1.資通安全風險管理架構、資通安全政策、具體管理方案及投入資通安全管理資源情形：
(1)資通安全風險管理架構：
關於本網站使用瀏覽器紀錄 Cookie 來提供您最好的使用體驗，我們使用的 Cookie 也包括了第三方 Cookie。相關資訊請訪問我們的隱私權與Cookie 政策。如果您選擇繼續瀏覽或關閉這個提示，便表示您已接受我們的網站使用條款。
資訊安全管理
本公司組織運作模式採用 PDCA ( Plan-Do-Check-Act ) 循環式管理，由資訊部、法遵室與稽核室共同推動資通安全管理，確保資訊安全策略能持續適應內外環境變化，並透過定期檢視與改善機制，強化風險控管與應變能力。
為確保全面資安防護，本公司已建立資訊安全管理系統(Information Security Management System, ISMS)，符合 ISO/IEC 27001 資訊安全管理標準 與 ISO/IEC 27701 隱私資訊管理標準，並透過系統、技術與程序多面向管理，降低企業資安風險：
A. 技術層面：導入多層式資安防禦架構，包含防火牆、入侵偵測/防禦系統 (IDS/IPS)、端點防護 (EDR) 及加密技術，確保系統與資料安全。
B. 管理層面：內部資訊安全規範與 SOP 皆依據 ISO/IEC 27001 資訊安全管理、ISO/IEC 27701 隱私資訊管理國際標準制定，並結合企業營運環境調整，以提升合規性與風險管理能力。
C. 監控層面：建立 24 小時資安監控中心 (SOC)，確保企業系統即時監測異常行為，並進行即時應變與事件回應。
D. 供應鏈安全：將資安要求納入供應商管理，確保第三方合作夥伴符合資安標準，降低外部資安風險。
此外，本公司亦定期進行資安風險評估與指標衡量，透過資安攻防演練 (Red Team Testing)、滲透測試與模擬駭客攻擊，檢視防禦機制的有效性，並強化事件應變能力，確保資訊安全管理體系達到持續改進的目標。
(2)資通安全政策：本公司的資通安全政策涵蓋 「規範」、「技術」、「人員」三大面向，並以ISO/IEC 27001 資訊安全管理、ISO/IEC 27701 隱私資訊管理國際標準 為核心，確保資訊安全與隱私保護落實執行。
A. 規範的制定：依據資訊安全Information Security Management System, ISMS管理系統規範，制定相關 ISO/IEC 27001 資訊安全管理、ISO/IEC 27701 隱私資訊管理制度，建立全面性資安政策與內部規範，確保人員作業行為符合國際標準。
B. 科技的使用：
- 採用多層式資安架構，導入AI資安監控、零信任架構(Zero Trust)及行為異常偵測系統，提升企業數據安全。
- 建置24HR SOC (Security Operation Center)監控中心，確保即時偵測與回應資安威脅。
- 採用資料加密、權限管理、多因素驗證(MFA)等技術，確保資料存取安全。
C. 人員的訓練：
- 新進員工資安訓練：所有新進同仁須完成資安教育訓練，熟悉公司資安政策與應對措施。
- 定期資安意識訓練：每年至少舉辦4次企業內部資安訓練，內容涵蓋資安威脅趨勢、社交工程攻擊防範、資料外洩應對等。
- 高階主管與資訊團隊專業訓練：針對資安關鍵人員 (如資訊、法令遵循部門等)提供進階資安認證課程，提升防禦能力。
(3)具體管理方案：本公司制定以下資安管理方案，以確保資安風險可控、應變措施得當。
A. 資訊安全事件應變計畫 (Incident Response Plan, IRP)：
- 訂定明確的事件應變流程，包含 偵測、通報、隔離、回應、復原 五大階段。
- 設立 資安事件通報機制，確保異常事件能在最短時間內回應與解決。
B. 業務持續運作計畫 (Business Continuity Plan, BCP)：
- 針對 關鍵業務系統，定期進行異地備援測試與災難復原演練，確保企業運作不中斷。
- 建立 資料異地備援機制，確保重大事故發生時，仍能保障業務持續運作。
C. 資安攻防演練與滲透測試：
- 每年進行 紅隊攻擊測試 (Red Team Testing)，驗證現有防禦機制的有效性。
- 定期執行 社交工程演練，提升員工資安意識，降低內部人員成為資安風險的可能性。
D. 供應鏈資安管理：
- 針對合作夥伴、供應商，建立 資安審查機制，確保外部夥伴符合本公司資安標準，降低供應鏈資安風險。
(4)投入資通安全管理資源：本公司長期投入資安管理資源，確保企業營運符合國際標準，並持續強化資訊安全治理能力。
A. 資安預算：每年編列專項資安預算，投資於最新資安技術、基礎設施與人員培訓，以確保企業安全性與合規性。
B. 資安治理報告：每年底向董事會報告資通安全管理成效與未來計畫，確保高層決策者對資安風險有全面掌握。
C. 法規遵循與外部稽核：委託 BSI (英國標準協會) 進行年度ISO/IEC 27001 資訊安全管理、ISO/IEC 27701 隱私資訊管理稽核，確保資安政策符合國際標準。
D. 資安意識推廣：定期透過 時事案例、裁罰案例 作為資安教育內容，提升員工對最新資安威脅的認識，確保全員資安意識同步提升。
資訊安全管理辦法
項次
檔案名稱
下載
