電子票證應用安全強度準則修正總說明
金融監督管理委員會依據「電子票證發行管理條例」（以下簡稱本 條例）第四條第二項授權訂定「電子票證應用安全強度準則」（以下簡 稱本準則），並於九十八年七月十六日公布施行。嗣後於一○四年四月 三十日第一次修正。因應本條例部分條文修正業經總統於一○四年六月 二十四日公布施行，以及電子票證業務發展之實際需要，爰修正本準則。
本次計修正十三條條文，修正重點說明如下：
一、 配合本條例第五條之一規定，針對記名式電子票證移轉至同一持 卡人電子支付帳戶之交易，增訂票證款項移轉交易類型及其相關 交易安全設計。 （修正條文第四條、第六條、第九條及第十二條）
二、 為強化電子票證安全性，並考量 Rivest, Shamir and Adleman Encryption Algorithm (下稱 RSA)加密技術發展演進，訊息隱密性 之安全設計增訂自一○六年一月一日起，新發行之電子票證不應 採用低於 RSA 1024bits 之金鑰長度進行加密運算；另因應電子票 證之實務應用需求，於來源辨識性增訂 C3 之安全設計。(修正條 文第七條)
三、 因應新興科技發展與新型態資安攻擊，增訂金鑰儲存之設備要求 規定及電腦系統之安全防護措施規定，以確保發行機構實體設備 及電腦系統之安全強度。 （修正條文第九條）
四、 考量公共運輸端末設備確有將感應距離拉長，以縮短交易完成時 間之需要，及電子票證發行機構與信用卡收單機構端末設備進行 併機作業時，信用卡收單機構端末設備感應距離十公分之實務設 計，且該等端末設備已遵循 EMV 標準以及銀行相關之管理措施，
爰增訂發行機構如係共用信用卡收單機構之端末設備或特約機構 係提供公共運輸服務者，其端末設備感應距離放寬至十公分（含）
以下之規定，以兼顧實務作業需要及電子票證風險控管。(修正條 文第十一條)
五、 配合新興技術應用，增訂用戶代號與生物特徵(如指紋、臉部、虹
膜、聲音、掌紋、靜脈、簽名等)為得適用第一級應用範圍之電子
票證類型。（修正條文第十二條）
六、 依據「中央法規標準法」改採條次取代原表格書寫方式，並酌作
文字修正，以利條文內容更符合實務作業。(修正條文第五條至第
十四條)
電子票證應用安全強度準則修正條文對照表
修正條文 現行條文 說明
第一條 本準則依電子票證 發行管理條例第四條第二 項訂定之。
第一條 本準則依電子票證 發行管理條例第四條第二 項訂定之。
本條未修正。
第二條 發行機構應依本準 則 規 定 之 安 全 需 求 與 設 計，建立安全防護措施，
以確保電子票證應用之安 全強度，保護消費者之權 益。
第二條 發行機構應依本準 則 規 定 之 安 全 需 求 與 設 計，建立安全防護措施，
以確保電子票證應用之安 全強度，保護消費者之權 益。
本條未修正。
第三條 前條所稱之安全需 求與設計說明如下：
一、發行機構於交易面應 依據應用範圍等級，
落實本準則對於交易 訊息之隱密性、完整 性、來源辨識性及不 可 重 覆 性 之 各 項 規 定。
二、發行機構於管理面應 防範發行機構、特約 機構及加值機構之交 易系統，遭受未經授 權之存取、入侵威脅 及破壞，有效維護交 易系統之整體性及其 隱密性，並保護交易 系統作業安全及維持 其高度可使用性。
三、發行機構於端末設備 與環境面應實施安全 控管，強化端末設備 之安全防護，以防範 非法交易或遭受外力 破壞。
四、發行機構於電子票證 面應依據應用範圍等
第三條 前條所稱之安全需 求與設計說明如下：
一、發行機構於交易面應 依據應用範圍等級，
落實本準則對於交易 訊息之隱密性、完整 性、來源辨識性及不 可 重 覆 性 之 各 項 規 定。
二、發行機構於管理面應 防範發行機構、特約 機構及加值機構之交 易系統，遭受未經授 權之存取、入侵威脅 及破壞，有效維護交 易系統之整體性及其 隱密性，並保護交易 系統作業安全及維持 其高度可使用性。
三、發行機構於端末設備 與環境面應實施安全 控管，強化端末設備 之安全防護，以防範 非法交易或遭受外力 破壞。
四、發行機構於電子票證 面應依據應用範圍等
本條未修正。
級，選用適當型式之 電子票證。
級，選用適當型式之 電子票證。
第四條 本準則用詞定義如 下：
一、加值機構：係指接受 發行機構委託辦理加 值作業之特定機構。
二、線上即時交易：係指 持卡人利用電子設備 或通訊設備，透過各 種網路型態，經由特 約機構、加值機構或 直接與發行機構即時 連線進行交易者，包 含特約機構與發行機 構間、加值機構與發 行機構間、加值機構 或特約機構與其所屬 之端末設備間之即時 訊息傳輸。
三、前款所稱網路型態如 下：
(一)專屬網路：指利用 電 子 設 備 或 通 訊 設 備 以 撥 接 (Dial-Up) 、 專 線 (Leased-Line) 或 虛 擬 私 有 網 路 (Virtual Private Network，VPN)等 連 線 方 式 進 行 訊 息傳輸。
(二)網際網路：指利用 電 子 設 備 或 通 訊 設備，透過網際網 路 服 務 業 者 進 行 訊息傳輸。
(三)行動網路：指利用
第四條 本準則用詞定義如 下：
一、加值機構：係指接受 發行機構委託辦理加 值作業之特定機構。
二、線上即時交易：係指 持卡人利用電子設備 或通訊設備，透過各 種網路型態，經由特 約機構、加值機構或 直接與發行機構即時 連線進行交易者，包 含特約機構與發行機 構間、加值機構與發 行機構間、加值機構 或特約機構與其所屬 之端末設備間之即時 訊息傳輸。
三、前款所稱網路型態如 下：
(一)專屬網路：利用電 子 設 備 或 通 訊 設 備 直 接 以 連 線 方 式 ( 撥 接 (Dial-Up) 、 專 線 (Leased-Line) 或 虛 擬 私 有 網 路 (Virtual Private Network，VPN)等) 進行訊息傳輸。
(二)網際網路：利用電 子 設 備 或 通 訊 設 備，透過網際網路 服 務 業 者 進 行 訊 息傳輸。
(三)行動網路：利用電
一、第三款至第五款酌作文 字修正，以符合實務作 業。
二、配合「電子票證發行管 理條例」第五條之一第 一項規定，第六款交易 類型增訂第五目票證款 項移轉交易。現行第五 目移列至第六目。
三、增訂第七款，定義各款 密碼學演算法。
四、增訂第八款，定義動態 密碼。
電 子 設 備 或 通 訊 設備，透過電信服 務 業 者 進 行 訊 息 傳輸。
四、非線上即時交易：係 指 持 卡 人 持 電 子 票 證，利用各種介面類 型，於端末設備進行 交易，而不與發行機 構即時進行連線者。
五、前款所稱介面類型如 下：
(一)接觸式介面：利用 磁性、光學或電子 型 式 之 電 子 票 證，與端末設備以 實 際 接 觸 方 式 進 行訊息傳輸。
(二)非接觸式介面：利 用無線射頻、紅外 線 或 其 他 無 線 通 訊 技 術 實 作 之 電 子票證，與端末設 備 以 非 實 際 接 觸 方 式 進 行 訊 息 傳 輸。
(三)網路及其他離線 方式：利用電子票 證，透過網路、通 訊 設 備 及 其 他 方 式，與遠端之特約 機 構 或 加 值 機 構 進行訊息傳輸，而 不 與 發 行 機 構 即 時 連 線 進 行 授 權 者。
六、交易類型：
(一)線上即時消費交
子 設 備 或 通 訊 設 備，透過電信服務 業 者 進 行 訊 息 傳 輸。
四、非線上即時交易：係 指 持 卡 人 持 電 子 票 證，利用各種介面類 型，於加值機構或特 約機構之端末設備進 行交易，而不與發行 機 構 即 時 進 行 連 線 者。
五、前款所稱介面類型如 下：
(一)接觸式介面：利用 磁性、光學或電子 型 式 之 電 子 票 證，與特約機構或 加 值 機 構 之 端 末 設 備 以 實 際 接 觸 方 式 進 行 訊 息 傳 輸。
(二)非接觸式介面：利 用無線射頻、紅外 線 或 其 他 無 線 通 訊 技 術 實 作 之 電 子票證，與特約機 構 或 加 值 機 構 之 端 末 設 備 以 非 實 際 接 觸 方 式 進 行 訊息傳輸。
