| 第 1 條 |
本準則依電子票證發行管理條例第四條第二項訂定之。 |
| 第 2 條 |
發行機構應依本準則規定之安全需求與設計，建立安全防護措施，以確保
電子票證應用之安全強度，保護消費者之權益。 |
| 第 3 條 |
前條所稱之安全需求與設計說明如下：
一、發行機構於交易面應依據應用範圍等級，落實本準則對於交易訊息之
隱密性、完整性、來源辨識性及不可重覆性之各項規定。
二、發行機構於管理面應防範發行機構、特約機構及加值機構之交易系統
，遭受未經授權之存取、入侵威脅及破壞，有效維護交易系統之整體
性及其隱密性，並保護交易系統作業安全及維持其高度可使用性。
三、發行機構於端末設備與環境面應實施安全控管，強化端末設備之安全
防護，以防範非法交易或遭受外力破壞。
四、發行機構於電子票證面應依據應用範圍等級，選用適當型式之電子票
證。 |
| 第 4 條 |
本準則用詞定義如下：
一、加值機構：係指接受發行機構委託辦理加值作業之特定機構。
二、線上即時交易：係指持卡人利用電子設備或通訊設備，透過各種網路
型態，經由特約機構、加值機構或直接與發行機構即時連線進行交易
者，包含特約機構與發行機構間、加值機構與發行機構間、加值機構
或特約機構與其所屬之端末設備間之即時訊息傳輸。
三、前款所稱網路型態如下：
（一）專屬網路：利用電子設備或通訊設備直接以連線方式（撥接（Dial
-Up）、專線（Leased-Line）或虛擬私有網路（Virtual Private
Network，VPN）等）進行訊息傳輸。
（二）網際網路：利用電子設備或通訊設備，透過網際網路服務業者進行
訊息傳輸。
（三）行動網路：利用電子設備或通訊設備，透過電信服務業者進行訊息
傳輸。
四、非線上即時交易：係指持卡人持電子票證，利用各種介面類型，於加
值機構或特約機構之端末設備進行交易，而不與發行機構即時進行連
線者。
五、前款所稱介面類型如下：
（一）接觸式介面：利用磁性、光學或電子型式之電子票證，與特約機構
或加值機構之端末設備以實際接觸方式進行訊息傳輸。
（二）非接觸式介面：利用無線射頻、紅外線或其他無線通訊技術實作之
電子票證，與特約機構或加值機構之端末設備以非實際接觸方式進
行訊息傳輸。
（三）網路及其他離線方式：利用電子票證，透過網路、通訊設備及其他
方式，與遠端之特約機構或加值機構進行訊息傳輸，而不與發行機
構即時連線進行授權者。
六、交易類型：
（一）線上即時消費交易：係指消費交易發生時，其消費是否合法之驗證
，必須透過連線，將相關資訊送回發行機構進行處理者。
（二）非線上即時消費交易：係指消費交易發生時，其消費是否合法之驗
證，不需透過連線送回發行機構進行處理者。
（三）線上即時加值交易：係指加值交易發生時，其加值之授權，必須透
過連線，將相關資訊送回發行機構進行處理者。
（四）非線上即時加值交易：係指加值交易發生時，其加值之授權，不需
透過連線將相關訊息送回發行機構進行處理者。
（五）帳務清結算交易：包含特約機構或加值機構與其所屬端末設備間之
批次帳務訊息、特約機構或加值機構與發行機構間之批次帳務訊息
、加值機構與發行機構間之非線上即時加值額度授權請求訊息等。 |
| 第 5 條 |
發行機構對於電子票證各項交易類型，應依電子票證應用之範圍，考量商
品或服務之性質與交易金額等因素，區分應用範圍等級（如下表），並依
據本準則之規定辦理。
一、商品或服務之性質
┌────┬───────────────────────┐
│商品或服│說明 │
│務之性質│ │
├────┼───────────────────────┤
│第一類 │（一）繳納政府部門規費、稅捐、罰鍰或其他費用及│
│ │ 支付公用事業（依據民營公用事業監督條例第│
│ │ 二條定義）服務費、電信服務費、學雜費、醫│
│ │ 藥費、公共運輸（依據發展大眾運輸條例第二│
│ │ 條定義及纜車、計程車、公共自行車）、停車│
│ │ 等服務費用、依公益勸募條例辦理勸募活動之│
│ │ 捐贈金，或配合政府政策且具公共利益性質經│
│ │ 主管機關核准者屬之。 │
│ │（二）支付特約機構受各級政府委託代徵收之規費、│
│ │ 稅捐與罰鍰及受公用事業委託代收之服務費。│
├────┼───────────────────────┤
│第二類 │支付各項商品或服務之費用 │
└────┴───────────────────────┘
二、交易金額
┌──────┬─────────────────────┐
│交易金額 │說明 │
├──────┼─────────────────────┤
│小額交易 │電子票證僅支付於單筆消費金額新臺幣壹千元以│
│ │下之交易。 │
├──────┼─────────────────────┤
│不限金額交易│電子票證非僅支付於小額交易。 │
