公司治理

Governance

資訊安全政策及管理辦法

一、目的

為強化資訊安全管理,建立安全及可信賴之電子化作業平台,確保資料、系統、網路及相關設備能永續運作,並在兼顧資訊安全與作業效率下 ,建立資料處理、交換及之安全控管機制,擬定本公司之資訊安全管理政策。

二、資訊安全政策

本公司為達成資訊安全目標訂定之資訊安全管理作業規定、措施、標準、規範及行為準則等,由資訊部門負責辦理 ,每年評估一次,以確保資訊安全實務作業之有效性。 為落實相關的資訊安全管理,執行作業以書面或電子方式告知公司員工、子公司員工及提供資訊服務之廠商共同遵行。

2.1.資訊安全管理之範圍:

本公司資訊安全管理涵蓋6項資訊安全管理事項,以避免如因人為疏失、蓄意或天然災害等因素,遭致不當使用、洩漏、竄改、破壞等情事,而對本公司帶來可能之風險及危害程度。其安全管理事項如下:

  • 資訊安全組織
  • 人員安全與管理
  • 資產分類與控管
  • 實體與環境安全管理
  • 通訊與操作管理
  • 存取控制
2.2.對於公司內部人員,發現有違規行為,開人評會,依違規的輕重以不同之程度懲處,如:警告、申誡、記過。情節嚴重者,解雇該員工,並且需追究其相關法律責任。
2.3.對於廠商與外部人員的侵犯,輕則口頭警告,驅離,嚴重者,將拒絕往來,並需追究其相關法律責任。

三、資訊安全組織與資訊分類:

3.1.本公司之資訊安全相關政策由資訊部門負責制定:

3.1.1.資訊部門之職責:

  • 負責訂定及檢討公司資訊安全政策規劃,呈董事長核准實施。
  • 針對各項資訊安全措施辦理風險評估。
  • 監督資訊安全管理事項、進行資訊安全政策符合性檢查。

3.1.2.資訊安全之執行單位:

  • 各單位資訊安全符合性稽查,由資訊部門會同相關單位負責辦理
  • 資訊系統安全控管措施由資訊部門配合各事業單位代表負責執行
  • 門禁管制按照門禁管理辦法執行

3.2.資訊分類與控管:

3.2.1.資訊分級依『機密文件分類管理辦法』為資訊安全等級之分類標準。

3.2.2.配合資訊分級及風險評估,建立一套符合需要的資訊保護措施。

3.3.有關於電腦資訊權限申請異動,皆需要填寫“電腦業務需求表” 轉呈電子簽核主管單位同意後,由資訊部門協助修改。

四、人員安全與管理:

4.1.工作說明及資源分配安全

4.1.1.對於可存取機密性、敏感性資訊或系統之員工依業務權責與職稱區分。

4.2.使用者訓練:

4.2.1.員工必須瞭解單位之資訊安全政策。

4.2.2.隨時公告資訊安全相關訊息。

4.2.3.不定期派員參與外界舉辦相關訓練、研討會、產品發表會。

4.3.安全及失效事件反映及處理:

4.3.1.發生資訊安全事件,應通報資訊部門人員,並記錄處理與追蹤。

五、實體及環境安全管理:

5.1.安全區域:

5.1.1.電腦機房,系統作業區域及其它重要地區,對於進出人員必須由管理人員作必要之限制及監督其活動。

5.1.2.進出機房時需要填寫"人員進出機房登記表"需詳細填寫登記表內容外,進出機房需有資訊人員陪同。

5.1.3.儲存媒體依保存規範要求存放在安全的環境。

5.1.4.機房內外設有監視器,監控機房內外及進出人員,儲存錄影檔案最少30天。

5.2.一般控制措施:

5.2.1.攜帶型的電腦設備訂有嚴謹的保護措施,以防止設備遺失造成資料外洩。

5.2.2.訪客所攜帶之資訊設備 Notebook,非經允許不得連上公司內部網路。

5.2.3.應建立管理機制以確保所有之 Notebook、PC 的作業系統及病毒瑪都有即時更新。

六、網路安全與操作管理:

