金融機構辦理電子銀行業務安全控管作業基準。
壹、前言。中華民國銀行商業同業公會全國聯合會為確保金融機構辦理電子銀行業務具有一致性基本準則之安全控管作業，特訂定本基準。
貳、電子銀行業務之定義。
電子銀行(electronic banking)業務係指在金融機構與客戶(自然人及法人)間，透過各種電子設備及通訊設備，客戶無須親赴金融機構櫃台，即可直接取得金融機構所提供之各項金融服務。
參、電子銀行業務之訊息傳輸途徑。
係指客戶端利用電子設備及通訊設備與金融機構進行交易時所使用的網路型態。
一、金融機構專屬網路。
金融機構專屬網路係直接以連線方式(撥接(dial-up)、專線(lease-line)或虛擬私有網路(virtual private network，vpn)等方式)傳輸訊息。
二、加值網路(value added network，van)
加值網路係指運用基礎通訊網路所建置之設施，提供正常傳輸外附加價值之服務，諸如自動錯誤偵測及修復(automatic error detection and correction)、通訊協定轉換(protocol conversion)及訊息儲存及後送(message storing and forwarding)等，以增加網路使用之附加價值。
三、網際網路(internet)
客戶端利用電子設備及通訊設備，透過網際網路服務業者(internet service provider，isp) 與金融機構間進行交易。網際網路(internet)係一個提供全球資訊之高速網路環境，使用者需先行連結至特定網站，再運用該網站服務連結至個別網址，以便進一步使用internet之各種資訊及資源； isp即指以提供前述網站服務為營利目的之公司。
四、行動網路。
客戶端利用電子設備及通訊設備，透過電信服務業者(telecom)與金融機構間進行交易。電信服務業者在各區域間佈建縝密之基地台(base station)，以負責訊息之傳送及接收。惟實際運用行動網路進行交易指示時，應依個別電信服務業者與金融機構間傳輸途徑之不同，分別納入前述金融機構專屬網路或網際網路傳輸途徑予以規範。
肆、電子銀行業務之交易類別及風險。
係指由客戶端利用電子設備及通訊設備以連線方式發送訊息至金融機構進行交易指示之交易類別，並依據其執行結果對客戶權益之影響區分風險之高低。
一、電子轉帳及交易指示類。
係指該交易指示直接涉及資金轉移或直接影響客戶權益者。
一）服務項目。
、電子交易、轉帳授權、帳務通知服務項目舉例如下：
、申請指示服務項目舉例如下：
二）高風險及低風險性之交易。
依據其交易指示執行結果對客戶權益影響之不同，可再行區分為高風險性之交易及低風險性之交易。
二、非電子轉帳及交易指示類。
係指與資金轉移無關或不直接影響客戶權益之服務項目。
其服務項目舉例如下：
伍、本基準之構面。
本基準構面包括交易面、管理面、環境面及支付工具面等四大構面之安全需求及安全設計，其基本標準如下：
一、交易面之安全需求及安全設計。
一)交易面之安全需求。
交易面之安全需求依安全防護措施之不同分述如下：
、訊息隱密性(confidentiality)：
係指訊息不會遭截取、窺竊而洩漏資料內容致損害其秘密性。
、訊息完整性(integrity)：
係指訊息內容不會遭篡改而造成資料不正確性，即訊息如遭篡改時，該筆訊息無效。
、訊息來源辨識(authentication)：係指傳送方無法冒名傳送資料。
、訊息不可重複性(non-duplication)：係指訊息內容不得重複。
、無法否認傳送訊息(non-repudiation of sender)：係指傳送方無法否認其傳送訊息行為。
、無法否認接收訊息(non-repudiation of receiver)：係指接收方無法否認其接收訊息行為。
二)各訊息傳輸途徑所應達到之安全防護措施如下：
備註】 必要(mandatory)：係指金融機構必須具備該項防護措施。
非必要(conditional)：係指金融機構得視情況自行決定是否需要具備該項防護措施。
三)交易面之安全設計。
係指客戶發送訊息時，其介面及訊息之通訊傳輸應達到之安全防護措施之設計方法，亦即金融機構於系統開發設計時，應加以考量或應具備之基本原則及項目。
、介面之安全設計：
１）使用晶片金融卡簽入之安全設計應符合晶片金融卡交易驗證碼之安全設計。