└──────┴─────────────────────┘
三、應用範圍等級
┌──┬───────────┬──────┬──────┐
│ │商品或服務之性質 │第一類 │第二類 │
├──┼───────────┼──────┼──────┤
│交易│小額交易 │第一級 │第一級 │
│金額├───────────┼──────┼──────┤
│ │不限金額交易 │第一級 │第二級 │
└──┴───────────┴──────┴──────┘ |
| 第 6 條 |
發行機構於交易面應確保電子票證交易符合下列安全規定：
一、線上即時消費交易
┌────────────┬───────┬───────┐
│連線類型 │專屬網路 │網際／行動網路│
├────────────┼───┬───┼───┬───┤
│ 應用範圍等級│第一級│第二級│第一級│第二級│
│防護措施 │ │ │ │ │
├────────────┼───┼───┼───┼───┤
│訊息隱密性 │非必要│非必要│ A │ A │
├────────────┼───┼───┼───┼───┤
│訊息完整性 │ B1 │ B1 │ B2 │ B2 │
├─────┬──────┼───┼───┼───┼───┤
│來源辨識性│ 訊息認證 │ C1 │ C2 │ C1 │ C2 │
│ │或持卡人認證│ │ │ │ │
├─────┴──────┼───┼───┼───┼───┤
│不可重覆性 │ F │ F │ F │ F │
└────────────┴───┴───┴───┴───┘
二、非線上即時消費交易
┌────────────┬───────┬───────┐
│介面類型 │接觸式／非接觸│網路及其他離線│
│ │式 │方式 │
├────────────┼───┬───┼───┬───┤
│ 應用範圍等級│第一級│第二級│第一級│第二級│
│防護措施 │ │ │ │ │
├────────────┼───┼───┼───┼───┤
│訊息隱密性 │非必要│非必要│ A │ A │
├────────────┼───┼───┼───┼───┤
│訊息完整性 │ B1 │ B2 │ B2 │ B2 │
├─────┬──────┼───┼───┼───┼───┤
│來源辨識性│電子票證認證│ D1 │ D2 │ D2 │ D2 │
│ ├──────┼───┼───┼───┼───┤
│ │ 端末認證 │ E1 │ E2 │ E2 │ E2 │
├─────┴──────┼───┼───┼───┼───┤
│不可重覆性 │ F │ F │ F │ F │
└────────────┴───┴───┴───┴───┘
三、線上即時加值交易
┌────────────┬───────┬───────┐
│連線類型 │專屬網路 │網際／行動網路│
├────────────┼───┬───┼───┬───┤
│ 應用範圍等級│第一級│第二級│第一級│第二級│
│防護措施 │ │ │ │ │
├────────────┼───┼───┼───┼───┤
│訊息隱密性 │非必要│非必要│ A │ A │
├────────────┼───┼───┼───┼───┤
│訊息完整性 │ B1 │ B1 │ B2 │ B2 │
├─────┬──────┼───┼───┼───┼───┤
│來源辨識性│發卡端認證* │ E1 │ E2 │ E2 │ E2 │
├─────┴──────┼───┼───┼───┼───┤
│不可重覆性 │ F │ F │ F │ F │
└────────────┴───┴───┴───┴───┘
（*:僅適用於具認證與儲值功能之電子票證）
四、非線上即時加值交易
┌────────────┬───────┬───────┐
│介面類型 │接觸式／非接觸│網路及其他離線│
│ │式 │方式 │
├────────────┼───┬───┼───┬───┤
│ 應用範圍等級│第一級│第二級│第一級│第二級│
│防護措施 │ │ │ │ │
├────────────┼───┼───┼───┼───┤
│訊息隱密性 │非必要│非必要│ A │ A │
├────────────┼───┼───┼───┼───┤
│訊息完整性 │ B1 │ B3 │ B3 │ B3 │
├─────┬──────┼───┼───┼───┼───┤
│來源辨識性│端末認證 │ E1 │ E2 │ E2 │ E2 │
├─────┴──────┼───┼───┼───┼───┤
│不可重覆性 │ F │ F │ F │ F │
└────────────┴───┴───┴───┴───┘
五、帳務清算及結算交易
┌────────────┬───────┬───────┐
