Regulations Governing the Clearinghouse’s Plan of Security Measures for Personal Information files Article 23
The clearinghouse shall adopt following technical management measures when it uses computers or relevant apparatuses for collecting, processing or using personal information:1.Setting up authentication mechanism on computers, or relevant apparatuses or systems, and conducting identification and control for the staff authorized to access personal information.2.When the authentication mechanism involves account name and password, ensuring the mechanism has certain degree of sophistication in terms of security, and changing the password regularly.3.Setting up alerts and relevant response mechanisms on the computers, or relevant apparatuses or systems to properly react to and handle abnormal access activities.4.Carrying out identity authentication on terminals that provide access to personal information for identification and control purposes.5.Setting the quantity and scope of access authority for personal information within the extent necessary for the respective operation; sharing access authority for the respective operation not allowed in principle.6.Using firewalls or routers to prevent unauthorized access to systems stored with personal information7.Ensuring the users to have access authority in using application programs that can access personal information.8.Testing the effectiveness of access authentication mechanism regularly.9.Examining regularly whether the setting of personal information access authority is proper.10.Installing anti-virus software in the computer systems that process personal information and updating the virus code regularly.11.Installing patches for loopholes in computer operating systems and related programs regularly.12.Assessing the threat of malware regularly and ensuring the stability of the computer systems after installing anti-virus software and patch programs.13.No file-sharing software installed on terminals with access authority.14.No using real personal information in testing the information system for processing personal information; stating clearly the using procedure if real personal information is used.15.Ensuring the level of security not to decline when there is change in the information system for processing personal information.16.Checking the using records of information system for processing and accessing personal information regularly.
中文原文 票據交換所個人資料檔案安全維護計畫標準辦法第23條
票據交換所利用電腦或相關設備蒐集、處理或利用個人資料時，應採取下列技術管理措施：
一、於電腦、相關設備或系統上設定認證機制，對有存取個人資料權限之人員進行識別與控管。
二、認證機制使用帳號及密碼之方式時，使其具備一定安全之複雜度並定期更換密碼。
三、於電腦、相關設備或系統上設定警示與相關反應機制，以對不正常之存取為適當之反應與處理。
四、對於存取個人資料之終端機進行身分認證，以識別並控管之。
五、個人資料存取權限之數量及範圍，於個別作業必要之限度內設定之，且原則上不得共用存取權限。
六、採用防火牆或路由器等設定，避免儲存個人資料之系統遭受無權限之存取。
七、使用可存取個人資料之應用程式時，確認使用者具備使用權限。
八、定期測試權限認證機制之有效性。
九、定期檢視個人資料之存取權限設定正當與否。
十、於處理個人資料之電腦系統中安裝防毒軟體，並定期更新病毒碼。
十一、對於電腦作業系統及相關應用程式之漏洞，定期安裝修補之程式。
十二、定期瞭解惡意程式之威脅，並確認安裝防毒軟體及修補程式後之電腦系統之穩定性。
十三、具備存取權限之終端機不得安裝檔案分享軟體。
十四、測試處理個人資料之資訊系統時，不使用真實之個人資料，如使用真實之個人資料時，應明確規定其使用之程序。
十五、處理個人資料之資訊系統有變更時，應確認其安全性並未降低。
十六、定期檢查處理個人資料之資訊系統之使用狀況及個人資料存取之情形。
一、於電腦、相關設備或系統上設定認證機制，對有存取個人資料權限之人員進行識別與控管。
二、認證機制使用帳號及密碼之方式時，使其具備一定安全之複雜度並定期更換密碼。
三、於電腦、相關設備或系統上設定警示與相關反應機制，以對不正常之存取為適當之反應與處理。
四、對於存取個人資料之終端機進行身分認證，以識別並控管之。
五、個人資料存取權限之數量及範圍，於個別作業必要之限度內設定之，且原則上不得共用存取權限。
六、採用防火牆或路由器等設定，避免儲存個人資料之系統遭受無權限之存取。
七、使用可存取個人資料之應用程式時，確認使用者具備使用權限。
八、定期測試權限認證機制之有效性。
九、定期檢視個人資料之存取權限設定正當與否。
十、於處理個人資料之電腦系統中安裝防毒軟體，並定期更新病毒碼。
十一、對於電腦作業系統及相關應用程式之漏洞，定期安裝修補之程式。
十二、定期瞭解惡意程式之威脅，並確認安裝防毒軟體及修補程式後之電腦系統之穩定性。
十三、具備存取權限之終端機不得安裝檔案分享軟體。
十四、測試處理個人資料之資訊系統時，不使用真實之個人資料，如使用真實之個人資料時，應明確規定其使用之程序。
十五、處理個人資料之資訊系統有變更時，應確認其安全性並未降低。
十六、定期檢查處理個人資料之資訊系統之使用狀況及個人資料存取之情形。