金融機構辦理電子銀行業務安全控管作業基準修正草案對照表 990831
修 正 條 文 | 現 行 條 文 | 說 明 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
一、電子轉帳及交易指示類 二、非電子轉帳及交易指示類 係指與資金轉移無關或不直接影響客戶權益之服務項目。 非電子轉帳及交易指示類 服務項目 查詢 １、帳務類查詢： 存放款餘額查詢、交易明細查詢、額度查詢、歸戶查詢、託收票據查詢、匯入匯款查詢、信用狀查詢等交易。 ２、非帳務類查詢： 敏感性資料、匯率查詢、利率查詢、共同基金查詢、金融法規查詢、股市行情查詢、投資理財資訊查詢、業務簡介查詢等交易。 通知 入扣帳通知、存款不足通知、存放款到期通知、放款繳息通知、託收票據狀況通知、消費通知等交易。 伍、本基準之構面 一、交易面之安全需求及安全設計 (一)交易面之安全需求 (二)各訊息傳輸途徑所應達到之安全防護措施如下：
【備註】 必要(Mandatory)：係指金融機構必須具備該項防護措施。 非必要(Conditional)：係指金融機構得視情況自行決定是否需要具備該項防護措施。 備註一：透過網際網路傳送非電子轉帳及交易指示類之 足以識別該個人之資料訊息時，應具備訊息隱密 性防護措施。 (三)交易面之安全設計 係指客戶發送訊息時，其介面及訊息之通訊傳輸應達到之安全防護措施之設計方法，亦即金融機構於系統開發設計時，應加以考量或應具備之基本原則及項目。 １、介面之安全設計： （１）使用晶片金融卡簽入之安全設計應符合晶片金融卡交易驗證碼之安全設計，於簽入作業時，應由原發卡行驗證交易驗證碼始得簽入(如：餘額查詢交易)。 （２）使用一次性密碼（One Time Password，OTP）之安全設計，係運用動態密碼產生器（Key Token）、晶片金融卡或以其他方式運用OTP原理，隨機產生限定一次使用之密碼者，經有效驗認後，得以進行簽入或低風險交易。 （３）使用憑證簽章之安全設計，應簽署適當內容並確認該憑證之合法性、正確性、有效性、保證等級及用途限制。於簽入作業時，應簽署足以識別該個人之資料(如：身分證字號)；於帳務交易時，應簽署完整付款指示；於憑證展期時，應簽署展期訊息。 （４）使用具有下述兩項(含)以上技術並經有效驗認後，得以進行簽入、低風險交易或輔助認證機制。
（５）透過網際網路傳輸途徑並採用戶代號及密碼進行唯一驗證之簽入介面，其應具備之安全設計原則如後，惟若金融機構另佐以其他簽入驗證或交易驗證者，得將下述密碼之安全設計列為最低要求。 （５．１）用戶代號之安全設計： （５．１．１）金融機構不得使用客戶之顯性資料(如統一編號、身分證號及帳號)作為唯一之識別，否則應另行增設使用者代號以資識別。 （５．１．２）不應少於六位。 （５．１．３）不應訂為相同的英數字、連續英文字或連號數字。 （５．１．４）客戶於申請後若未於一個月（日曆日）內變更密碼，則不得再以該用戶代號執行簽入。 （５．１．５）客戶同一時間內只能登入一次密碼。 （５．１．６）如增設使用者代號，至少應依下列方式辦理： （５．１．６．１）不得為客戶之顯性資料。 （５．１．６．２）如輸入錯誤達五次，金融機構應做妥善處理。 （５．１．６．３）新建立時不得相同於用戶代號及密碼；變更時，亦同。 （５．２）密碼之安全設計： （５．２．１）不應少於六位。若搭配交易密碼使用則不應少於四位。 （５．２．２）建議採英數字混合使用，且宜包含大小寫英文字母或符號。 （５．２．３）不應訂為相同的英數字、連續英文字或連號數字。 （５．２．４）密碼與代號不應相同。 （５．２．５）密碼連續錯誤達五次，不得再繼續執行交易。 （５．２．６）變更密碼不得與前一次相同。 （５．２．７）首次登入時，應強制變更預設密碼。 （５．２．８）密碼超過一年未變更，金融機構應做妥善處理。 ２、網際網路應用系統之安全設計： 金融機構應遵循網路應用系統開發注意事項，十四項必要措施如下： （１）於低風險非約定轉入帳戶轉帳或高風險交易時，系統應設計人工介入機制。