│連線類型 │專屬網路 │網際／行動網路│
├────────────┼───┬───┼───┬───┤
│ 應用範圍等級│第一級│第二級│第一級│第二級│
│防護措施 │ │ │ │ │
├────────────┼───┼───┼───┼───┤
│訊息隱密性 │非必要│非必要│ A │ A │
├────────────┼───┼───┼───┼───┤
│訊息完整性 │ B1 │ B1 │ B2 │ B2 │
├─────┬──────┼───┼───┼───┼───┤
│來源辨識性│訊息認證 │非必要│非必要│ C2 │ C2 │
├─────┴──────┼───┼───┼───┼───┤
│不可重覆性 │ F │ F │ F │ F │
└────────────┴───┴───┴───┴───┘
六、第一款至第五款之交易訊息中若包含電腦處理個人資料保護法所定義
之個人資料，為確保其隱密性，應採對稱性加解密系統或非對稱性加
解密系統進行個人資料之加密，以防止未經授權者取得個人資料，其
安全強度應不得低於第七條對訊息隱密性之規定（Ａ）。 |
| 第 7 條 |
前條各項交易安全所稱訊息隱密性、訊息完整性、來源辨識性及不可重覆
性之安全設計應符合下列要求：
┌─────┬────────────────────────┐
│防護措施 │安全設計之基本原則 │
├───┬─┼────────────────────────┤
│ 訊 │A │應採對稱性加解密系統或非對稱性加解密系統，針對訊│
│ 息 │ │息進行全文加密，以防止未經授權者取得訊息之明文。│
│ 隱 │ │一、對稱性加解密系統應採用下列演算法之一： │
│ 密 │ │（一）美國國家標準與技術中心（National Institute│
│ 性 │ │ of Standards and Technology；以下簡稱 NIST│
│ │ │ ）之三重資料加密演算法（Triple Data │
│ │ │ Encryption Algorithm；以下簡稱 TDEA 演算法│
│ │ │ ），金鑰有效長度為 112 位元雙金鑰之三重資│
│ │ │ 料加密演算法（Two Key Triple Data │
│ │ │ Encryption Algorithm；以下簡稱 2TDEA）或 │
│ │ │ 168 位元三金鑰之三重資料加密演算法 （Three│
│ │ │ Key Triple Data Encryption Algorithm；以下│
│ │ │ 簡稱 3TDEA）。 │
│ │ │（二）NIST 之進階加密標準（Advanced Encryption │
│ │ │ Standard；以下簡稱 AES 演算法），金鑰長度│
│ │ │ 為 128、192 或 256 位元。 │
│ │ │二、非對稱性加解密系統應採用下列演算法之一： │
│ │ │（一）RSA 加密標準（Rivest、Shamir、Adleman │
│ │ │ Encryption Standard ；以下簡稱 RSA 演算法│
│ │ │ ），金鑰長度 1024 或 2048 位元。 │
│ │ │（二）橢圓曲線數位簽章演算法（Elliptic Curve │
│ │ │ Digital Signature Algorithm ；以下簡稱 │
│ │ │ ECDSA 演算法），質數模數為 256 位元（P-25│
│ │ │ 6 ）。 │
├───┼─┼────────────────────────┤
│ 訊 │B1│應採用下列防止非惡意篡改訊息之檢核碼技術之一： │
│ 息 │ │一、縱向冗餘校驗（Longitudinal Redundancy Check │
│ 完 │ │ ，LRC ） │
│ 整 │ │二、循環冗餘校驗（Cyclic Redundancy Check，CRC）│
│ 性 │ │三、使用雜湊（Hash）演算法產生訊息摘要（Message │
│ │ │ Digest） │
│ ├─┼────────────────────────┤
│ │B2│應採用可防止蓄意篡改訊息之加解密技術，可採對稱性│
│ │ │加解密系統進行押碼（Message Authentication Code,│
│ │ │MAC ）或非對稱性加解密系統產生數位簽章（Digital │
│ │ │Signature ）等機制。 │
│ │ │一、對稱性加解密系統應採用下列演算法之一： │
│ │ │（一）TDEA 演算法，金鑰有效長度為 112 位元（ │
│ │ 2TDEA 或 168 位元（3TDEA ）。 │
│ │ │（二）AES 演算法，金鑰長度為 128、192 或 256 位│
│ │ │ 元。 │
│ │ │二、非對稱性加解密系統應採用下列演算法之一： │
