發生時即時告警並妥善處理。
風險分析模組與指標應定期檢討修訂。
（二）提供持卡人端之程式應符合下列安全設計：1.應採用被作業系統認可之數位憑證進行程式碼簽章。
2.執行時應先驗證網站正確性。
3.應避免儲存機敏資料，如有必要應採取加密或亂碼化等相關機制保護並妥善保護加密金鑰，且能有效防範相關資料被竊取。
（三）提供行動裝置之應用程式應符合下列安全設計：1.於發布前檢視行動裝置應用程式所需權限應與提供服務相當；首次發布或權限變動，應經法遵部門或風控部門同意，以利綜合評估是否符合個人資料保護法之告知義務。
2.應於官網上提供行動裝置應用程式之名稱、版本與下載位置。
3.啟動行動裝置應用程式時，如偵測行動裝置疑似遭破解，應提示持卡人注意風險。
4.應於顯著位置（如行動裝置應用程式下載頁面等）提示持卡人於行動裝置上安裝防護軟體。
5.採用憑證技術進行傳輸加密時，行動裝置應用程式應建立可信任憑證清單並驗證完整憑證鏈及其憑證有效性。
6.採用NFC技術進行付款交易資料傳輸前，應經由持卡人人工確認。
7.行動裝置應用程式設計要求應符合中華民國銀行商業同業公會全國聯合會（以下簡稱銀行公會）所訂定之行動裝置應用程式相關自律規範。
（四）定期針對網際網路服務之系統或應用程式進行滲透測試，依據風險高低逐步改善。
（五）採用條碼掃描技術之設計要求，應符合銀行公會所訂定之條碼掃描應用安全相關自律規範。
七、制定作業管理規範，應確定發行機構、特約機構與加值機構內部之責任制度、核可程序及與持卡人之間之責任歸屬，包含：
（一）制定安全控管規章含設備規格。
（二）安控機制說明、安控程序說明。
（三）金鑰管理措施或辦法。
（四）制定持卡人使用安全須知及完整合約。
一、建立電腦資源存取控制機制與安全防護措施，防範未經授權存取系統資源，並降低非法入侵之可能性。
應以下列方式處理及管控：
（一）建置安全防護軟硬體，如防火牆（Firewall）、安控軟體、偵測軟體等。
（二）控制密碼錯誤次數。
（三）電腦系統密碼檔加密。
（四）留存交易紀錄（TransactionLog）及稽核追蹤紀錄（AuditTrail）。
（五）設計存取權控制（AccessControl）如使用密碼、晶片卡等。
（六）簽入（Login）時間控制。
（七）遠端存取應使用虛擬私有網路（VPN）。
（八）系統資源應依其重要性與敏感性分級管理。
（九）強制更換應用軟體及網路作業系統之預設密碼。
（十）系統提供各項服務功能時，應確保個人資料保護措施。
二、交易必須可被追蹤，交易紀錄明細應包含下列資訊，並留存於發行機構主機備查：
（一）用戶代號或卡號。
（二）交易金額。
（三）端末設備代號。
（四）交易序號或交易日期、時間。
三、發行機構應監控非法交易。
四、金鑰管理應有下列之安全考量：
（一）應確保金鑰品質（避免產生弱金鑰）。
（二）金鑰之使用、儲存、傳送與銷毀，應確保金鑰之內容無洩露之虞。
（三）金鑰應儲存於通過FIPS140-2Level3（含）以上之硬體安全模組內並限制金鑰明文匯出。
（四）金鑰應備份以確保其可用性。
（五）保存金鑰之設備或媒體，於更新或報廢時，應具適當之存取控管程序，以確保金鑰無洩露之虞。
五、提昇電腦系統之安全及可用性，包含：
（一）預備主機、伺服器、通訊設備、線路、週邊設備等備援裝置。
（二）建置病毒偵測軟體（VirusDetectionSoftware），定期對網路節點及伺服器進行掃毒，並定期更新病毒碼。