（如：具遮罩功能之圖形驗證碼(GOTP，Graphic One Time Password) 、隨機按鈕或動態頁面呈現等方式） （２）於交易時，載具密碼不應於網際網路上傳送。 （３）系統應設計連線(Session)控制及網頁逾時(TimeOut)中斷機制。 （４）系統應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。 （５）系統應辨識客戶輸入與系統接收之非約轉交易指示一致性 （６）系統應避免存在網頁程式安全漏洞(如：Injection, Cross-Site Scripting)。 （７）系統應偵測網頁與程式異動時，進行紀錄與通知措施。 （８）元件應驗證網站正確性。 （９）元件應採用被作業系統認可之數位憑證進行程式碼簽章(CodeSign)。 （１０）於低風險非約定轉入帳戶轉帳或高風險交易時，須於載具上需經由人工確認後才回傳交易驗證訊息(如：交易驗證碼TAC、憑證簽章值)；或於交易過程增加額外具兩項(含)以上技術之介面設計認證機制。 （１１）採用憑證為交易介面者，系統經驗章後應依據原簽章值內之交易指示進行交易。 （１２）採用晶片金融卡為交易介面者，應遵循下列措施： （１２‧１）系統應依每筆交易動態產製隨機變動之端末設備查核碼，並檢核網頁回傳資料之正確性與有效性。 （１２‧２）於帳務性交易時，系統應每次輸入卡片密碼產生交易驗證碼(TAC，Transaction Authentication Code)。 （１２‧３）元件應設計存取卡片時限定為獨占模式。 （１３）採用經本會審核之確認型讀卡機或載具並可人工確認交易內容者，得不執行本安全設計之第（1）,（4）,（10）必要措施項目。 （１４）一有駭客入侵時，金融機構即應依狀況關閉服務、伺服器或網站，以確保交易安全。 ３、訊息傳輸之安全設計：
４、交易訊息之安全限制： （１）金融機構應與事業單位以契約規範「限定性繳費稅」業務。「限定性繳費稅」倘以本人帳戶繳納本人帳單者，其交易指示雖未經客戶事先約定轉出帳戶，但因其轉入帳戶已限定為個別金融機構與個別事業單位事先以契約約定規範之，故金融機構得不使用前述簽入介面之安全設計；惟金融機構得斟酌透過帳務異動通知，達成客戶事後覆核，以提高其安全控管層次。 （２）金融機構應遵循憑證機構之憑證作業基準檢核其憑證措施，以加強安控機制，維護網路交易安全。 （２．１）使用憑證應用於『電子轉帳及交易指示類』時，金融機構應確認憑證之合法性、正確性、有效性、保證等級及用途限制。 （２．２）跨行憑證應用應使用經本會認可之憑證機構簽發之憑證並遵循「金融XML憑證共用性技術規範」且法人戶必須使用硬體裝置儲存金鑰。憑證跨網使用時必須使用經本會審核通過之中介軟體所支援的憑證載具。 （２．３）金融機構應確實依憑證作業基準辦理相關業務。如使用臺灣網路認證股份有限公司（下稱TWCA）之NBCA憑證(Network Banking CA，網路銀行使用之憑證)客戶，應以臨櫃或郵遞方式向註冊中心申請新憑證；使用金融XML(eXtensible Markup Language，延伸性標籤語言)憑證客戶，應以使用中有效私密金鑰簽章後傳遞註冊中心申請新憑證。 （２．４）憑證線上更新時˙需以原使用中有效私密金鑰對「憑證更新訊息」做成簽章傳送至註冊中心提出申請。 （２．５）金融機構提供個人戶將其憑證儲存於軟／硬碟，隨身碟等裝置時，除經特殊保護可防止該私鑰被匯出或複製外，交易過程應增加額外具兩項(含)以上技術之介面設計認證機制後始能用於高風險交易作業；且該認證機制不得與產生交易指示採用同一設備。 (３)『電子轉帳及交易指示類』之限制 透過網際網路執行『電子轉帳及交易指示類』之低風險交易指示訊息，除限定性繳費稅交易外，其運用安全機制若不具備『無法否認傳遞訊息』、『無法否認接收訊息』等基本防護措施者，則其運用之對稱性加解密系統之金鑰長度不得小於128位元，且必須增設額外認證機制，以健全安全防護機制。