電子支付機構資訊系統標準及安全控管作業基準辦法 第 19 條

白話解讀

根據電子支付機構資訊系統標準及安全控管作業基準辦法第 19 條的規定，電子支付作業環境之系統生命週期管理應符合以下要求： 一、應訂定資訊安全開發設計規範並落實執行。這表示電子支付機構在開發系統時，必須制定資訊安全開發設計規範，並確保執行的有效性。 二、對於委外開發的應用軟體，應執行監督並確保其有效遵循本辦法規定。這表示電子支付機構委託外部開發應用軟體時，應進行監督，確保該軟體有效遵循本辦法的要求。 三、應確保系統軟體和應用軟體安裝最新安全修補程式。這表示電子支付機構在安裝系統軟體和應用軟體時，必須確保安裝最新的安全修補程式，以保護系統免於安全漏洞。 四、對於測試用之機敏資料，應先進行資料遮蔽處理或管制保護。這表示在進行測試時，若使用到機敏資料，必須先進行資料遮蔽處理或進行適當的管制措施，以保護資料的安全性。 五、於開發階段起至營運階段，應遵循變更控制程序處理並留存相關紀錄；營運環境變更（如執行、覆核）應由二人以上進行，以相互牽制。這表示在系統的開發階段至營運階段，必須遵循變更控制程序，並留存相關的紀錄。此外，在進行營運環境的變更時，如執行或覆核，應由至少兩人進行，以相互牽制。 六、系統軟體變更應先進行技術審查並測試；套裝軟體不應自行異動，並應先進行風險評估。程式不應由開發人員自行換版或產製比對報表，應建立程式原始碼管理機制，以符合職務分工與牽制原則。這表示在進行系統軟體變更時，必須先進行技術審查和測試。此外，套裝軟體不應自行進行異動，且應先進行風險評估。另外，開發人員不應自行進行程式的換版或產製比對報表，應建立程式原始碼管理機制，以符合職務分工和牽制原則。 參考資料： - 《金融監督管理委員會電子支付機構資訊系統標準及安全控管作業基準辦法》(最新版本)