6.1.網路安全規劃作業:

6.1.1.應建立電腦網路系統的安全控管機制,以確保網路傳輸資料的安全,保護網路連線作業,防止未經授權的系統存取。

6.1.2.網路使用者之管理:

被授權的網路使用者,只能在授權範圍內存取網路資源,不得將自已的登入身份識別與登入網路的密碼交付他人使用。禁止使用違反著作權、善良風俗或會妨害網路系統的正常運作之不法或不當的資訊。

6.1.3.防火牆之安全管理:

公司網路分別為內網與外界公眾網路連接的網點。防火牆系統及管控機制應依資料安全等級、網路設備更動等情況定期檢討,以因應各種新型態網路攻擊。

6.1.4.軟體下載控制:

經由網際網路下載軟體或資料檔案,在確認安全無虞及不違反智慧財產的前提下,方得安裝執行。

6.2.主機安全防護:

6.2.1.存放機密性及敏感性資料之伺服器主機,除作業系統既有的安全設定外,應規劃安全等級較高之Firewall or IDP 保護,防制非法使用者登入主機進行盜取、破壞等情事。

6.2.2.負責重大營運的系統主機,必須考慮高可靠度系統的建立,避免網路攻擊及干擾

4.3.安全及失效事件反映及處理:

6.3.1.應依資訊安全政策及規定,明訂電子郵件的使用規定。

6.3.2.應建立電子郵件的安全管理機制,以降低電子郵件可能帶來的業務上及安全上的風險。

6.4.網際網路Internet 使用之安全管理:

6.4.1.公司對外開放之連線資訊系統,應作適當的安全防護以及隔離,避免外界直接進入資訊系統或資料庫存取資料。

6.4.2.應考量網際網路新技術的可能安全弱點,並採取適當的防護措施以確保內部網路安全。

6.4.3.當伺服器執行之應用程式需接收使用者回傳資料時,應防被置入破壞性指令或程式。

6.4.4.當無法使用正常網路時,應設置替代網路、備援連線電路,保持通訊的連續性。

6.4.5.對於非業務相關之網路活動應公告規定禁止,並以應用軟體加以管理。

6.5.無線網路:

6.5.1.無線網路的使用應加上必要之安全管理機制。

七、存取控制:

7.1.使用者存取管理:

7.1.1.使用者存取權限的檢視,訂有申請管制程序。

7.1.2.對於使用者註冊資料,隨時更新並保留相關文件資料:

7.1.2.1.使用者離職日隔天立即關閉者帳號,並定期檢查是否有閒置的使用者帳號。

7.1.2.2.本公司應管制使用者初次登入電腦系統後,必須立即更改預設之密碼。

7.1.2.3.對於忘記密碼之處理,有嚴格的身份確認程序。

7.1.3.密碼的使用須依規定的期限每90天變更密碼。

7.1.4.依環境或業務需要,於網路防火牆,做適當之設定。

7.1.5.限制登入作業,在一定期間未操作時,即予中斷連線。

7.1.6.對於系統的登入及使用,都留有紀錄(LOG FILE),並有專人定期檢視是否有異常狀況。

7.1.7.軟體安裝完畢後須立即更新廠商所預設之密碼。

7.1.8.對風險性高的應用程式必須限制其連線作業需求。

7.1.9.網路共用磁碟機皆依各部門群組劃分設定權限管理,若權限異動需填寫“電腦業務需求表”轉呈電子簽核主管單位同意後,由資訊部門協助修改。

7.1.10.個人電腦在未使用時間達到5分鐘即啟動螢幕保護程式,解除時需輸入帳號密碼,以防止電腦資料在未經同意時遭他人使用。

7.1.11.各電腦系統的USB PORT依業務需要開放或取消,以防止透過USB裝置存取公司電子資料。

為提供您更好的服務,本站採用Cookies工具。若您繼續瀏覽網站表示您同意我們使用Cookies,請參閱隱私版權政策內容了解更多。

本網站建議使用下列瀏覽器:IE11以上、Chrome、Edge、Firefox,以利正常顯示頁面內容,最佳瀏覽解析度為1024x768以上。