(三)網路及其他離線 方式：利用電子票 證，透過網路、通 訊 設 備 及 其 他 方 式，與遠端之特約 機 構 或 加 值 機 構 進行訊息傳輸，而
易：係指消費交 易發生時，其消 費是否合法之驗 證，必須透過連 線，將相關資訊 送回發行機構進 行處理者。
(二)非線上即時消費 交易：係指消費 交易發生時，其 消費是否合法之 驗證，不需透過 連線送回發行機 構進行處理者。
(三)線上即時加值交 易：係指加值交 易發生時，其加 值之授權，必須 透過連線，將相 關資訊送回發行 機 構 進 行 處 理 者。
(四)非線上即時加值 交易：係指加值 交易發生時，其 加值之授權，不 需透過連線將相 關訊息送回發行 機 構 進 行 處 理 者。
(五)票證款項移轉交 易：係指將具儲 值功能之記名式 電子票證款項移 轉至同一持卡人 電子支付帳戶，
其移轉之授權，
必須透過連線，
不 與 發 行 機 構 即 時 連 線 進 行 授 權 者。
六、交易類型：
(一)線上即時消費交 易：係指消費交 易發生時，其消 費是否合法之驗 證，必須透過連 線，將相關資訊 送回發行機構進 行處理者。
(二)非線上即時消費 交易：係指消費 交易發生時，其 消費是否合法之 驗證，不需透過 連線送回發行機 構進行處理者。
(三)線上即時加值交 易：係指加值交 易發生時，其加 值之授權，必須 透過連線，將相 關資訊送回發行 機 構 進 行 處 理 者。
(四)非線上即時加值 交易：係指加值 交易發生時，其 加值之授權，不 需透過連線將相 關訊息送回發行 機 構 進 行 處 理 者。
( 五 ) 帳 務 清 結 算 交 易：包含特約機 構或加值機構與
將相關訊息送回 發行機構進行處 理者。
( 六 ) 帳 務 清 結 算 交 易：包含特約機 構或加值機構與 其所屬端末設備 間之批次帳務訊 息、特約機構或 加值機構與發行 機構間之批次帳 務訊息、加值機 構與發行機構間 之非線上即時加 值額度授權請求 訊息等。
七、常用密碼學演算法如 下：
（一）對稱性加解密演 算法：指資料加 密 標 準 (Data Encryption
Standard ； 以 下 簡稱 DES)、三重 資 料 加 密 標 準 (Triple DES；以下 簡稱 3DES)、進 階資料加密標準 (Advanced
Encryption Standard；以下簡 稱 AES)。
（二）非對稱性加解密 演算法：指 RSA 加 密 演 算 法 (Rivest, Shamir and Adleman Encryption
其所屬端末設備 間之批次帳務訊 息、特約機構或 加值機構與發行 機構間之批次帳 務訊息、加值機 構與發行機構間 之非線上即時加 值額度授權請求 訊息等。
Algorithm ；以下 簡稱 RSA)、橢圓 曲 線 密 碼 學 (Elliptic Curve Cryptography；以 下簡稱 ECC)。
（三）雜湊函數：指安 全 雜 湊 演 算 法 (Secure Hash Algorithm ；以下 簡稱 SHA)。
八、動態密碼：係運用動 態密碼產生器或以其 他方式運用一次性密 碼 (One Time Password；以下簡稱 OTP)原理，隨機產生 限定一次使用之密碼 者。
第五條 發行機構對於電子 票證各項交易類型，應依 電子票證應用之範圍，考 量商品或服務之性質與交 易金額等因素，區分應用 範圍等級，並依據本準則 之規定辦理。
商品或服務之性質 可區分為二類：
一、第一類：繳納政府部 門規費、稅捐、罰緩 或其他費用及支付公 用事業（依據民營公 用事業監督條例第二 條定義）服務費、電 信服務、學雜費、醫 藥費、公共運輸（依 據發展大眾運輸條例 第二條定義及纜車、
第五條 發行機構對於電子 票證各項交易類型，應依 電子票證應用之範圍，考 量商品或服務之性質與交 易金額等因素，區分應用 範圍等級（如下表），並依 據本準則之規定辦理。
一、商品或服務之性質 商品
或服 務之 性質
說明
第一 類
(一)繳納政府部門 規費、稅捐、
罰緩或其他費 用及支付公用 事 業 ( 依 據 民 營公用事業監 督條例第二條
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、考量政府部門積極響應 節能減碳，於板橋等地 陸續推廣公共機車，故 於第一款第一目之第一 類繳納範圍增加公共汽 機車。
計 程 車 、 公 共 自 行 車、公共汽機車）、停 車等服務費用、依公 益勸募條例辦理勸募 活動之捐贈金、配合 政府政策且具公共利 益性質經主管機關核 准者、支付特約機構 受各級政府委託代徵 收之規費、稅捐與罰 緩、或受公用事業委 託代收之服務費。
二、第二類：支付各項商 品或服務之費用。
交易金額可區分為 二種：
一、小額交易：電子票證 僅支付於單筆消費金 額新臺幣壹仟元以下 之交易。
二、不限金額交易：電子 票證非僅支付於小額 交易。
前二項商品或服務 之性質及交易金額可區分 二個應用範圍等級：
一、第一級：為辦理支付 小額交易或第一類之 商品或服務交易。
二、第二級：為辦理第二 類之商品或服務且支 付不限金額交易。
定 義 ) 服 務 費 、 電 信 服 務、學雜費、
醫藥費、公共 運 輸 ( 依 據 發 展大眾運輸條 例第二條定義 及纜車、計程 車、公共自行 車)、停車等服 務費用、依公 益勸募條例辦 理勸募活動之 捐贈金，或配 合政府政策且 具公共利益性 質經主管機關 核准者屬之。
(二)支付特約機構 受各級政府委 託代徵收之規 費、稅捐與罰 緩及受公用事 業委託代收之 服務費。
第二 類
支付各項商品或服 務之費用
二、交易金額 交易
金額
說明
小額 交易
電子票證僅支付於 單筆消費金額新台 幣壹仟元以下之交 易。
不限 金額 交易
電子票證非僅支付 於小額交易。
三、應用範圍等級
商品或服 務之性質
第一 類
第二 類 交
易 金 額
小額 交易
第一 級
第一 級 不限
金額 交易
第一 級
第二 級
第六條 發行機構於交易面 應確保電子票證交易符合 下列安全規定：
一、線上即時消費交易 (一)訊息隱密性：採用
網際網路或行動網 路者應符合 A 要 求。
(二)訊息完整性：採用 專屬網路者應符合 B1 要求；採用網際 網路或行動網路者 應符合 B2 要求。
(三)來源辨識性：應用 於第一級應用範圍 等級者應符合 C1 或 C3 要求；應用 於第二級應用範圍 等級者應符合 C2 要求。
(四)不可重覆性：應符 合 F 要求。
二、非線上即時消費交易 (一)訊息隱密性：採用
網路或其他離線方 式者應符合 A 要 求。
(二)訊息完整性：採用 接觸式或非接觸式 介面且應用於第一 級應用範圍等級者
第六條 發行機構於交易面 應確保電子票證交易符合 下列安全規定：
一、線上即時消費交易 連線
類型
專屬網 路
網際/
行動網 路 應用
範圍 等級
防護 措施
第 一 級
第 二 級
第 一 級
第 二 級
訊息 隱密 性
非 必 要
非 必 要
A A
訊息 完整 性
B 1
B 1
B 2
B 2
來 源 辨 識 性
訊 息 認 證 或 持 卡 人 認 證
C 1
C 2
C 1
C 2
不 可 重 複
F F F F
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、因應電子票證之實務應 用需求，於第一款第三 目來源辨識性增訂 C3 之選項。
三、配合「電子票證發行管 理條例」第五條之一第 一項規定，增訂第五款 票證款項移轉交易之防 護措施。現行第五款及 第六款移列至第六款及 第七款，並酌作文字修 正。
應符合 B1 要求；
採用接觸式或非接 觸式介面且應用於 第二級應用範圍等 級者應符合 B2 要 求；採用網路或其 他離線方式者應符 合 B2 要求。
( 三 ) 來 源 辨 識 性 之 電 子票證認證：採用 接觸式或非接觸式 介面且應用於第一 級應用範圍等級者 應符合 D1 要求；
