[其他]網路交易安全規範
整理一下金管會的安控十四條
金融機構提供網際網路應用系統，應遵循十四項必要措施如下：
（１）於低風險非約定轉入帳戶轉帳或高風險交易時，系統應設計人工介入機制。（如：具遮罩功能之圖形驗證碼(GOTP，Graphic One Time Password) 、隨機按鈕或動態頁面呈現等方式）。
（２）於交易時，載具密碼不應於網際網路上傳送。
（３）系統應設計連線(Session)控制及網頁逾時(TimeOut)中斷機制。
（４）系統應辨識外部網站及其所傳送交易資料之訊息來源及交易資料正確性。
（５）系統應辨識客戶輸入與系統接收之非約轉交易指示一致性。
（６）系統應避免存在網頁程式安全漏洞(如：Injection, Cross-Site Scripting)。
（７）系統應偵測網頁與程式異動時，進行紀錄與通知措施。
（８）元件應驗證網站正確性。
（９）元件應採用被作業系統認可之數位憑證進行程式碼簽章(CodeSign)。
（１０）於低風險非約定轉入帳戶轉帳或高風險交易時，須於載具上經由人工確認後才回傳交易驗證訊息(如：交易驗證碼TAC、憑證簽章值)；或於交易過程增加額外具兩項(含)以上技術之介面設計認證機制。
（１１）採用憑證為交易介面者，系統經驗章後應依據原簽章值內之交易指示進行交易。
（１２）採用晶片金融卡為交易介面者，應遵循下列措施：
（１２‧１）系統應依每筆交易動態產製隨機變動之端末設備查核碼，並檢核網頁回傳資料之正確性與有效性。
（１２‧２）於帳務性交易時，系統應每次輸入卡片密碼產生交易驗證碼(TAC，Transaction Authentication Code)。
（１２‧３）元件應設計存取卡片時限定為獨占模式。
（１３）採用經本會審核之確認型讀卡機或載具並可人工確認交易內容者，得不執行本安全設計之第(1),(4),(10)等必要措施項目。
（１４）一有駭客入侵時，金融機構即應依狀況關閉服務、伺服器或網站，以確保交易安全。