（三）定期更新系統修補程式（Patch,Hotfix）。
（四）於對外網段建置入侵偵測機制並定期更新特徵碼。
（五）建置上網管制機制，限制連結非業務相關網站。
（六）每年針對系統維運人員進行郵件社交工程演練。
（七）每季進行弱點掃描，依據風險高低逐步改善。
（八）每半年針對異動程式進行程式碼掃描或黑箱測試，依據風險高低逐步改善。
（九）伺服器、網路設備等營運設備應集中於機房內，並應建立外圍門禁管制、內部空間監控及機櫃門禁管制等三道防護，以確保實體安全。
六、提昇應用系統之安全及可用性：
（一）提供網際網路之應用系統應符合下列安全設計：1.載具密碼不應於網際網路上傳輸，機敏資料於網際網路傳輸時應全程加密。
2.應設計連線控制及網頁逾時中斷機制。
持卡人超過十分鐘未使用應中斷其連線或採取其他保護措施，但持卡人以第七條第三款第一目之6所定持卡人所持有的實體設備進行交易，得延長至三十分鐘。
3.應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。
4.應辨識持卡人輸入與系統接收之支付指示一致性。
5.應設計於持卡人進行身分確認與交易機制時，須採用一次性亂數或時間戳記，以防止重送攻擊。
6.應設計於持卡人進行身分確認與交易機制時，如需使用亂數函數進行運算，須採用安全亂數函數產生所需亂數。
7.應設計於持卡人修改線上即時交易之約定時，須先經採用第七條第三款第一目之5至7之二項（含）以上認證方式進行身分確認。
8.應設計個人資料顯示之隱碼機制。
9.應設計個人資料檔案及資料庫之存取控制與保護監控措施。
10.應建置防偽冒與洗錢防制偵測系統，建立風險分析模組與指標，用以於異常交易行為發生時即時告警並妥善處理。
風險分析模組與指標應定期檢討修訂。
（二）提供持卡人端之程式應符合下列安全設計：1.應採用被作業系統認可之數位憑證進行程式碼簽章。
2.執行時應先驗證網站正確性。
3.應避免儲存機敏資料，如有必要應採取加密或亂碼化等相關機制保護並妥善保護加密金鑰，且能有效防範相關資料被竊取。
（三）提供行動裝置之應用程式應符合下列安全設計：1.於發布前檢視行動裝置應用程式所需權限應與提供服務相當；首次發布或權限變動，應經法遵部門或風控部門同意，以利綜合評估是否符合個人資料保護法之告知義務。
2.應於官網上提供行動裝置應用程式之名稱、版本與下載位置。
3.啟動行動裝置應用程式時，如偵測行動裝置疑似遭破解，應提示持卡人注意風險。
4.應於顯著位置（如行動裝置應用程式下載頁面等）提示持卡人於行動裝置上安裝防護軟體。
5.採用憑證技術進行傳輸加密時，行動裝置應用程式應建立可信任憑證清單並驗證完整憑證鏈及其憑證有效性。
6.採用NFC技術進行付款交易資料傳輸前，應經由持卡人人工確認。
7.行動裝置應用程式設計要求應符合中華民國銀行商業同業公會全國聯合會（以下簡稱銀行公會）所訂定之行動裝置應用程式相關自律規範。
（四）定期針對網際網路服務之系統或應用程式進行滲透測試，依據風險高低逐步改善。
（五）採用條碼掃描技術之設計要求，應符合銀行公會所訂定之條碼掃描應用安全相關自律規範。
七、制定作業管理規範，應確定發行機構、特約機構與加值機構內部之責任制度、核可程序及與持卡人之間之責任歸屬，包含：
（一）制定安全控管規章含設備規格。
（二）安控機制說明、安控程序說明。
（三）金鑰管理措施或辦法。
（四）制定持卡人使用安全須知及完整合約。