電子票證應用安全強度準則 第 14 條

白話解讀

根據《電子票證應用安全強度準則》第14條，以下是對該條逐條進行的釋義： 一、電子票證須具有獨立且唯一之識別碼或具有認證之功能，以確保其合法性。 根據這一要求，電子票證應該擁有一個獨立且唯一的識別碼，或者具有認證功能，以確保其合法性。這表示發行機構需要在設計電子票證時，確保每張票證都具有唯一的識別碼或進行必要的認證程序，以防止非法使用。 二、若採用戶代號及固定密碼者，應具有下列之安全設計： （一）用戶代號如使用顯性資料（如商業統一編號、身分證統一編號、行動電話號碼、電子郵件帳號、電子票證編號等）作為唯一之識別，應另行增設持卡人代號以資識別。持卡人代號亦不得為上述顯性資料。 （二）密碼不應少於六位。 根據這些安全設計要求，如果採用用戶代號及固定密碼作為識別方式，則應該設計一套安全措施： - 用戶代號不得使用顯性資料來作為唯一識別，並且需增設持卡人代號作為識別，而持卡人代號也不得是上述的顯性資料。 - 密碼不得少於六位數字。 （三）密碼不應與用戶代號相同，亦不得與持卡人代號相同。 - 密碼不得與用戶代號相同，也不得與持卡人代號相同。 （四）密碼不應訂為相同之英數字、連續英文字或連號數字，預設密碼不在此限。 - 密碼不應該是相同的英數字、連續英文字母或連號數字，但預設密碼不在此限。 （五）密碼建議採英數字混合使用，且宜包含大小寫英文字母或符號。 - 密碼建議使用英數字的組合，並且應該包含大小寫英文字母或符號。 （六）密碼連續錯誤達五次時應限制使用，須重新申請密碼。 - 如果密碼連續錯誤達到五次，應該限制使用該票證，並要求重新申請密碼。 （七）變更後之密碼不得與變更前一次密碼相同。 - 在變更密碼後，新密碼不得與上一次變更前的密碼相同。 （八）密碼超過一年未變更，發行機構應做妥善處理。 - 如果密碼超過一年未變更，發行機構應該進行相應的處理措施。 （九）持卡人註冊時係由發行機構發予預設密碼者，於持卡人首次登入時，應強制變更預設密碼。 - 如果發行機構在持卡人註冊時給予預設密碼，則在持卡人首次登入時應強制要求變更預設密碼。 三、儲存於電子票證之個資必須保護：若使用電子票證儲存個人資料，應設計存取控制或持卡人確認之機制，以限制其讀取。 根據這一要求，如果在電子票證中儲存個人資料，應該設計妥善的存取控制或持卡人確認機制，以限制這些資料的讀取。 四、制定電子票證交貨控管流程：發行機構應針對電子票證之生命週期進行妥善之管理，應制定電子票證製發卡與交貨控管流程、管制外包製卡作業及落實實體電子票證之安全控管。 根據這一要求，發行機構應該針對電子票證的整個生命週期進行妥善管理，包括制定電子票證的製發卡和交貨控管流程，管控外包製卡作業，以及確保實體電子票證的安全控管。 以上是對《電子票證應用安全強度準則》第14條的逐條釋義。