投資人專區

資訊安全管理辦法

1.目的:
  為強化資訊安全管理, 建立安全及可信賴之電子化作業平台,確保資料、系統、網路及相關設備能永續運作,並在兼顧資訊安全與作業效率下 ,建立資料處理、交換及之安全控管機制,擬定本公司之資訊安全管理政策。
 

2.資訊安全政策:
  本公司為達成資訊安全目標訂定之資訊安全管理作業規定、措施、標準、規範及行為準則等,由資訊部門負責辦理 ,每年評估一次,以確保資訊安全實務作業之有效性。 為落實相關的資訊安全管理,執行作業以書面或電子方式告知公司員工、子公司員工及提供資訊服務之廠商共同遵行。 
  2.1.資訊安全管理之範圍:
      本公司資訊安全管理涵蓋6項資訊安全管理事項,以避免如因人為疏失、蓄意或天然災害等因
   素,遭致不當使用、洩漏、竄改、破壞等情事,而對本公司帶來可能之風險及危害程度。其安全管理事項如下:
   ● 資訊安全組織
   ● 人員安全與管理
   ● 資產分類與控管
   ● 實體與環境安全管理
   ● 通訊與操作管理
   ● 存取控制
  2.2.對於公司內部人員,發現有違規行為,開人評會,依違規的輕重以不同之程度懲處,如:警告、申誡、記過。情節嚴重者,解雇該員工,並且需追究其相關法律責任。
  2.3.對於廠商與外部人員的侵犯,輕則口頭警告,驅離,嚴重者,將拒絕往來,並需追究其相關法律責任。
 

3.資訊安全組織與資訊分類:
  3.1.本公司之資訊安全相關政策由資訊部門負責制定:
      3.1.1.資訊部門之職責:
            負責訂定及檢討公司資訊安全政策規劃,呈董事長核准實施。
            針對各項資訊安全措施辦理風險評估。
            監督資訊安全管理事項、進行資訊安全政策符合性檢查。
      3.1.2.資訊安全之執行單位:
            3.1.2.1.總公司:
                    ●各單位資訊安全符合性稽查,由資訊部門會同相關單位負責辦理
                    ●資訊系統安全控管措施由資訊部門配合各事業單位代表負責執行
                    ●門禁管制按照門禁管理辦法執行
            3.1.2.2.委外、第三方與協力廠商:
                    依據合約內容配合本公司資訊安全運作。
  3.2.資訊分類與控管:
      3.2.1.資訊分級依『機密文件分類管理辦法』為資訊安全等級之分類標準。
      3.2.2.配合資訊分級及風險評估,建立一套符合需要的資訊保護措施。
  3.3.有關於電腦資訊權限申請異動,皆需要填寫“電腦業務需求表” 轉呈電子簽核主管單位同意
      後,由資訊部門協助修改。
 

4.人員安全與管理:
  4.1工作說明及資源分配安全:
     4.1.1.對於可存取機密性、敏感性資訊或系統之員工依業務權責與職稱區分。
  4.2.使用者訓練:
      4.2.1.員工必須瞭解單位之資訊安全政策。
      4.2.2.隨時公告資訊安全相關訊息。
      4.2.3.不定期派員參與外界舉辦相關訓練、研討會、產品發表會。
  4.3.安全及失效事件反映及處理:
      4.3.1.發生資訊安全事件,應通報資訊部門人員,並記錄處理與追蹤。
 

5.實體及環境安全管理:
  5.1.安全區域:
      5.1.1.電腦機房,系統作業區域及其它重要地區,對於進出人員必須由管理人員作必要之限制及監督其活動。
      5.1.2.進出機房時需要填寫"人員進出機房登記表"需詳細填寫登記表內容外
            ,進出機房需有資訊人員陪同。
      5.1.3.儲存媒體依保存規範要求存放在安全的環境。
      5.1.4.機房內外設有監視器,監控機房內外及進出人員,儲存錄影檔案最少30天。
  5.2.一般控制措施:
      5.2.1.攜帶型的電腦設備訂有嚴謹的保護措施,以防止設備遺失造成資料外洩。
      5.2.2.訪客所攜帶之資訊設備 Notebook,非經允許不得連上公司內部網路。
      5.2.3.應建立管理機制以確保所有之 Notebook、PC  的作業系統及病毒瑪都有即時更新。
 