配合採用各種嚴密的技術防護措施時，且能有效防範密碼資料被竊取或交易資料被竄改之攻擊手法，其非約定轉入帳戶之轉帳限額，可由個別金融機構視其風險承擔之能力斟酌予以適當提高。 (４)『電子轉帳及交易指示類』無加密功能者之限制 電信網路(PSTN)無法提供加密功能者(如電話銀行交易) ，因係以明碼資料於線上傳輸，故以約定轉出功能，且轉入帳號逐戶約定，公用事業費及各類稅費繳納以概括約定方式為限，惟倘屬限定性繳費稅之低風險性交易，得採非約定轉出功能。 (５)『非電子轉帳及交易指示類』中『帳務類查詢』之限制 透過網際網路執行『非電子轉帳及交易指示類』中『帳務類查詢』之交易指示訊息，其運用之安全機制應具備『訊息隱密性』之基本防護措施，若涉及他行居間代理者除以合約約定者外，其安全機制應具備『訊息來源辨識』之基本防護措施。 (６)除限定性繳費稅交易外之低風險非約定轉入帳戶之交易密碼規定低風險非約定轉入帳戶之轉帳應增設交易密碼，並配合採用各種嚴密的技術防護措施，且能有效防範客戶端被植入木馬程式竊取密碼資料之攻擊手法。 (７)敏感性資料之保護 透過網際網路呈現敏感性資料，其簽入之介面安全設計應採用兩項(含)以上技術保護。 ５、雙因素認證： 以上所述採用『兩項(含)以上技術』係指伍、一、(三)、1、 (4) 所述技術。 二、管理面之安全需求及安全設計 (一)管理面之安全需求 (二)管理面之安全設計 系統管理面之安全設計係指針對金融機構於系統開發設計時，於系統管理面應加以考量或應具備之基本原則及基本項目。
三、環境及端末設備面之安全需求及安全設計 (一)環境面之安全需求 (二)端末設備面之安全設計
| 肆、電子銀行業務之交易類別及風險 一、電子轉帳及交易指示類 二、非電子轉帳及交易指示類 係指與資金轉移無關或不直接影響客戶權益之服務項目。 電子轉帳及交易指示類 服務項目 查詢 １、帳務類查詢： 存放款餘額查詢、交易明細查詢、額度查詢、歸戶查詢、託收票據查詢、匯入匯款查詢、信用狀查詢等交易。 ２、非帳務類查詢： 個人資料、匯率查詢、利率查詢、共同基金查詢、金融法規查詢、股市行情查詢、投資理財資訊查詢、業務簡介查詢等交易。 通知 入扣帳通知、存款不足通知、存放款到期通知、放款繳息通知、託收票據狀況通知、消費通知等交易。 伍、本基準之構面 一、交易面之安全需求及安全設計 (一)交易面之安全需求 (二)各訊息傳輸途徑所應達到之安全防護措施如下：
【備註】 必要(Mandatory)：係指金融機構必須具備該項防護措施。 非必要(Conditional)：係指金融機構得視情況自行決定是否需要具備該項防護措施。 (三)交易面之安全設計 係指客戶發送訊息時，其介面及訊息之通訊傳輸應達到之安全防護措施之設計方法，亦即金融機構於系統開發設計時，應加以考量或應具備之基本原則及項目。 １、介面之安全設計： （１）使用晶片金融卡簽入之安全設計應符合晶片金融卡交易驗證碼之安全設計。 (2) 使用動態密碼（One Time Password，OTP）或採憑證驗證方式為簽入密碼者，得不使用簽入介面之安全設計。動態密碼係運用動態密碼產生器（Key Token）、晶片金融卡或以其他方式運用OTP原理，隨機產生限定一次使用之密碼者，其安控層次已較採用固定密碼簽入者高，故得不再使用簽入介面之安全設計。 （３）透過網際網路傳輸途徑並採用戶代號及密碼進行唯一驗證之簽入介面，其應具備之安全設計原則如後，惟若金融機構另佐以其他簽入驗證或交易驗證者，得將下述密碼之安全設計列為最低要求。 （３．１）用戶代號之安全設計： （３．１．１）金融機構不得使用客戶之顯性資料(如統一編號、身分證號及帳號)作為唯一之識別，否則應另行增設使用者代號以資識別。 （３．１．２）不應少於六位。 （３．１．３）不應訂為相同的英數字、連續英文字或連號數字。 （３．１．４）客戶於申請後若未於一個月（日曆日）內變更密碼，則不得再以該用戶代號執行簽入。 （３．１．５）客戶同一時間內只能登入一次密碼。 （３．１．６）如增設使用者代號，至少應依下列方式辦理： （３．１．６．１）不得為客戶之顯性資料。 （３．１．６．２）如輸入錯誤達五次，金融機構應做妥善處理。 （３．１．６．３）新建立時不得相同於用戶代號及密碼；變更時，亦同。 （３．２）密碼之安全設計： （３．２．１）不應少於六位。若搭配交易密碼使用則不應少於四位。 （３．２．２）建議採英數字混合使用，且宜包含大小寫英文字母或符號。 （３．２．３）不應訂為相同的英數字、連續英文字或連號數字。 （３．２．４）密碼與代號不應相同。 （３．２．５）密碼連續錯誤達五次，不得再繼續執行交易。 （３．２．６）變更密碼不得與前一次相同。 （３．２．７）首次登入時，應強制變更預設密碼。 （６）金融機構應遵循晶片金融卡網路應用系統開發注意事項，十四項必要措施如下： （６．１）網站應採用SSL(Secure Sockets Layer，網頁安全傳輸協定)加密或其他方式加密傳輸資料。 （６．２）系統應依每筆交易動態隨機變動端末設備查核碼或以亂碼化保護。 （６．３）系統應設計具遮罩功能之圖形驗證碼(GOTP，Graphic One Time Password) 或隨機按鈕等方式。 （６．４）系統應建立防止SendKey Control (模擬鍵盤控制)攻擊之機制（如動態頁面呈現或限制滑鼠點選）。 （６．５）系統應有連線(Session)控制及網頁逾時(TimeOut)中斷機制。 （６．６）於帳務性交易時，系統應每次輸入卡片密碼產生交易驗證碼(TAC，Transaction Authentication Code)。 （６．７）若有多網頁設計，系統應驗證前一網頁正確性。 （６．８）系統應驗證網站正確性。 （６．９）元件應具有防盜用機制，以驗證正確網站。 （６．１０）元件應經過作業系統被認可之數位憑證簽章(CodeSign)。 （６．１１）元件應設計存取卡片時限定為獨占模式。 （６．１２）於帳務性交易時，元件應設計需經由人工抽拔卡片動作後才回傳交易驗證碼TAC。 （６．１３）採用經銀行公會審核之確認型讀卡機者，得不執行本注意事項之第3,7,12必要項目。 （６．１４）一有駭客入侵時，金融機構即應立即關閉網路ATM（Web ATM、eATM）非約定轉帳功能，以確保交易安全。 ２、訊息傳輸之安全設計：
（４）金融機構應與事業單位以契約規範「限定性繳費稅」業務。「限定性繳費稅」倘以本人帳戶繳納本人帳單者，其交易指示雖未經客戶事先約定轉出帳戶，但因其轉入帳戶已限定為個別金融機構與個別事業單位事先以契約約定規範之，故金融機構得不使用前述簽入介面之安全設計；惟金融機構得斟酌透過帳務異動通知，達成客戶事後覆核，以提高其安全控管層次。 （５）金融機構應遵循憑證機構之憑證作業基準檢核其憑證措施，以加強安控機制，維護網路交易安全。 （５．１）金融機構應確實依憑證作業基準辦理相關業務。如使用臺灣網路認證股份有限公司（下稱TWCA）之NBCA憑證(Network Banking CA，網路銀行使用之憑證)客戶，應以臨櫃或郵遞方式向註冊中心申請新憑證；使用TWCA之金融XML(eXtensible Markup Language，延伸性標籤語言)憑證客戶，應以使用中有效私密金鑰簽章後傳遞註冊中心申請新憑證。 （５．２）使用金融XML憑證者依「金融XML憑證共用性技術規範」第七章憑證更新說明，需以原金鑰對「憑證訊息」做成簽章傳送至註冊中心，並應依第八章法人戶必須使用硬體裝置儲存金鑰。 （５．３）金融機構提供個人戶將其憑證儲存於軟／硬碟，隨身碟等裝置時，除經特殊保護可防止該私鑰被匯出或複製外，交易過程應增加額外認證機制後始能用於高風險交易作業。 (四)『電子轉帳及交易指示類』之限制 1、 透過網際網路執行『電子轉帳及交易指示類』之低風險交易指示訊息，除限定性繳費稅交易外，其運用安全機制若不具備『無法否認傳遞訊息』、『無法否認接收訊息』等基本防護措施者，則其運用之對稱性加解密系統之金鑰長度不得小於128位元，且必須採用用戶代號、密碼，以健全安全防護機制。 