採用接觸式或非接 觸式介面且應用於 第二級應用範圍等 級者應符合 D2 要 求；採用網路或其 他離線方式者應符 合 D2 要求。
( 四 ) 來 源 辨 識 性 之 端 末認證：採用接觸 式或非接觸式介面 且應用於第一級應 用範圍等級者應符 合 E1 要求；採用 接觸式或非接觸式 介面且應用於第二 級應用範圍等級者 應符合 E2 要求；
採用網路或其他離 線 方 式 者 應 符 合 E2 要求。
(五)不可重覆性：應符 合 F 要求。
三、線上即時加值交易 (一)訊息隱密性：採用
性
二、非線上即時消費交易 介面類
型
接 觸 式 / 非 接 觸式
網 路 及 其 他 離 線方式 應用
範圍
等級
防護 措施
第 一 級
第 二 級
第 一 級
第 二 級
訊息 隱密 性
非 必 要
非 必 要
A A
訊息 完整 性
B 1
B 2
B 2
B 2
來 源 辨 識 性
電 子 票 證 認 證
D 1
D 2
D 2
D 2
端 末 認 證
E1 E2 E2 E2
不可 重覆 性
F F F F
三、線上即時加值交易 連線類
型
專屬 網路
網際/
行動 網路 應用
範圍 等級
第 一 級
第 二 級
第 一 級
第 二 級
網際網路或行動網 路者應符合 A 要 求。
(二)訊息完整性：採用 專屬網路者應符合 B1 要求；採用網際 網路或行動網路者 應符合 B2 要求。
( 三 ) 來 源 辨 識 性 之 發 卡端認證：採用專 屬網路且應用於第 一級應用範圍等級 者 應 符 合 E1 要 求；採用專屬網路 且應用於第二級應 用範圍等級者應符 合 E2 要求；採用 網際網路或行動網 路者應符合 E2 要 求。
(四)不可重覆性：應符 合 F 要求。
四、非線上即時加值交易 (一)訊息隱密性：採用
網路或其他離線方 式者應符合 A 要 求。
(二)訊息完整性：採用 接觸式或非接觸式 介面且應用於第一 級應用範圍等級者 應符合 B1 要求；
採用接觸式或非接 觸式介面且應用於 第二級應用範圍等 級者應符合 B3 要 求；採用網路或其 他離線方式者應符
防護 措施
訊息隱 密性
非 必 要
非 必 要
A A
訊息完 整性
B 1
B 1
B 2
B 2 來
源 辨 識 性
發 卡 端 認 證
*
E 1
E 2
E 2
E 2
不可重 覆性
F F F F
(*僅適用於具認證與儲值功 能之電子票證)
四、非線上即時加值交易 介面類
型
接觸 式/非
接觸 式
網路 及其 他離 線方 式 應用
範圍 等級 防護 措施
第 一 級
第 二 級
第 一 級
第 二 級
訊息隱 密性
非 必 要
非 必 要
A A
訊息完 整性
B 1
B 3
B 3
B 3 來
源 辨 識
端 末 認 證
E 1
E 2
E 2
E 2
合 B3 要求。
( 三 ) 來 源 辨 識 性 之 端 末認證：採用接觸 式或非接觸式介面 且應用於第一級應 用範圍等級者應符 合 E1 要求；採用 接觸式或非接觸式 介面且應用於第二 級應用範圍等級者 應符合 E2 要求；
採用網路或其他離 線 方 式 者 應 符 合 E2 要求。
(四)不可重覆性：應符 合 F 要求。
五、票證款項移轉交易 (一)訊息隱密性：採用
網際網路或行動網 路者應符合 A 要 求。
(二)訊息完整性：採用 專屬網路者應符合 B1 要求；採用網際 網路或行動網路者 應符合 B2 要求。
(三)來源辨識性：應用 於第一級應用範圍 等級者應符合 C1 或 C3 要求；應用 於第二級應用範圍 等級者應符合 C2 要求。
(四)不可重覆性：應符 合 F 要求。
六、帳務清算及結算交易 (一)訊息隱密性：採用
網際網路或行動網 性
不可重 覆性
F F F F
五、帳務清算及結算交易 連線類
型
專屬網 路
網際/
行動 網路 應用
範圍 等級 防護 措施
第 一 級
第 二 級
第 一 級
第 二 級
訊息隱 密性
非 必 要
非 必 要
A A
訊息完 整性
B 1
B 1
B 2
B 2 來
源 辨 識 性
訊 息 認 證
非 必 要
非 必 要
C 2
C 2
不可重 複性
F F F F
六、第一款至第五款之交 易訊息中若包含電腦 處理個人資料保護法 所定義之個人資料，
為確保其隱密性，應 採對稱性加解密系統 或非對稱性加解密系 統進行個人資料之加 密，以防止未經授權 者取得個人資料，其 安全強度應不得低於 第七條對訊息隱密性 之規定(A)。
路者應符合 A 要 求。
(二)訊息完整性：採用 專屬網路者應符合 B1 要求；採用網際 網路或行動網路者 應符合 B2 要求。
( 三 ) 來 源 辨 識 性 之 訊 息認證：採用網際 網路或行動網路者 應符合 C2 要求。
(四)不可重覆性：應符 合 F 要求。
七、本條第一款至第六款 之交易訊息中若包含 個人資料保護法所定 義之個人資料，為確 保其隱密性，應採對 稱性加解密系統或非 對稱性加解密系統進 行個人資料之加密，
以防止未經授權者取 得個人資料，其安全 強度應不得低於第七 條第一款訊息隱密性 A 之規定。
第七條 前條各項交易安全 所稱訊息隱密性、訊息完 整性、來源辨識性及不可 重覆性之安全設計應符合 下列要求：
一、訊息隱密性 A：應採 用下列對稱性加解密 系統或非對稱性加解 密系統，針對訊息進 行全文加密，以防止 未經授權者取得訊息 之明文：
第七條 前條各項交易安全 所稱訊息隱密性、訊息完 整性、來源辨識性及不可 重覆性之安全設計應符合 下列要求：
防 護 措 施
安全設計之基 本原則
訊 息 隱 密 性
A 應採對稱性加 解密系統或非 對稱性加解密 系統，針對訊 息進行全文加
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式。
二、配合第四條第七款增訂 密碼學演算法定義，及 因應實務作業情形，各 款文字酌作修正。
三 、 為 強化電 子票證 安全 性，並考量 RSA 加密 技術發展演進，爰於第 一款訊息隱密性 A 增訂 自 一 ○ 六 年 一 月 一 日
( 一 ) 對 稱 性 加 解 密 系 統 應 採 用 3DES 112bits 、 AES 128bits 或 其 他 安 全強度相同(含)以 上之演算法及金鑰 進行加密運算。
( 二 ) 非 對 稱 性 加 解 密 系 統 應 採 用 RSA 1024bits 、 ECC 256bits 或 其 他 安 全強度相同(含)以 上之演算法及金鑰 進行加密運算。自 一○六年一月一日 起，新發行並應用 於本項之電子票證 不 應 採 用 低 於 RSA 1024bits 之金 鑰長度進行加密運 算。
二、訊息完整性
(一)B1 防護措施：應採 用下列防止非惡意 篡改訊息之檢核碼 技術之一：
1 、 縱 向 冗 餘 校 驗 (Longitudinal Redundancy Check，LRC)。
2 、 循 環 冗 餘 校 驗 (Cyclic
Redundancy Check，CRC)。
3、使用雜湊(Hash) 演 算 法 產 生 訊 息摘要(Message Digest)。
密，以防止未 經授權者取得 訊息之明文。
一、對稱性加 解 密 系 統 應 採 用 下 列 演 算 法 之一：
( 一 ) 美 國 國 家 標 準 與 技 術 中 心 (Nation al Institute of Standar ds and Technol ogy；以 下 簡 稱 NIST) 之 三 重 資 料 加 密 演 算 法 (Triple Data Encrypti on Algorith m; 以 下 簡 稱 TDEA 演 算 法)，金 鑰 有 效 長 度 為
起，新發行之電子票證 不 應 採 用 低 於 RSA 1024bits 之金鑰長度進 行加密運算。
四、配合本準則第十二條應 用範圍等級第一級之電 子票證類型，修正第三 款第一目 C1 防護措施 就各款持卡人之認證方 式。
五、因應電子票證之實務應 用需求，第三款來源辨 識性增訂 C3 之安全設 計。