２）使用動態密碼（one time password，otp）或採憑證驗證方式為簽入密碼者，得不使用簽入介面之安全設計。動態密碼係運用動態密碼產生器（key token）、晶片金融卡或以其他方式運用otp原理，隨機產生限定一次使用之密碼者，其安控層次已較採用固定密碼簽入者高，故得不再使用簽入介面之安全設計。
３）透過網際網路傳輸途徑並採用戶代號及密碼進行唯一驗證之簽入介面，其應具備之安全設計原則如後，惟若金融機構另佐以其他簽入驗證或交易驗證者，得將下述密碼之安全設計列為最低要求。
３．１用戶代號之安全設計：
３．１金融機構不得使用客戶之顯性資料(如統一編號、身分證號及帳號)作為唯一之識別，否則應另行增設使用者代號以資識別。
３．１不應少於六位。
３．１不應訂為相同的英數字、連續英文字或連號數字。
３．１客戶於申請後若未於一個月（日曆日）內變更密碼，則不得再以該用戶代號執行簽入。
３．１客戶同一時間內只能登入一次密碼。
３．１如增設使用者代號，至少應依下列方式辦理：
３．１不得為客戶之顯性資料。
３．１如輸入錯誤達五次，金融機構應做妥善處理。
３．１新建立時不得相同於用戶代號及密碼；變更時，亦同。
３．２密碼之安全設計：
３．２不應少於六位。若搭配交易密碼使用則不應少於四位。
３．２建議採英數字混合使用，且宜包含大小寫英文字母或符號。
３．２不應訂為相同的英數字、連續英文字或連號數字。
３．２密碼與代號不應相同。
３．２密碼連續錯誤達五次，不得再繼續執行交易。
３．２變更密碼不得與前一次相同。
３．２首次登入時，應強制變更預設密碼。
４）金融機構應與事業單位以契約規範「限定性繳費稅」業務。「限定性繳費稅」倘以本人帳戶繳納本人帳單者，其交易指示雖未經客戶事先約定轉出帳戶，但因其轉入帳戶已限定為個別金融機構與個別事業單位事先以契約約定規範之，故金融機構得不使用前述簽入介面之安全設計；惟金融機構得斟酌透過帳務異動通知，達成客戶事後覆核，以提高其安全控管層次。
５）金融機構應遵循憑證機構之憑證作業基準檢核其憑證措施，以加強安控機制，維護網路交易安全。
５．１金融機構應確實依憑證作業基準辦理相關業務。如使用臺灣網路認證股份****（下稱twca）之nbca憑證(network banking ca，網路銀行使用之憑證)客戶，應以臨櫃或郵遞方式向註冊中心申請新憑證；使用twca之金融xml(extensible markup language，延伸性標籤語言)憑證客戶，應以使用中有效私密金鑰簽章後傳遞註冊中心申請新憑證。
５．２使用金融xml憑證者依「金融xml憑證共用性技術規範」第七章憑證更新說明，需以原金鑰對「憑證訊息」做成簽章傳送至註冊中心，並應依第八章法人戶必須使用硬體裝置儲存金鑰。
５．３金融機構提供個人戶將其憑證儲存於軟／硬碟，隨身碟等裝置時，除經特殊保護可防止該私鑰被匯出或複製外，交易過程應增加額外認證機制後始能用於高風險交易作業。
６）金融機構應遵循晶片金融卡網路應用系統開發注意事項，十四項必要措施如下：
６．１網站應採用ssl(secure sockets layer，網頁安全傳輸協定)加密或其他方式加密傳輸資料。
６．２系統應依每筆交易動態隨機變動端末設備查核碼或以亂碼化保護。
６．３系統應設計具遮罩功能之圖形驗證碼(gotp，graphic one time password) 或隨機按鈕等方式。
电子银行业务营销方案
第1篇 e路相随电子银行年度营销方案。一 活动主题 金e顺校园行 电子银行知识及 理财专家讲座。二 活动时间 20xx年11月10日至20xx年11月30日。三 活动地点 广西机电学院校区内。四 参加人员 一 广西机电学院校领导 相关处室 院系领导 广大教职员工和学生代表。二 农行区分行电子银行部领...
电子银行业务营销方案
为适应金融服务领域的不断拓展与电子商务的快速发展，进一步提高服务水平及服务质量，云南省农村信用社推出了电子银行服务。作为全新的金融理财服务工具，电子银行服务是对传统银行服务的延伸，扩大了服务空间，实现了7 24小时服务，能够更好的支持客户做好资金结算。电子银行服务实现了客户可在任何时间 任何地方都能...
电子银行业务营销方案
第1篇 e路相随电子银行年度营销方案第1篇 e路相随电子银行年度营销方案。一 活动主题 金e顺校园行 电子银行知识及 理财专家讲座。二 活动时间 20xx年11月10日至20xx年11月30日。三 活动地点 广西机电学院校区内。四 参加人员 一 广西机电学院校领导 相关处室 院系领导 广大教职员工和...