│ │ │（一）RSA 演算法，金鑰長度 1024 或 2048 位元。 │
│ │ │（二）ECDSA 演算法，質數模數為 256 位元（P-256 │
│ │ │ ）。 │
│ ├─┼────────────────────────┤
│ │B3│除須符合 B2 之所要求之強度外，加值交易訊息之金額│
│ │ │須參與訊息完整性之運算 │
├─┬─┼─┼────────────────────────┤
│來│訊│C1│應確保持卡人之正確性，可採用下列任一種持卡人認證│
│源│息│ │方式： │
│辨│認│ │一、用戶代號與固定密碼。 │
│識│證│ │二、磁條卡與磁條卡密碼。 │
│性│或│ │三、用戶代號與動態密碼：動態密碼係運用動態密碼產│
│ │持│ │ 生器、簡訊、或以其他方式運用一次性密碼（One │
│ │卡│ │ Time Password ；以下簡稱 OTP）原理，隨機產生│
│ │人│ │ 限定一次使用之密碼者。 │
│ │認│ │四、以密碼學運算為基礎，提供認證功能之晶片型電子│
│ │證│ │ 票證。 │
│ │ ├─┼────────────────────────┤
│ │ │C2│應採用具訊息認證功能之晶片型電子票證或端末安全模│
│ │ │ │組，確保訊息來源之正確性，可採對稱性加解密系統進│
│ │ │ │行押碼或非對稱性加解密系統產生數位簽章等機制。 │
│ │ │ │一、對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）TDEA 演算法，金鑰有效長度為 112 位元（ │
│ │ │ │ 2TDEA ）或 168 位元（3TDEA ）。 │
│ │ │ │（二）AES 演算法，金鑰長度為 128、192 或 256 位│
│ │ │ │ 元。 │
│ │ │ │二、非對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）RSA 演算法，金鑰長度 1024 或 2048 位元。 │
│ │ │ │（二）ECDSA 演算法，質數模數為 256 位元（P-256 │
│ │ │ │ ）。 │
│ ├─┼─┼────────────────────────┤
│ │電│D1│應採用對稱性加解密系統或非對稱性加解密系統，由端│
│ │子│ │末設備確認電子票證之合法性，以防範非法之電子票證│
│ │票│ │。 │
│ │證├─┼────────────────────────┤
│ │認│D2│應採用對稱性加解密系統或非對稱性加解密系統，由端│
│ │證│ │末設備確認電子票證之合法性，以防範非法之電子票證│
│ │ │ │。 │
│ │ │ │一、對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）TDEA 演算法，金鑰有效長度為 112 位元（ │
│ │ │ │ 2TDEA ）或 168 位元（3TDEA ）。 │
│ │ │ │（二）AES 演算法，金鑰長度為 128、192 或 256 位│
│ │ │ │ 元。 │
│ │ │ │二、非對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）RSA 演算法，金鑰長度 1024 或 2048 位元。 │
│ │ │ │（二）ECDSA 演算法，質數模數為 256 位元（P-256 │
│ │ │ │ ）。 │
│ ├─┼─┼────────────────────────┤
│ │端│E1│應採用對稱性加解密系統或非對稱性加解密系統，由電│
│ │末│ │子票證確認端末設備或發行機構之合法性，以防止未經│
│ │／│ │授權之端末設備逕行交易。 │
│ │發├─┼────────────────────────┤
│ │卡│E2│應採用對稱性加解密系統或非對稱性加解密系統，由電│
│ │端│ │子票證確認端末設備或發行機構之合法性，以防止未經│
│ │認│ │授權之端末設備逕行交易。 │
│ │證│ │一、對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）NIST 之 TDEA 演算法，金鑰有效長度為 112 │
│ │ │ │ 位元（2TDEA ）或 168 位元（3TDEA ）。 │
│ │ │ │（二）NIST 之 AES 演算法，金鑰長度為 128、192 │
│ │ │ │ 或 256 位元。 │
│ │ │ │二、非對稱性加解密系統應採用下列演算法之一： │
│ │ │ │（一）RSA 演算法，金鑰長度 1024 或 2048 位元。 │
│ │ │ │（二）ECDSA 演算法，質數模數為 256 位元（P-256 │