6.網路安全與操作管理:
  6.1.網路安全規劃作業:
      6.1.1.應建立電腦網路系統的安全控管機制,以確保網路傳輸資料的安全,保護網路連線作業,防止未經授權的系統存取。
      6.1.2.網路使用者之管理:被授權的網路使用者,只能在授權範圍內存取網路資源,不得將自已的登入身份識別與登入網路的密碼交付他人使用。禁止使用違反著作權、善良風俗或會妨害網路系統的正常運作之不法或不當的資訊。
      6.1.3.防火牆之安全管理:公司網路分別為內網與外界公眾網路連接的網點。防火牆系統及管控機制應依資料安全等級、網路設備更動等情況定期檢討,以因應各種新型態網路攻擊。
      6.1.4.軟體下載控制:經由網際網路下載軟體或資料檔案,在確認安全無虞及不違反智慧財產的前提下,方得安裝執行。
  6.2.主機安全防護:
      6.2.1.存放機密性及敏感性資料之伺服器主機,除作業系統既有的安全設定外,應規劃安全等級較高之Firewall or IDP 保護,防制非法使用者登入主機進行盜取、破壞等情事。
      6.2.2.負責重大營運的系統主機,必須考慮高可靠度系統的建立,避免網路攻擊及干擾
  6.3.電子郵件之安全管理:
      6.3.1.應依資訊安全政策及規定,明訂電子郵件的使用規定。
      6.3.2.應建立電子郵件的安全管理機制,以降低電子郵件可能帶來的業務上及安全上的風險。
  6.4.網際網路Internet 使用之安全管理:
      6.4.1.公司對外開放之連線資訊系統,應作適當的安全防護以及隔離,避免外界直接進入資訊系統或資料庫存取資料。
      6.4.2.應考量網際網路新技術的可能安全弱點,並採取適當的防護措施以確保內部網路安全。
      6.4.3.當伺服器執行之應用程式需接收使用者回傳資料時,應防被置入破壞性指令或程式。
      6.4.4.當無法使用正常網路時,應設置替代網路、備援連線電路,保持通訊的連續性。
      6.4.5.對於非業務相關之網路活動應公告規定禁止,並以應用軟體加以管理。
  6.5.無線網路:
      6.5.1.無線網路的使用應加上必要之安全管理機制。
 

7.存取控制:
  7.1.使用者存取管理:
      7.1.1.使用者存取權限的檢視,訂有申請管制程序。
      7.1.2.對於使用者註冊資料,隨時更新並保留相關文件資料:
            7.1.2.1.使用者離職日隔天立即關閉者帳號,並定期檢查是否有閒置的使用者帳號。
            7.1.2.2.本公司應管制使用者初次登入電腦系統後,必須立即更改預設之密碼。
            7.1.2.3.對於忘記密碼之處理,有嚴格的身份確認程序。
      7.1.3.密碼的使用須依規定的期限每90天變更密碼。
      7.1.4.依環境或業務需要,於網路防火牆,做適當之設定。
      7.1.5.限制登入作業,在一定期間未操作時,即予中斷連線。
      7.1.6.對於系統的登入及使用,都留有紀錄(LOG FILE),並有專人定期檢視是否有異常狀況。
      7.1.7.軟體安裝完畢後須立即更新廠商所預設之密碼。
      7.1.8.對風險性高的應用程式必須限制其連線作業需求。
      7.1.9.網路共用磁碟機皆依各部門群組劃分設定權限管理,若權限異動需填寫“電腦業務需求表”轉呈電子簽核主管單位同意後,由資訊部門協助修改。
      7.1.10.個人電腦在未使用時間達到5分鐘即啟動螢幕保護程式,解除時需輸入帳號密碼,以防止電腦資料在未經同意時遭他人使用。
      7.1.11.各電腦系統的USB PORT依業務需要開放或取消,以防止透過USB裝置存取公司電子資料。