2、 透過網路服務執行『晶片金融卡交易』時，代理行應於其交易過程中加入操作者回應事項查核功能(Challenge & Response)。 (五)『電子轉帳及交易指示類』無加密功能者之限制 電信網路(PSTN)無法提供加密功能者(如電話銀行交易) ，因係以明碼資料於線上傳輸，故以約定轉出功能，且轉入帳號逐戶約定，公用事業費及各類稅費繳納以概括約定方式為限，惟倘屬限定性繳費稅之低風險性交易，得採非約定轉出功能。 (六)『非電子轉帳及交易指示類』中『帳務類查詢』之限制 透過網際網路執行『非電子轉帳及交易指示類』中『帳務類查詢』之交易指示訊息，其運用之安全機制應具備『訊息隱密性』之基本防護措施，若涉及他行居間代理者除以合約約定者外，其安全機制應具備『訊息來源辨識』之基本防護措施。 (七)除限定性繳費稅交易外之低風險非約定轉入帳戶之交易密碼規定低風險非約定轉入帳戶之轉帳應增設交易密碼，並配合採用各種嚴密的技術防護措施，且能有效防範客戶端被植入木馬程式竊取密碼資料之攻擊手法。 二、管理面之安全需求及安全設計 (一)管理面之安全需求 (二)管理面之安全設計 系統管理面之安全設計係指針對金融機構於系統開發設計時，於系統管理面應加以考量或應具備之基本原則及基本項目。
三、環境及端末設備面之安全需求及安全設計 (一)環境面之安全需求 (二)端末設備面之安全設計
| 配合個人資 料保護法增 列非電子轉 帳及交易指 示類之查詢 個人資料 配合個人資 料保護法公 布，於備註增 列個人資料 之訊息隱密 性要求 配合已掌握新型駭客攻擊事件 將動態密碼與憑證簽章機制，分開並詳加說明 增加Two Factor雙因 素認證機制 以符合未來 性並與國際 接軌 調整項次由（３）改為（５） 針對駭客攻擊網路系統攻擊手法，要求對客戶密碼期限作適當處理 增加2、網際網路應用系統之安全設計： 調整項次，將將（6）上移 已規範於訊息隱密性之要求, 刪除此條款 6.2, 6.3及6.4整併 避免暴露不必要資訊 文字調整 調整項次，將將(6.6)移至(12.2) 文字調整 (1) 針對駭客攻擊網路系統攻擊手法 (2)配合已知資安事件調整 6.8及6.9整併 調整項次，將將(6.11, 6.12)移至(12.2, 12.3) 將98年1月23日全電字第0981000105A號函整併為網際網路應用系統之安全設計並依據99年8月31日金管銀國字第09900311870號函修正 依據資安事件要求檢核網頁回傳資料之正確性與有效性。 調整項次 調整項次 依據99年8月31日金管銀國字第09900311870號函修正 調整項次，將2、改為3、，內容不變 調整項次增加４、交易訊息之安全限制，原來（４）、（５）改為（1）、（2） 詳細說明銀行選用憑證之注意要項 增加跨行及跨網應遵循之規範及中介軟體之憑證載具一致性 補充說明憑證展期作法 補充說明憑證展期作法 補充說明軟體載具應加強驗證機制並依據99年8月31日金管銀國字第09900311870號函修正 調整項次，將（四）改為（3） 針對額外認證機制若只採用固定密碼、事件型OTP、時間型OTP者,不得調高交易限額 已規範於開發注意事項，刪除此款 調整項次，將（五）改為（4） 調整項次，將（六）改為（5） 調整項次，將（七）改為（6） 增加(7) 防止因固定密碼被側錄導致個資外洩並依據99年8月31日金管銀國字第09900311870號函修正 依據99年8月31日金管銀國字第09900311870號函修正 針對駭客攻擊網路系統攻擊手法，加強銀行資訊系統資安全防護 刪除防火牆Firewall 針對駭客攻擊網路系統攻擊手法，加強銀行資訊系統資安全防護 刪除 ２、強制更換應用軟體及網路作業系統之預設密碼等。 配合已報載之資安事件加強防護 加強資安防護, 防止側錄攻擊 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||