│ │ │ │ ） 。 │
├─┴─┼─┼────────────────────────┤
│不可重│F │應防止以先前成功之交易訊息完成另一筆交易，可採用│
│覆性 │ │序號、日期時間或時序或密碼學挑戰-回應（Challenge│
│ │ │-Response ）等機制。 │
└───┴─┴────────────────────────┘ |
| 第 8 條 |
發行機構於管理面應採取下列防護措施：
┌─────────┬────────────────────┐
│防護措施 │安全需求 │
├─────────┼────────────────────┤
│建立安全防護策略 │一、建立電腦資源存取控制機制與安全防護措│
│ │ 施 │
│ │二、交易必須可被追蹤 │
│ │三、監控非法交易 │
│ │四、須防止小規模之特約機構不當扣款 │
│ │五、完善之金鑰管理 │
├─────────┼────────────────────┤
│提高系統安全之措施│提昇電腦系統之安全及可用性 │
├─────────┼────────────────────┤
│制定作業管理規範 │制定作業管理規範 │
└─────────┴────────────────────┘ |
| 第 9 條 |
前條發行機構管理面安全需求之安全設計應符合下列要求：
┌────────┬─────────────────────┐
│安全需求 │安全設計 │
├────────┼─────────────────────┤
│建立電腦資源存取│應防範未經授權存取系統資源，並降低非法入侵│
│控制機制與安全防│之可能性。應以下列方式處理及管控： │
│護措施 │一、建置安全防護軟硬體，如防火牆（Firewall│
│ │ ）、安控軟體、偵測軟體等。 │
│ │二、控制密碼錯誤次數。 │
│ │三、電腦系統密碼檔加密。 │
│ │四、留存交易紀錄（Transaction Log ）及稽核│
│ │ 追蹤紀錄（Audit Trail ）。 │
│ │五、設計存取權控制（Access Control）如使用│
│ │ 密碼、晶片卡等。 │
│ │六、簽入（Login ）時間控制。 │
│ │七、遠端存取應使用虛擬私有網路（VPN ）。 │
│ │八、系統資源應依其重要性與敏感性分級管理。│
│ │九、強制更換應用軟體及網路作業系統之預設密│
│ │ 碼。 │
│ │十、系統提供各項服務功能時，應確保個人資料│
│ │ 保護措施。 │
├────────┼─────────────────────┤
│交易必須可被追蹤│交易紀錄明細應包含下列資訊，並留存於發行機│
│ │構主機備查： │
│ │一、用戶代號或卡號。 │
│ │二、交易金額。 │
│ │三、端末設備代號。 │
│ │四、交易序號或交易日期、時間。 │
├────────┼─────────────────────┤
│監控非法交易 │發行機構應監控非法交易。 │
├────────┼─────────────────────┤
│須防止小規模之特│一、實收資本額低於新臺幣八千萬元且年營業額│
│約機構不當扣款 │ 低於新臺幣六千萬元之特約機構應以下列任│
│ │ 一方式進行交易： │
│ │（一）刷卡或插卡。 │
│ │（二）輸入密碼。 │
│ │（三）任何由系統所提供予持卡人進行確認之設│
│ │ 計。 │
│ │（四）感應距離限縮至四公分（含）以下。 │
│ │二、特約機構符合下列情形之一者，得不適用前│
│ │ 目規定： │
│ │（一）提供第一類商品或服務。 │
│ │（二）加盟經營關係中，加盟業主實收資本額高│
│ │ 於新臺幣八千萬元或年營業額高於新臺幣│
│ │ 六千萬元之加盟店。 │
│ │三、發行機構與前目加盟業主及加盟店間應簽訂│
│ │ 三方之特約機構契約，或分別與前目加盟業│
│ │ 者及加盟店簽定特約機構契約，並應依下列│
│ │ 規定辦理： │
│ │（一）發行機構應訂定防止加盟店不當扣款之內│
│ │ 部控制制度。 │
│ │（二）發行機構應於三方契約中或與加盟業主之│
│ │ 契約中，要求加盟業主對加盟店及其受僱│
│ │ 人員因故意或過失致發生不當扣款情事，│
│ │ 對持卡人負同一責任。 │
├────────┼─────────────────────┤
│完善之金鑰管理 │金鑰管理應有下列之安全考量： │
│ │一、應確保金鑰品質（避免產生弱金鑰）。 │
│ │二、金鑰之使用、儲存、傳送與銷毀，應確保金│
│ │ 鑰之內容無洩露之虞。 │
│ │三、金鑰應備份以確保其可用性。 │
│ │四、保存金鑰之設備或媒體，於更新或報廢時，│
│ │ 應具適當之存取控管程序，以確保金鑰無洩│
│ │ 露之虞。 │
├────────┼─────────────────────┤
