(一) 資通安全風險管理架構
1. 資訊安全治理組織
本公司已由資訊部組成「資訊安全專責單位」,負責統籌資訊安全政策之制定、執行及風險管理與遵循,成員包含資訊安全主管1位及人員1位,由總經理定期監督其運作,確認資訊安全政策落實。另稽核室每年查核資通安全管理作業,並向董事會及審計委員會彙報查核結果。
2. 資訊安全組織架構
(二) 資通安全政策
為有效落實資安管理,資訊安全專責單位依據規畫、執行、查核與行動PDCA(Plan-Do-Check-Act)管理循環機制,檢視資訊安全政策適用性與保護措施,並定期與總經理回報執行成效。
Plan-Do-Check-Act (PDCA) 管理循環機制 | |
---|---|
規畫階段 |
著重資安風險管理,建立完整的資訊安全管理系統(Information Security Management System, ISMS),從系統面、技術面、程序面降低企業資安威脅,建立符合客戶需求、最高規格的機密資訊保護服務。 |
執行階段 |
建構多層資安防護,持續導入資安防禦創新技術,將資安控管機 制整合內化於平日作業流程,系統化監控資訊安全,以維護重要資產的機密性、 完整性及可用性。 |
查核階段 |
積極監控資安管理成效,依據查核結果進行資安風險分析。 |
行動階段 |
檢討與持續改善為本,落實監督、稽核確保資安規範持續有效々 若有違反資安規範情勢,視違規情節進行人事處分(包括員工考績或必要的法律 行動)々此外,定期檢討及執行包含資訊安全措施、教育訓練及宣導等改善作為, 確保重要機密資訊不外洩。 |
1. 具體管理方案
• 多層資安防護機制
項目 | 具體管理方案 |
---|---|
網路安全 |
導入防毒牆技術,執行電腦掃描及系統與軟體更新。 強化網路防火牆與網路控管,防止電腦病毒跨機台擴散。 |
裝置安全 |
建置端點防毒軟體,強化惡意軟體行為偵測。 |
應用程式安全 |
關鍵應用系統,每年定期災害復原演練。 程式開發於測試環境進行,與正式環境區分。 |
人員與實體安全 |
電腦機房設有門禁、溫濕度監測及不斷電系統。 |
帳號與權限管理 |
權限給予以職務所需。 離職帳號權限凍結。 |
資料安全保護技術強化 |
文件及資料加密控管及追蹤。 儲存裝置僅限讀取權限。 重要客戶或供應商,簽署保密協議。 |
• 檢討與持續改善
項目 | 具體管理方案 |
---|---|
教育續練與宣導 |
提升同仁資安意識,宣導郵件社交攻擊態樣。 向新進同仁布達硬軟體使用規則並簽署同意書。 |
2. 投入資通安全管理之資源
• 每年投入一定比例的預算來進行進行資安相關軟硬體的升級及維護,確保不低於總資訊預算的10%。以2024年為例,為了維護資訊安全投入15%的總資訊預算用於資訊安全投入。
• 資訊安全主管及資訊安全人員於2024年共參加 7次資安講座與課程。
本公司已建立網路與電腦的資安防護措施,但無法保證重要企業功能之電腦系統能完全避免網路攻擊,造成營運及商譽的損害;有鑑於此,本公司主動加入「台灣電腦網路危機處理暨協調中心」透過情資分享,提升內部各項資安防護。另,本公司訂有「電腦防毒管理辦法」、「公司重大中毒事件處理SOP」等資安事件應變處置及通報作業程序,及時因應任何資安問題。
最近年度及截至年報刊印日止,本公司尚無重大資通安全事件。惟,面對瞬息萬變且日益增長的資安威脅,過去的防禦成效不代表未來不會發生,企業對於資訊安全的要求及工具也應與時俱進。