(二)B2 防護措施：應採 用可防止蓄意篡改 訊 息 之 加 解 密 技 術，可採對稱性加 解密系統進行押碼 (Message
Authentication Code, MAC) 或 非 對稱性加解密系統 產 生 數 位 簽 章 (Digital Signature) 等機制。
1、對稱性加解密系 統 應 採 用 本 條 第 一 款 第 一 目 之 對 稱 性 加 解 密系統演算法。
2、非對稱性加解密 系 統 應 採 用 本 條 第 一 款 第 二 目 之 非 對 稱 性 加 解 密 系 統 演 算法。
(三)B3 防護措施：除須 符合本條第二款第 二目 B2 所要求之 強度外，加值交易 訊息之金額須參與 訊 息 完 整 性 之 運 算。
三、來源辨識性
(一)C1 防護措施：應確 保 持 卡 人 之 正 確 性，可採用下列任 一種持卡人認證方 式；採用下列第 1 至第 3 方式者，其 認證方式並應採用
112 位 元 雙 金 鑰 之 三 重 資 料 加 密 演 算 法 (Two Key Triple Data Encrypti on Algorith m; 以 下 簡 稱 2TDEA )或 168 位 元 三 金 鑰 之 三 重 資 料 加 密 演 算 法 (Three Key Triple Data Encrypti on Algorith m; 以 下 簡 稱 3TDEA )。
(二)NIST 之 進 階 加 密 標 準 (Advanc ed
對稱性加解密系統 或非對稱性加解密 系統，由發行機構 確認電子票證之合 法性，以防範非法 之電子票證。
1、具加解密運算能 力之晶片卡。
2、記憶型晶片卡與 固定密碼。
3、磁條卡與磁條卡 密碼。
4、用戶代號與動態 密碼。
5、用戶代號與固定 密碼。
(二)C2 防護措施：應 採用具訊息認證功 能之晶片型電子票 證 或 端 末 安 全 模 組，確保訊息來源 之正確性，可採對 稱性加解密系統進 行押碼或非對稱性 加解密系統產生數 位簽章等機制。
1、對稱性加解密系 統 應 採 用 本 條 第 一 款 第 一 目 之 對 稱 性 加 解 密系統演算法。
2、非對稱性加解密 系 統 應 採 用 本 條 第 一 款 第 二 目 之 非 對 稱 性 加 解 密 系 統 演 算法。
(三)C3 防護措施：應採
Encrypti on Standar d；以下 簡 稱 AES 演 算法)，
金 鑰 長 度 為 128 、 192 或 256 位 元。
二、非對稱性 加 解 密 系 統 應 採 用 下 列 演 算 法之一：
(一)RSA 加 密 標 準 (Rivest
、 Shamir
、 Adlema n Encrypti on Standar d；以下 簡 稱 RSA 演 算法)，
金 鑰 長 度 1024 或 2048 位元。
( 二 ) 橢 圓 曲
用知識詢問 (如卡 號、有效月年及檢 查碼 )或設備綁定 並搭配下列配套措 施，由發行機構確 認電子票證之合法 性，以防範非法之 電子票證。
1、應建置防偽冒偵 測系統，建立風 險 分 析 模 組 與 指標，用以於異 常 交 易 行 為 發 生 時 即 時 告 警 並妥善處理。該 風 險 分 析 模 組 與 指 標 應 定 期 檢討修訂。
2、非用戶本人授權 使 用 之 交 易 於 掛 失 後 無 需 承 擔 遭 冒 用 之 損 失，發行機構應 於 十 四 日 內 返 還帳款，持卡人 應 配 合 協 助 發 行 機 構 之 後 續 調查作業。
(四)D1 防護措施：應採 用對稱性加解密系 統或非對稱性加解 密系統，由端末設 備確認電子票證之 合法性，以防範非 法之電子票證。
(五)D2 防護措施：應採 用對稱性加解密系 統或非對稱性加解
線 數 位 簽 章 演 算 法 (Elliptic Curve Digital Signatur e Algorith m；以下 簡 稱 ECDSA 演 算 法)，質 數 模 數 為 256 位 元 (P-256) 。 訊 息
完 整 性
B 1
應採用下列防 止非惡意篡改 訊息之檢核碼 技術之一：
一、縱向冗餘
校 驗
(Longitudi nal
Redundanc y Check ， LRC) 二、循環冗餘
校 驗
(Cyclic Redundanc y Check ， CRC) 三、使用雜湊
(Hash)演算
密系統，由端末設 備確認電子票證之 合法性，以防範非 法之電子票證。
1、對稱性加解密系 統 應 採 用 本 條 第 一 款 第 一 目 之 對 稱 性 加 解 密系統演算法。
2、非對稱性加解密 系 統 應 採 用 本 條 第 一 款 第 二 目 之 非 對 稱 性 加 解 密 系 統 演 算法。
(六)E1 防護措施：應採 用對稱性加解密系 統或非對稱性加解 密系統，由電子票 證確認端末設備或 發 行 機 構 之 合 法 性，以防止未經授 權之端末設備逕行 交易。
(七)E2 防護措施：應採 用對稱性加解密系 統或非對稱性加解 密系統，由電子票 證確認端末設備或 發 行 機 構 之 合 法 性，以防止未經授 權之端末設備逕行 交易。
1、對稱性加解密系 統 應 採 用 本 條 第 一 款 第 一 目 之 對 稱 性 加 解 密系統演算法。
法 產 生 訊 息 摘 要 (Message Digest) B
2
應採用可防止 蓄意篡改訊息 之 加 解 密 技 術，可採對稱 性加解密系統 進 行 押 碼 (Message Authentication Code, MAC)或 非對稱性加解 密系統產生數 位簽章(Digital Signature) 等機 制。
一、對稱性加 解 密 系 統 應 採 用 下 列 演 算 法 之一：
( 一 )TDEA 演 算 法 ， 金 鑰 有 效 長 度 為 112 位 元 (2TDE A) 或 168 位 元 (3TDE A)。
(二)AES 演 算 法 ，
2、非對稱性加解密 系 統 應 採 用 本 條 第 一 款 第 二 目 之 非 對 稱 性 加 解 密 系 統 演 算法。
四、不可重覆性 F：應防 止以先前成功之交易 訊 息 完 成 另 一 筆 交 易，可採用序號、日 期時間或時序或密碼 學 挑 戰 - 回 應 (Challenge-Response) 等機制。
金 鑰 長 度 為 128 、 192 或 256 位 元。
二、非對稱性 加 解 密 系 統 應 採 用 下 列 演 算 法之一：
(一)RSA 演 算 法 ， 金 鑰 長 度 1024 或 2048 位元。
( 二 )ECDSA 演 算 法 ， 質 數 模 數 為 256 位 元 (P-256) 。 B
3
除須符合 B2 之 所要求之強度 外，加值交易 訊息之金額須 參與訊息完整 性之運算 來
源 辨 識 性
訊 息 認 證 或 持 卡
C 1
應確保持卡人 之正確性，可 採用下列任一 種持卡人認證 方式：
一、用戶代號 與 固 定 密
人 認 證
碼。
二、磁條卡與 磁 條 卡 密 碼。
三、用戶代號 與 動 態 密 碼：動態密 碼 係 運 用 動 態 密 碼 產生器、簡 訊、或以其 他 方 式 運 用 一 次 性 密 碼 (One Time Password
；以下簡稱 OTP) 原 理，隨機產 生 限 定 一 次 使 用 之 密碼者。
四、以密碼學 運 算 為 基 礎，提供認 證 功 能 之 晶 片 型 電 子票證。
C 2
應採用具訊息 認證功能之晶 片型電子票證 或端末安全模 組，確保訊息 來 源 之 正 確 性，可採對稱 性加解密系統 進行押碼或非 對稱性加解密
系統產生數位 簽章等機制。
一、對稱性加 解 密 系 統 應 採 用 下 列 演 算 法 之一：
( 一 )TDEA 演 算 法 ， 金 鑰 有 效 長 度 為 112 位 元 (2TDE A) 或 168 位 元 (3TDE A)。
(二)AES 演 算 法 ， 金 鑰 長 度 為 128 、 192 或 256 位 元。
二、非對稱性 加 解 密 系 統 應 採 用 下 列 演 算 法之一：