│提昇電腦系統之安│應建立異地備援及故障預防措施，包含： │
│全及可用性 │一、預備主機、伺服器、通訊設備、線路、週邊│
│ │ 設備等備援裝置。 │
│ │二、建置病毒偵測軟體（Virus Detection │
│ │ Software），定期對網路節點及伺服器進行│
│ │ 掃毒。 │
│ │三、定期更新系統修補程式（Patch, Hotfix ）│
│ │ 。 │
│ │四、確保伺服器、網路設備之實體安全。 │
├────────┼─────────────────────┤
│制定作業管理規範│應確定發行機構、特約機構與加值機構內部之責│
│ │任制度、核可程序及與持卡人之間之責任歸屬，│
│ │應包含： │
│ │一、制定安全控管規章含設備規格。 │
│ │二、安控機制說明、安控程序說明。 │
│ │三、金鑰管理措施或辦法。 │
│ │四、制定持卡人使用安全須知及完整合約。 │
└────────┴─────────────────────┘ |
| 第 10 條 |
發行機構於端末設備與環境面應採取下列防護措施：
┌────────┬─────────────────────┐
│防護措施 │安全需求 │
├────────┼─────────────────────┤
│建立安全防護策略│一、保持端末設備與環境之實體完整性 │
│ │二、確保端末設備交易之安全性 │
│ │三、建置有效或即時之管控名單管理機制 │
│ │四、非接觸式電子票證應降低交易被意外觸發之│
│ │ 機率 │
│ │五、非線上即時加值應具有端末安全模組之設計│
│ │六、非線上即時交易，若採用應用範圍等級第一│
│ │ 級之電子票證，且使用於提供第二類商品或│
│ │ 服務之特約機構，應採取降低偽卡交易之必│
│ │ 要措施 │
│ │七、網際網路應用系統開發注意事項 │
├────────┼─────────────────────┤
│提高系統可用性之│提高系統可用性之措施 │
│措施 │ │
├────────┼─────────────────────┤
│制定作業管理規範│制定作業管理規範：內部環境管理部分應落實管│
│ │理規則之規範。 │
└────────┴─────────────────────┘ |
| 第 11 條 |
前條發行機構端末設備與環境面安全需求之安全設計應符合下列要求：
┌────────┬─────────────────────┐
│安全需求 │安全設計 │
├────────┼─────────────────────┤
│保持端末設備與環│應採用下列各項安全設計： │
│境之實體完整性 │一、定期檢視是否有增減相關裝置： │
│ │（一）原始設施確實逐項編號。 │
│ │（二）比對現場相關設施及裝置是否與原始狀態│
│ │ 一致。 │
│ │（三）建立檢視清單（Checklist ），並應定期│
│ │ 覆核並追蹤考核。 │
│ │二、應確定與端末設備合作廠商簽訂資料保密契│
│ │ 約，並應將參與端末設備安裝、維護作業之│
│ │ 人員名單交付造冊列管，如有異動，應隨時│
│ │ 主動通知發行機構更新之。 │
│ │三、端末設備合作廠商人員至現場作業時，均應│
│ │ 出示經認可之識別證件。除安裝、維護作業│
│ │ 外，並應配合隨時檢視端末設備硬體是否遭│
│ │ 到不當外力入侵或遭裝置側錄設備。 │
│ │四、發行機構應不定時派員抽檢安裝於特約機構│
│ │ 或加值機構之端末設備，檢視該硬體是否遭│
│ │ 到不當外力入侵，並檢視其軟體是否遭到不│
│ │ 法竄改。 │
├────────┼─────────────────────┤
│確保端末設備交易│運用端末設備處理交易時，應符合下述規範： │
│之安全性 │一、電子票證內含錄碼及資料，除帳號、卡號、│
│ │ 有效期限、交易序號及查證交易是否發生之│
│ │ 相關必要資料外，其他資料一律不得儲存於│
│ │ 端末設備。 │
│ │二、應確保端末設備之合法性，另端末設備應有│
│ │ 唯一之端末設備代號。 │
│ │三、應用範圍屬第二級之交易，端末設備之安全│
│ │ 模組應個別化（即每一端末設備之認證金鑰│
│ │ 皆不相同）。 │
├────────┼─────────────────────┤
│建置有效或即時之│為有效防範非法電子票證進行交易，發行機構應│
│管控名單管理機制│建置管控名單管理機制，對於線上即時交易應即│
│ │時更新，非線上即時交易應每日更新。 │
├────────┼─────────────────────┤
│非接觸式電子票證│端末設備應包含下列設計，以降低非接觸式電子│
│應降低交易被意外│票證在持卡人無交易之意願下，交易被意外觸發│
│觸發之機率 │之機率： │