(一)RSA 演 算 法 ， 金 鑰 長 度 1024 或 2048
位元。
( 二 )ECDSA 演 算 法 ， 質 數 模 數 為 256 位 元 (P-256) 。 電
子 票 證 認 證
D 1
應採用對稱性 加解密系統或 非對稱性加解 密系統，由端 末設備確認電 子票證之合法 性，以防範非 法 之 電 子 票 證。
D 2
應採用對稱性 加解密系統或 非對稱性加解 密系統，由端 末設備確認電 子票證之合法 性，以防範非 法 之 電 子 票 證。
一、對稱性加 解 密 系 統 應 採 用 下 列 演 算 法 之一：
( 一 )TDEA 演 算 法 ， 金 鑰 有 效 長 度 為 112 位
元 (2TDE A) 或 168 位 元 (3TDE A)。
(二)AES 演 算 法 ， 金 鑰 長 度 為 128 、 192 或 256 位 元。
二、非對稱性 加 解 密 系 統 應 採 用 下 列 演 算 法之一：
(一)RSA 演 算 法 ， 金 鑰 長 度 1024 或 2048 位元。
( 二 )ECDSA 演 算 法 ， 質 數 模 數 為 256 位 元 (P-256)
。 端
末 / 發
E 1
應採用對稱性 加解密系統或 非對稱性加解 密系統，由電
卡 端 認 證
子票證確認端 末設備或發行 機 構 之 合 法 性，以防止未 經授權之端末 設 備 逕 行 交 易。
E 2
應採用對稱性 加解密系統或 非對稱性加解 密系統，由電 子票證確認端 末設備或發行 機 構 之 合 法 性，以防止未 經授權之端末 設 備 逕 行 交 易。
一、對稱性加 解 密 系 統 應 採 用 下 列 演 算 法 之一：
(一)NIST 之 TDEA 演 算 法 ， 金 鑰 有 效 長 度 為 112 位 元 (2TDE A) 或 168 位 元 (3TDE A)。
(二)NIST 之
AES 演 算 法 ， 金 鑰 長 度 為 128 、 192 或 256 位 元。
二、非對稱性 加 解 密 系 統 應 採 用 下 列 演 算 法之一：
(一)RSA 演 算 法 ， 金 鑰 長 度 1024 或 2048 位元。
( 二 )ECDSA 演 算 法 ， 質 數 模 數 為 256 位 元 (P-256) 。 不 可
重 覆 性
F 應防止以先前 成功之交易訊 息完成另一筆 交易，可採用 序號、日期時 間或時序或密 碼學挑戰-回應 (Challenge-Res ponse)等機制。
第八條 發行機構於管理面 應採取下列防護措施及其
第八條 發行機構於管理面 應採取下列防護措施：
一、依據「中央法規標準法」
改採條文取代原表格書
安全需求：
一、建立安全防護策略 (一)建立電腦資源存取
控制機制與安全防 護措施。
( 二 ) 交 易 必 須 可 被 追 蹤。
(三)監控非法交易。
(四)須防止小規模之特 約機構不當扣款。
(五)完善之金鑰管理。
二、提高系統安全之措施 (一)提昇電腦系統之安
全及可用性。
(二)提昇應用系統之安 全及可用性。
三、制定作業管理規範。
防 護 措施
安全需求
建 立 安 全 防 護 策略
一、建立電腦資源 存 取 控 制 機 制 與 安 全 防 護措施。
二、交易必須可被 追蹤。
三、監控非法交 易。
四、須防止小規模 之 特 約 機 構 不當扣款。
五、完善之金鑰管 理。
提 高 系 統 安 全 之 措 施
提昇電腦系統之 安全及可用性
制 定 作 業 管 理 規範
制定作業管理規 範
寫方式。
二、配合新增之票證款項移 轉交易及因應新型態資 安攻擊，增訂第二款第 二目應用系統安全之防 護措施，並於第九條第 七款明定其安全設計之 要求。
第九條 前條發行機構管理 面安全需求之安全設計應 符合下列要求：
一、建立電腦資源存取控 制機制與安全防護措 施，防範未經授權存 取系統資源，並降低 非法入侵之可能性。
應以下列方式處理及 管控：
(一)建置安全防護軟硬 體 ， 如 防 火 牆 (Firewall)、安控軟 體、偵測軟體等。
第九條 前條發行機構管理 面安全需求之安全設計應 符合下列要求：
安 全 需求
安全設計
建 立 電 腦 資 源 存 取 控 制 機 制 與 安 全 防 護 措
應防範未經授權 存取系統資源，並 降低非法入侵之 可能性。應以下列 方 式 處 理 及 管 控：
一、建置安全防護 軟硬體，如防
火 牆
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、考量電子票證發行機構 與信用卡收單機構端末 設備進行併機作業時，
信用卡收單機構端末設 備感應距離十公分之實 務設計，且該等端末設 備已遵循 EMV 標準以 及 銀 行 相 關 之 管 理 措 施，爰第四款第一目之 4 增訂「發行機構如係
( 二 ) 控 制 密 碼 錯 誤 次 數。
(三)電腦系統密碼檔加 密。
( 四 ) 留 存 交 易 紀 錄 (Transaction Log) 及 稽 核 追 蹤 紀 錄 (Audit Trail)。
( 五 ) 設 計 存 取 權 控 制 (Access Control)如 使用密碼、晶片卡 等。
( 六 ) 簽 入 (Login) 時 間 控制。
(七)遠端存取應使用虛 擬 私 有 網 路 (VPN)。
(八)系統資源應依其重 要性與敏感性分級 管理。
(九)強制更換應用軟體 及網路作業系統之 預設密碼。
(十)系統提供各項服務 功能時，應確保個 人資料保護措施。
二、交易必須可被追蹤，
交易紀錄明細應包含 下列資訊，並留存於 發行機構主機備查：
(一)用戶代號或卡號。
(二)交易金額。
(三)端末設備代號。
(四)交易序號或交易日 期、時間。
三、發行機構應監控非法 交易。
四、須防止小規模之特約
施 (Firewall) 、安 控軟體、偵測 軟體等。
二、控制密碼錯誤 次數。
三、電腦系統密碼 檔加密。
四、留存交易紀錄 (Transaction Log)及稽核追 蹤 紀 錄 (Audit Trail)。
五、設計存取權控 制 (Access Control) 如 使 用密碼、晶片 卡等。
六 、 簽 入 (Login) 時間控制。
七、遠端存取應使 用虛擬私有網 路(VPN)。
八、系統資源應依 其重要性與敏 感 性 分 級 管 理。
九、強制更換應用 軟體及網路作 業系統之預設 密碼。
十、系統提供各項 服務功能時，
應確保個人資 料保護措施。
交 易 必 須 可 被 追蹤
交易紀錄明細應 包含下列資訊，並 留存於發行機構 主機備查：
共用信用卡收單機構之 端末設備者，其端末設 備感應距離限縮至十公 分（含）以下」之但書 規定，以兼顧實務作業 需要及電子票證風險控 管。
三、因應新興科技發展與新 型態資安攻擊，第五款 金鑰管理增訂第三目金 鑰 儲 存 之 設 備 要 求 規 定，第六款電腦系統之 安全及可用性增修第二 目至第九目之安全防護 措施，以確保發行機構 實體設備及電腦系統之 安全強度。
四、配合新增之票證款項移 轉交易及因應新型態資 安攻擊，爰參酌「電子 支付機構資訊系統標準 及安全控管作業基準辦 法」第十條規定，新增 第七款應用系統(包括 提供網際網路之應用系 統、提供使用者端之程 式及提供行動裝置之應 用程式)之安全設計。現 行 第 七 款 移 列 至 第 八 款。
機構不當扣款：
(一)實收資本額低於新 臺幣八千萬元且年 營業額低於新臺幣 六千萬元之特約機 構應以下列任一方 式進行交易：
1、刷卡或插卡。
2、輸入密碼。
3、任何由系統所提 供 予 持 卡 人 進 行確認之設計。
4、感應距離限縮至 四 公 分 ( 含 ) 以 下。但發行機構 如 係 共 用 信 用 卡 收 單 機 構 之 端末設備者，其 端 末 設 備 感 應 距 離 限 縮 至 十 公 分 （ 含 ） 以 下。
(二)特約機構符合下列 情形之一者，得不 適用前目規定：
1、提供第一類商品 或服務。
2 、 加 盟 經 營 關 係 中，加盟業主實 收 資 本 額 高 於 新 臺 幣 八 千 萬 元 或 年 營 業 額 高 於 新 臺 幣 六 千 萬 元 之 加 盟 店。
(三)發行機構與前目加 盟業主及加盟店間 應簽訂三方之特約
一、用戶代號或卡 號。
二、交易金額。
三、端末設備代 號。
四、交易序號或交 易 日 期 、 時 間。
監 控 非 法 交易
發行機構應監控 非法交易。
須 防 止 小 規 模 之 特 約 機 構 不 當 扣 款
一、實收資本額低 於新臺幣八千 萬元且年營業 額低於新臺幣 六千萬元之特 約機構應以下 列任一方式進 行交易：
( 一 ) 刷 卡 或 插 卡。
(二)輸入密碼。
(三)任何由系統 所提供予持 卡人進行確 認之設計。
(四)感應距離限 縮至四公分 (含)以下。
二、特約機構符合 下列情形之一 者，得不適用 前目規定：
(一)提供第一類 商 品 或 服 務。
(二)加盟經營關 係中，加盟
機構契約，或分別 與前目加盟業者及 加盟店簽定特約機 構契約，並應依下 列規定辦理：
1、發行機構應訂定 防 止 加 盟 店 不 當 扣 款 之 內 部 控制制度。
2、發行機構應於三 方 契 約 中 或 與 加 盟 業 主 之 契 約中，要求加盟 業 主 對 加 盟 店 及 其 受 僱 人 員 因 故 意 或 過 失 致 發 生 不 當 扣 款情事，對持卡 人負同一責任。
五、金鑰管理應有下列之 安全考量：
( 一 ) 應 確 保 金 鑰 品 質 ( 避 免 產 生 弱 金 鑰)。
( 二 ) 金 鑰 之 使 用 、 儲 存、傳送與銷毀，
應確保金鑰之內容 無洩露之虞。
(三)金鑰應儲存於通過 FIPS 140-1 Level2( 含 ) 以 上 之 硬體安全模組內並 限制匯出。
(四)金鑰應備份以確保 其可用性。
(五)保存金鑰之設備或 媒體，於更新或報 廢時，應具適當之
業主實收資 本額高於新 臺幣八千萬 元或年營業 額高於新臺 幣六千萬元 之加盟店。
三、發行機構與前 目加盟業主及 加盟店間應簽 訂三方之特約 機構契約，或 分別與前目加 盟業者及加盟 店簽定特約機 構契約，並應 依下列規定辦 理：
(一)發行機構應 訂定防止加 盟店不當扣 款之內部控 制制度。
(二)發行機構應 於三方契約 中或與加盟 業主之契約 中，要求加 盟業主對加 盟店及其受 僱人員因故 意或過失致 發生不當扣 款情事，對 持卡人負同 一責任。
完 善 之 金
金鑰管理應有下 列之安全考量：
存取控管程序，以 確保金鑰無洩露之 虞。
六、提昇電腦系統之安全 及可用性，包含：
( 一 ) 預 備 主 機 、 伺 服 器、通訊設備、線 路、週邊設備等備 援裝置。
(二)建置病毒偵測軟體 (Virus Detection Software)，定期對 網路節點及伺服器 進行掃毒，並定期 更新病毒碼。
(三)定期更新系統修補 程 式 （ Patch, Hotfix）。
(四)於對外網段建置入 侵偵測機制並定期 更新特徵碼。
( 五 ) 建 置 上 網 管 制 機 制，限制連結非業 務相關網站。
(六)每年針對系統維運 人員進行郵件社交 工程演練。
( 七 ) 每 季 進 行 弱 點 掃 描，依據風險高低 逐步改善。
(八)每半年針對異動程 式進行程式碼掃描 或黑箱測試，依據 風 險 高 低 逐 步 改 善。
(九)伺服器、網路設備 等營運設備應集中 於機房內，並應建
鑰 管 理
一、應確保金鑰品 質 ( 避 免 產 生 弱金鑰)。
二、金鑰之使用、
儲存、傳送與 銷毀，應確保 金鑰之內容無 洩露之虞。
三、金鑰應備份以 確 保 其 可 用 性。
四、保存金鑰之設 備或媒體，於 更 新 或 報 廢 時，應具適當 之存取控管程 序，以確保金 鑰 無 洩 露 之 虞。
提 昇 電 腦 系 統 之 安 全 及 可 用 性
應建立異地備援 及 故 障 預 防 措 施，包含：
一、預備主機、伺 服器、通訊設 備、線路、週 邊設備等備援 裝置。
二、建置病毒偵測 軟 體 (Virus Detection Software) ， 定 期對網路節點 及伺服器進行 掃毒。
三、定期更新系統 修 補 程 式
（ Patch, Hotfix）。
立外圍門禁管制、
內部空間監控及機 櫃門禁管制等三道 防護，以確保實體 安全。
七、提昇應用系統之安全 及可用性：
(一)提供網際網路之應 用系統應符合下列 安全設計：
1、載具密碼不應於 網 際 網 路 上 傳 輸，機敏資料於 網 際 網 路 傳 輸 時應全程加密。
2、應設計連線控制 及 網 頁 逾 時 中 斷機制。使用者 超 過 十 分 鐘 未 使 用 應 中 斷 其 連 線 或 採 取 其 他保護措施。
3、應辨識外部網站 及 其 所 傳 送 交 易 資 料 之 訊 息 來 源 及 交 易 資 料正確性。
4、應辨識使用者輸 入 與 系 統 接 收 之 支 付 指 示 一 致性。
5、應設計於使用者 進 行 身 分 確 認 與 交 易 機 制 時，須採用一次 性 亂 數 或 時 間 戳記，以防止重 送攻擊。
四、確保伺服器、
網路設備之實 體安全。
制 定 作 業 管 理 規範
應 確 定 發 行 機 構、特約機構與加 值機構內部之責 任制度、核可程序 及與持卡人之間 之責任歸屬，應包 含：
一、制定安全控管 規章含設備規 格。
二、安控機制說 明、安控程序 說明。
三、金鑰管理措施 或辦法。
四、制定持卡人使 用安全須知及 完整合約。
6、應設計於使用者 進 行 身 分 確 認 與 交 易 機 制 時，如需使用亂 數 函 數 進 行 運 算，須採用安全 亂 數 函 數 產 生 所需亂數。
7、應設計個人資料 顯 示 之 隱 碼 機 制。
8、應設計個人資料 檔 案 及 資 料 庫 之 存 取 控 制 與 保護監控措施。
(二)提供使用者端之程 式應符合下列安全 設計：
1、應採用被作業系 統 認 可 之 數 位 憑 證 進 行 程 式 碼簽章。
2、執行時應先驗證 網站正確性。
3、應避免儲存機敏 資料，如有必要 應 採 取 加 密 或 亂 碼 化 等 相 關 機 制 保 護 並 妥 善 保 護 加 密 金 鑰，且能有效防 範 相 關 資 料 被 竊取。
(三)提供行動裝置之應 用程式應符合下列 安全設計：
1、應針對所需最小 權 限 進 行 存 取
控制。
2、應於官網上提供 行 動 裝 置 應 用 程式之名稱、版 本與下載位置。
3、啟動行動裝置應 用程式時，如偵 測 行 動 裝 置 疑 似遭破解，應提 示 使 用 者 注 意 風險。
4、於安裝或首次啟 動 應 用 程 式 時，得提示使用 者 於 行 動 裝 置 上 安 裝 防 毒 軟 體。
5、採用憑證技術進 行 傳 輸 加 密 時，行動裝置應 用 程 式 應 建 立 可 信 任 憑 證 清 單 並 驗 證 完 整 憑 證 鏈 及 其 憑 證有效性。
6、採用 NFC 技術進 行 付 款 交 易 資 料傳輸前，應經 由 使 用 者 人 工 確認。
(四)定期針對網際網路 服務之系統或應用 程 式 進 行 滲 透 測 試，依據風險高低 逐步改善。
八、制定作業管理規範，
應確定發行機構、特 約機構與加值機構內
部之責任制度、核可 程序及與持卡人之間 之責任歸屬，包含：
(一)制定安全控管規章 含設備規格。
(二)安控機制說明、安 控程序說明。
(三)金鑰管理措施或辦 法。
(四)制定持卡人使用安 全 須 知 及 完 整 合 約。
第十條 發行機構於端末設 備與環境面應採取下列防 護措施及其安全需求：
一、建立安全防護策略 (一)保持端末設備與環
境之實體完整性。
(二)確保端末設備交易 之安全性。
(三)建置有效或即時之 管 控 名 單 管 理 機 制。
(四)非接觸式電子票證 應降低交易被意外 觸發之機率。
(五)非線上即時加值應 具有端末安全模組 之設計。
(六)非線上即時交易，
若採用應用範圍等 級第一級之電子票 證，且使用於提供 第二類商品或服務 之特約機構，應採 取降低偽卡交易之 必要措施。
二、提高系統可用性之措
第十條 發行機構於端末設 備與環境面應採取下列防 護措施：
防 護 措施