│ │一、感應距離限縮至六公分（含）以下。 │
│ │二、交易過程應有聲音、燈號或圖像等之提示。│
├────────┼─────────────────────┤
│非線上即時加值應│非線上即時加值交易之端末設備應具有安全模組│
│具有端末安全模組│之設計，進行加值交易另應包含下列設計： │
│之設計 │一、逐筆授權加值交易。 │
│ │二、限制其單筆加值金額。 │
│ │三、限制其加值總額（如：日限額），額度用罊│
│ │ 應連線至發行機構重新授權可加值額度。 │
│ │四、安全模組應進行妥善之管理，如製發卡與交│
│ │ 貨控管流程、管制製卡作業、落實安全模組│
│ │ 之安全控管等。 │
├────────┼─────────────────────┤
│非線上即時交易，│應用範圍等級第一級之電子票證，若使用於提供│
│若採用應用範圍等│第二類商品或服務之特約機構進行非線上即時交│
│級第一級之電子票│易，發行機構應要求特約機構設置錄影監視設備│
│證，且使用於提供│且於營業時間內保持全時錄影，或採取其他必要│
│第二類商品或服務│之措施以降低偽卡交易。 │
│之特約機構，應採│ │
│取降低偽卡交易之│ │
│必要措施 │ │
├────────┼─────────────────────┤
│網際網路應用系統│若電子票證持卡人透過瀏覽器以網際網路進行交│
│開發注意事項 │易，網路應用系統之開發應有下列設計： │
│ │一、網站應採用網頁安全傳輸協定（Secure │
│ │ Sockets Layer ；簡稱 SSL）加密或其他安│
│ │ 全強度不得低於第七條對訊息隱密性之規定│
│ │ （A ）之方式加密傳輸資料。 │
│ │二、系統應依每筆交易動態隨機變動端末設備查│
│ │ 核碼或以亂碼化保護。 │
│ │三、系統應設計具遮罩功能之圖形驗證碼（ │
│ │ Graphic One Time Password ；簡稱 GOTP │
│ │ ）或隨機按鈕等方式。 │
│ │四、系統應設計動態頁面呈現或限制滑鼠點選，│
│ │ 以防止模擬鍵盤控制（SendKey Control ）│
│ │ 攻擊。 │
│ │五、系統應有連線（Session ）控制及網頁逾時│
│ │ （Timeout ）中斷機制。 │
│ │六、若有多網頁設計，系統應驗證前一網頁正確│
│ │ 性。 │
│ │七、客戶端元件應驗證網站正確性。 │
│ │八、客戶端元件應具有防盜用機制，以驗證正確│
│ │ 網站。 │
│ │九、客戶端元件應具有作業系統認可之程式碼簽│
│ │ 章憑證（CodeSign）。 │
│ │十、客戶端元件應具存取卡片時限定為獨占模式│
│ │ 之設計。 │
│ │十一、客戶端元件應具有需經人工介入以完成交│
│ │ 易之設計。 │
│ │十二、如有駭客入侵時，發行機構應即關閉網路│
│ │ 服務，以確保交易安全。 │
├────────┼─────────────────────┤
│提高系統可用性之│應以下列方式處理及管控： │
│措施 │一、規劃備援線路或其他可確保提高系統可用性│
│ │ 之措施。 │
│ │二、規劃備援電路或不斷電系統（Uninterrupt-│
│ │ ible Power Supply ；簡稱 UPS）。 │
├────────┼─────────────────────┤
│制定作業管理規範│應制定端末設備管理規章，含設備規格、安控機│
│ │制說明、安控程序說明、安全模組控管作業原則│
│ │、管控名單管理機制、特約機構與加值機構簽約│
│ │與管理辦法等。 │
└────────┴─────────────────────┘ |
| 第 12 條 |
發行機構應依據應用範圍等級選用下列適當型式之電子票證：
┌───┬──────────────────────────┐
│應用範│適用電子票證類型 │
│圍等級│ │
├───┼──────────────────────────┤
│第一級│電子票證應為下列類型之一，第三點至第五點僅限於線上即│
│ │時交易： │
│ │一、具加解密運算能力之晶片卡。 │
│ │二、記憶型晶片卡與固定密碼。 │
│ │三、用戶代號與動態密碼。 │
│ │四、磁條卡與固定密碼。 │
│ │五、用戶代號與固定密碼。 │
├───┼──────────────────────────┤
│第二級│電子票證應為下列類型之一： │
│ │一、符合第六條之安全規定，且經安全認證之晶片卡。 │
│ │二、用戶代號與經安全認證之動態密碼產生器（如 OTP │
│ │ Token ）（限以線上即時方式進行交易）。 │
└───┴──────────────────────────┘
前項所稱「安全認證」係指經主管機關確認其安全等級通過行政院國家通