安全需求
建 立 安 全 防 護 策略
一、保持端末設備 與環境之實體 完整性 二、確保端末設備
交易之安全性 三、建置有效或即
時之管控名單 管理機制 四、非接觸式電子
票證應降低交 易被意外觸發 之機率 五、非線上即時加
值應具有端末 安全模組之設 計
六、非線上即時交 易，若採用應 用範圍等級第 一級之電子票 證，且使用於
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、第九條第七款已增訂應 用 系 統 之 安 全 及 可 用 性，其已涵括第一款第 七目有關網際網路應用 系統開發注意事項，爰 刪除該目規定。
施。
三、制定作業管理規範：
內部環境管理部分應 落 實 管 理 規 則 之 規 範。
提供第二類商 品或服務之特 約機構，應採 取降低偽卡交 易之必要措施 七、網際網路應用
系統開發注意 事項
提 高 系 統 可 用 性 之 措施
提高系統可用性 之措施
制 定 作 業 管 理 規範
制定作業管理規 範：內部環境管理 部分應落實管理 規則之規範。
第十一條 前條發行機構端 末設備與環境面安全需求 之安全設計應符合下列要 求：
一、保持端末設備與環境 之實體完整性，應採 用 下 列 各 項 安 全 設 計：
(一)定期檢視是否有增 減相關裝置：
1、原始設施確實逐 項編號。
2、比對現場相關設 施 及 裝 置 是 否 與 原 始 狀 態 一 致。
3 、 建 立 檢 視 清 單 (Checklist) ， 並 應 定 期 覆 核 並 追蹤考核。
(二)應確定與端末設備
第十一條 前條發行機構端 末設備與環境面安全需求 之安全設計應符合下列要 求：
安 全 需求
安全設計
保 持 端 末 設 備 與 環 境 之 實 體 完 整 性
應採用下列各項 安全設計：
一、定期檢視是否 有增減相關裝 置：
( 一 ) 原 始 設 施 確 實 逐 項 編號。
( 二 ) 比 對 現 場 相 關 設 施 及 裝 置 是 否 與 原 始 狀 態 一 致。
( 三 ) 建 立 檢 視
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、考量公共運輸端末設備 確有將感應距離拉長，
以縮短交易完成時間之 需要，及電子票證發行 機構與信用卡收單機構 端末設備進行併機作業 時，信用卡收單機構端 末設備感應距離十公分 之實務設計，且該等端 末設備已遵循 EMV 標 準以及銀行相關之管理 措施，爰第四款第一目 增訂「發行機構如係共 用信用卡收單機構之端 末設備或特約機構係提 供公共運輸服務者，其 端末設備感應距離限縮
合作廠商簽訂資料 保密契約，並應將 參 與 端 末 設 備 安 裝、維護作業之人 員名單交付造冊列 管，如有異動，應 隨時主動通知發行 機構更新之。
(三)端末設備合作廠商 人 員 至 現 場 作 業 時，均應出示經認 可之識別證件。除 安 裝 、 維 護 作 業 外，並應配合隨時 檢視端末設備硬體 是否遭到不當外力 入侵或遭裝置側錄 設備。
(四)發行機構應不定時 派員抽檢安裝於特 約機構或加值機構 之端末設備，檢視 該硬體是否遭到不 當外力入侵，並檢 視其軟體是否遭到 不法竄改。
二、確保端末設備交易之 安全性，應符合下列 規範：
(一)電子票證內含錄碼 及資料，除帳號、
卡號、有效期限、
交易序號及查證交 易是否發生之相關 必要資料外，其他 資料一律不得儲存 於端末設備。
(二)應確保端末設備之
清 單
(Checkli st)，並應 定 期 覆 核 並 追 蹤 考 核。
二、應確定與端末 設備合作廠商 簽訂資料保密 契約，並應將 參與端末設備 安裝、維護作 業之人員名單 交 付 造 冊 列 管 ， 如 有 異 動，應隨時主 動通知發行機 構更新之。
三、端末設備合作 廠商人員至現 場作業時，均 應出示經認可 之識別證件。
除安裝、維護 作業外，並應 配合隨時檢視 端末設備硬體 是否遭到不當 外力入侵或遭 裝 置 側 錄 設 備。
四、發行機構應不 定時派員抽檢 安裝於特約機 構或加值機構 之端末設備，
檢視該硬體是 否遭到不當外
至十公分（含）以下」
之但書規定，以兼顧實 務作業需要及電子票證 風險控管。
三、第九條第七款已增訂應 用 系 統 之 安 全 及 可 用 性，其已涵括第七款有 關網際網路應用系統開 發注意事項，爰刪除該 款規定。原第八款及第 九款移列至第七款及第 八款。
合法性，另端末設 備應有唯一之端末 設備代號。
(三)應用範圍屬第二級 之交易，端末設備 之安全模組應個別 化(即每一端末設 備之認證金鑰皆不 相同)。
三、為有效防範非法電子 票證進行交易，發行 機構應建置管控名單 管理機制，對於線上 即 時 交 易 應 即 時 更 新，非線上即時交易 應每日更新。
四、端末設備應包含下列 設計，以降低非接觸 式電子票證在持卡人 無交易之意願下，交 易 被 意 外 觸 發 之 機 率：
(一)感應距離限縮至六 公分（含）以下。
但發行機構如係共 用信用卡收單機構 之端末設備或特約 機構係提供公共運 輸服務者，其端末 設備感應距離限縮 至十公分（含）以 下。
( 二 ) 交 易 過 程 應 有 聲 音、燈號或圖像等 之提示。
五、非線上即時加值交易 之端末設備應具有安 全模組之設計，進行
力入侵，並檢 視其軟體是否 遭 到 不 法 竄 改。
確 保 端 末 設 備 交 易 之 安 全性
運用端末設備處 理交易時，應符合 下述規範：
一、電子票證內含 錄碼及資料，
除 帳 號 、 卡 號 、 有 效 期 限、交易序號 及查證交易是 否發生之相關 必要資料外，
其他資料一律 不得儲存於端 末設備。
二、應確保端末設 備之合法性，
另端末設備應 有唯一之端末 設備代號。
三、應用範圍屬第 二級之交易，
端末設備之安 全模組應個別 化 ( 即 每 一 端 末設備之認證 金 鑰 皆 不 相 同)。
建 置 有 效 或 即 時 之 管 控 名 單 管 理
為有效防範非法 電子票證進行交 易，發行機構應建 置管控名單管理 機制，對於線上即 時交易應即時更 新，非線上即時交
加值交易另應包含下 列設計：
( 一 ) 逐 筆 授 權 加 值 交 易。
(二)限制其單筆加值金 額。
( 三 ) 限 制 其 加 值 總 額
（如：日限額），額 度用罊應連線至發 行機構重新授權可 加值額度。
(四)安全模組應進行妥 善之管理，如製發 卡 與 交 貨 控 管 流 程 、 管 制 製 卡 作 業、落實安全模組 之安全控管等。
六、應用範圍等級第一級 之電子票證，若使用 於提供第二類商品或 服務之特約機構進行 非線上即時交易，發 行機構應要求特約機 構設置錄影監視設備 且於營業時間內保持 全時錄影，或採取其 他必要之措施以降低 偽卡交易。
七、提高系統可用性之措 施，應以下列方式處 理及管控：
(一)規劃備援線路或其 他可確保提高系統 可用性之措施。
(二)規劃備援電路或不 斷 電 系 統 (Uninterruptible Power Supply；簡
機制 易應每日更新。
非 接 觸 式 電 子 票 證 應 降 低 交 易 被 意 外 觸 發 之 機 率
端末設備應包含 下列設計，以降低 非接觸式電子票 證在持卡人無交 易之意願下，交易 被意外觸發之機 率：
一、感應距離限縮 至六公分（含）
以下。
二、交易過程應有 聲音、燈號或 圖 像 等 之 提 示。
非 線 上 即 時 加 值 應 具 有 端 末 安 全 模 組 之 設 計
非線上即時加值 交易之端末設備 應具有安全模組 之設計，進行加值 交易另應包含下 列設計：
一、逐筆授權加值 交易。
二、限制其單筆加 值金額。
三、限制其加值總 額（如：日限 額），額度用罊 應連線至發行 機構重新授權 可加值額度。
四、安全模組應進 行 妥 善 之 管 理，如製發卡 與交貨控管流 程、管制製卡 作業、落實安 全模組之安全
稱 UPS)。
八、應制定端末設備管理 規章，含設備規格、