訊傳播委員會或共同準則相互承認協定（Common Criteria Recognition
Arrangement ；CCRA）認可之驗證機構進行第三方驗證，符合或等同於下
列任一標準者：
一、共同準則（Common Criteria ）ISO/IEC15408 v2.3 EAL4+ （含增項
AVA_VLA.4 及 ADV_IMP.2）。
二、共同準則（Common Criteria ）ISO/IEC15408 v3.1 EAL4+ （含增項
AVA_VAN.5 ）。
三、我國國家標準 CNS 15408 EAL4+（含增項 AVA_VLA.4及ADV_IMP.2 ）
。
四、其他經主管機關認可之驗證標準。 |
| 第 13 條 |
發行機構對電子票證應採取下列防護措施：
┌────────┬─────────────────────┐
│防護措施 │安全需求 │
├────────┼─────────────────────┤
│建立安全防護策略│一、確認電子票證之合法性。 │
│ │二、採用戶代號與固定密碼者，應有一定之安全│
│ │ 設計。 │
│ │三、儲存於電子票證之個人資料必須保護。 │
├────────┼─────────────────────┤
│制定作業管理規範│制定電子票證交貨控管流程 │
└────────┴─────────────────────┘ |
| 第 14 條 |
前條發行機構電子票證安全需求之安全設計應符合下列要求：
┌──────┬───────────────────────┐
│安全需求 │安全設計 │
├──────┼───────────────────────┤
│確認電子票證│應以下列任一方式確保電子票證之合法性： │
│之合法性 │一、具有獨立且唯一之識別碼。 │
│ │二、電子票證具有認證之功能。 │
├──────┼───────────────────────┤
│若採用戶代號│採用戶代號及固定密碼者，應有下列之安全設計： │
│與固定密碼者│一、用戶代號之安全設計： │
│，應有一定之│（一）發行機構如使用客戶之顯性資料（如統一編號│
│安全設計 │ 、身分證號及帳號）作為識別，應另行增設持│
│ │ 卡人代號以資識別。 │
│ │（二）不得少於六位。 │
│ │（三）不得訂為相同之英文字或數字、連續英文字或│
│ │ 連號數字。 │
│ │（四）客戶於申請後若未於一個月（日曆日）內變更│
│ │ 密碼，則不得再以該用戶代號執行簽入。 │
│ │（五）客戶同一時間內只能登入一次密碼。 │
│ │（六）如增設持卡人代號，至少應依下列方式辦理：│
│ │ 1.不得為客戶之顯性資料。 │
│ │ 2.如輸入錯誤達五次，發行機構應做妥善處理│
│ │ 。 │
│ │ 3.新建立時不得與用戶代號相同；變更時，亦│
│ │ 同。 │
│ │二、密碼之安全設計： │
│ │（一）不得少於六位。若搭配交易密碼使用則不得少│
│ │ 於四位。 │
│ │（二）建議採英文字或數字混合使用，且宜包含大小│
│ │ 寫英文字母或符號。 │
│ │（三）不得訂為相同之英文字或數字、連續英文字或│
│ │ 連號數字。 │
│ │（四）密碼與代號不得相同。 │
│ │（五）密碼連續錯誤達五次，不得再繼續執行交易。│
│ │（六）變更密碼不得與前一次相同。 │
│ │（七）首次登入時，應強制變更預設密碼。 │
├──────┼───────────────────────┤
│儲存於電子票│若使用電子票證儲存個人資料，應設計存取控制或持│
│證之個資必須│卡人確認之機制，以限制其讀取。 │
│保護 │ │
├──────┼───────────────────────┤
│制定電子票證│發行機構應針對電子票證之生命週期進行妥善之管理│
│交貨控管流程│，包含： │
│ │一、制定電子票證製發卡與交貨控管流程。 │
│ │二、管制外包製卡作業。 │
│ │三、落實實體電子票證之安全控管。 │
└──────┴───────────────────────┘ |
| 第 15 條 |
發行機構應按季向主管機關申報異常交易金額，若年度累計總金額超過實
收資本額之百分之一，應即向主管機關提報改善計畫。 |
| 第 16 條 |
發行機構應依第五條有關商品或服務之性質及交易金額等之分類，按季向
主管機關或其指定機構申報統計資料。 |
| 第 17 條 |
發行機構應委託會計師查核依本準則規定辦理之情形，並於年度終了後二
個月內，將查核情形報主管機關備查。 |
| 第 18 條 |
本準則發布施行前，現有已發行電子票證並經核准辦理電子票證業務之發
行機構及已辦理電子票證業務之銀行，有不符第九條「須防止小規模之特
約機構不當扣款」之規定者，應自本準則發布施行後六個月內調整之。 |
| 第 19 條 |
本準則自發布日施行。 |