安控機制說明、安控 程序說明、安全模組 控管作業原則、管控 名單管理機制、特約 機構與加值機構簽約 與管理辦法等。
控管等。
非 線 上 即 時 交 易，若 採 用 應 用 範 圍 等 級 第 一 級 之 電 子 票 證，且 使 用 於 提 供 第 二 類 商 品 或 服 務 之 特 約 機 構，應 採 取 降 低 偽 卡 交 易 之 必 要 措 施
應用範圍等級第 一 級 之 電 子 票 證，若使用於提供 第二類商品或服 務之特約機構進 行非線上即時交 易，發行機構應要 求特約機構設置 錄影監視設備且 於營業時間內保 持全時錄影，或採 取其他必要之措 施以降低偽卡交 易。
網 際 網 路 應 用 系 統 開 發 注 意 事項
若電子票證持卡 人透過瀏覽器以 網際網路進行交 易，網路應用系統 之開發應有下列 設計：
一、網站應採用網
頁安全傳輸協 定 (Secure Sockets
Layer ； 簡 稱 SSL)加密或其 他安全強度不 得低於第七條 對訊息隱密性 之 規 定 (A) 之 方式加密傳輸 資料。
二、系統應依每筆 交易動態隨機 變動端末設備 查核碼或以亂 碼化保護。
三、系統應設計具 遮罩功能之圖 形 驗 證 碼 (Graphic One Time
Password ；簡 稱 GOTP) 或 隨機按鈕等方 式。
四、系統應設計動 態頁面呈現或 限 制 滑 鼠 點 選，以防止模 擬 鍵 盤 控 制 (SendKey Control)攻擊。
五、系統應有連線 (Session) 控 制 及 網 頁 逾 時 (Timeout) 中斷 機制。
六、若有多網頁設
計，系統應驗 證前一網頁正 確性。
七、客戶端元件應 驗證網站正確 性。
八、客戶端元件應 具有防盜用機 制，以驗證正 確網站。
九、客戶端元件應 具有作業系統 認可之程式碼 簽 章 憑 證 (CodeSign)。
十、客戶端元件應 具存取卡片時 限定為獨占模 式之設計。
十一、客戶端元件 應具有需經 人工介入以 完成交易之 設計。
十二、如有駭客入 侵時，發行 機構應即關 閉 網 路 服 務，以確保 交易安全。
提 高 系 統 可 用 性 之 措施
應以下列方式處 理及管控：
一、規劃備援線路 或其他可確保 提高系統可用 性之措施。
二、規劃備援電路 或不斷電系統
(Uninterruptibl e Power Supply ； 簡 稱 UPS)。
制 定 作 業 管 理 規範
應制定端末設備 管理規章，含設備 規格、安控機制說 明、安控程序說 明、安全模組控管 作業原則、管控名 單管理機制、特約 機構與加值機構 簽約與管理辦法 等。
第十二條 發行機構應依據 應用範圍等級選用下列適 當型式之電子票證：
一、電子票證為下列類型 之一者，得適用於第 一級應用範圍：
(一)具加解密運算能力 之晶片卡。
(二)記憶型晶片卡與固 定密碼。
( 三 ) 磁 條 卡 與 固 定 密 碼。
(四)用戶代號與動態密 碼。
(五)用戶代號與固定密 碼。
(六)用戶代號與生物特 徵(如指紋、臉部、
虹膜、聲音、掌紋、
靜脈、簽名等)。
二、電子票證為下列類型 之一者，得適用於第 二級應用範圍：
(一)符合第六條之安全
第十二條 發行機構應依據 應用範圍等級選用下列適 當型式之電子票證：
應 用 範 圍等級
適 用 電 子 票 證 類型
第一級 電 子 票 證 應 為 下 列 類 型 之 一，第三點至第 五 點 僅 限 於 線 上即時交易：
一、具加解密運 算能力之晶 片卡。
二、記憶型晶片 卡與固定密 碼。
三、用戶代號與 動態密碼。
四、磁條卡與固 定密碼。
五、用戶代號與 固定密碼。
第二級 電 子 票 證 應 為 下列類型之一：
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、配合新興技術應用，第 一款中有關得適用第一 級應用範圍之電子票證 類型增訂六目用戶代號 與生物特徵之類型。
三、將票證款項移轉交易納 入本條得應用之交易類 型。
規定，且經安全認 證之晶片卡。
(二)用戶代號與經安全 認證之動態密碼產 生 器 ( 如 OTP Token)，僅限應用 於線上即時消費交 易及票證款項移轉 交易。
前項第一款第五目 之固定密碼不限以鍵盤輸 入，得採用點陣圖連線等 方式。前項第一款第三目 至第六目僅限應用於線上 即時消費交易及票證款項 移轉交易。
第一項所稱「安全認 證」係指經主管機關確認 其安全等級通過國家通訊 傳播委員會或共同準則相 互 承 認 協 定 (Common Criteria Recognition Arrangement；CCRA)認可 之驗證機構進行第三方驗 證，符合或等同於下列任 一標準者：
一 、 共 同 準 則
（ Common Criteria ） ISO/IEC15408 v2.3 EAL4+ （ 含 增 項 AVA_VLA.4 及 ADV_IMP.2）。 二 、 共 同 準 則
（ Common Criteria ） ISO/IEC15408 v3.1 EAL4+ （ 含 增 項
一、符合第六條 之 安 全 規 定，且經安 全認證之晶 片卡。
二、用戶代號與 經安全認證 之動態密碼 產 生 器 ( 如 OTP Token) ( 限 以 線 上 即時方式進 行交易)。
前項所稱「安全認證」係 指經主管機關確認其安全等 級通過行政院國家通訊傳播 委員會或共同準則相互承認 協 定 (Common Criteria Recognition Arrangement ； CCRA) 認 可 之 驗 證 機 構 進 行第三方驗證，符合或等同 於下列任一標準者：
一 、 共 同 準 則 （ Common Criteria）ISO/IEC15408 v2.3 EAL4+（含增項 AVA_VLA.4 及 ADV_IMP.2）。
二 、 共 同 準 則 （ Common Criteria）ISO/IEC15408 v3.1 EAL4+（含增項 AVA_VAN.5）。
三 、 我 國 國 家 標 準 CNS 15408 EAL4+（含增項 AVA_VLA.4 及 ADV_IMP.2）。 四、其他經主管機關認可之
驗證標準。
AVA_VAN.5）。 三、我國國家標準 CNS
15408 EAL4+（含 增項 AVA_VLA.4 及 ADV_IMP.2）。
四、其他經主管機關認 可之驗證標準。
第十三條 發行機構對電子 票 證 應 採 取 下 列 防 護 措 施：
一、建立安全防護策略 (一)確認電子票證之
合法性。
(二)採用戶代號與固 定密碼者，應有 一 定 之 安 全 設 計。
(三)儲存於電子票證 之個人資料必須 保護。
二、制定作業管理規範：
制定電子票證交貨控 管流程。
第十三條 發行機構對電子 票 證 應 採 取 下 列 防 護 措 施：
防護 措施
安全需求
建立 安全 防護 策略
一、確認電子票證 之合法性。
二、採用戶代號與 固定密碼者，
應有一定之安 全設計。
三、儲存於電子票 證之個人資料 必須保護。
制定 作業 管理 規範
制定電子票證交貨 控管流程
依據「中央法規標準法」改 採條文 取代原 表格書 寫方 式。
第十四條 前條發行機構電 子票證安全需求之安全設 計應符合下列要求：
一、電子票證須具有獨立 且唯一之識別碼或具 有認證之功能，以確 保其合法性。
二、若採用戶代號及固定 密碼者，應具有下列 之安全設計：
(一)用戶代號之安全 設計：
1、發行機構如使用
第十四條 前條發行機構電 子票證安全需求之安全設 計應符合下列要求：
安全 需求
安全設計
確認 電子 票證 之合 法性
應以下列任一方式 確保電子票證之合 法性：
一、具有獨立且唯 一之識別碼。
二、電子票證具有 認證之功能。
若採 採用戶代號及固定
一、依據「中央法規標準法」
改採條文取代原表格書 寫方式，並酌作文字修 正。
二、第二款第一目之 1 增訂 顯性資料之範例及第二 款第二目之 3 增訂預設 密碼之除外，以符合實 務作業。
三、第二款第二目之 8 增訂 密碼變更要求，以強化 電子票證安全需求之設 計。
