投资人专区

财务资讯

资通安全

资通安全管理架构

依据《公开发行公司建立内部控制制度处理准则》第九条之一条，公开发行公司应配置适当人力资源及设备，进行资讯安全制度之规划、监控及执行资讯安全管理作业。符合一定条件者，本会得命令指派综理资讯安全政策推动及资源调度事务之人兼任资讯安全长，及设置资讯安全专责单位、主管及人员。编製概述年度资讯安全管理执行情况，以确保资讯资产的机密性、完整性及可用性，降低营运风险并符合法规要求。

本公司由资讯处负责资讯安全推动，资讯管理依「公开发行公司建立内部控制制度处理准则」第九条建立内部各项控制作业制度执行。各项控制作业参阅《个人资料保护法施行细则》、《上市上柜公司资通安全管控指引》等为标准，由资讯单位依组织部门职责统筹资讯安全及相关事宜，依据实际管理需求制订资安政策、管理办法并推动落实。稽核单位依内部控制程序进行内部稽核，定期追踪改善结果，以降低资安风险。

本公司已建立资讯安全管理机制，并设立「资讯安全小组」负责资讯安全政策规划及执行，成员架构如下：

召集人：集团执行长
资安专责主管：1人（负责资讯安全管理制度推动与执行）
资安小组成员：2人（协助执行资讯安全相关措施）

为强化本公司之资讯安全管理、确保资料、系统及网路安全，设立资安管理室，并配置资安专责主管1名及1名资安专责人员，主係确保资通安全管理制度之运作，鑑别资通安全管理制度之内、外部议题及利害相关团体对本公司之资通安全要求与期望；资讯安全小组定期召开会议，检讨与改善资安管理机制，并每年至少一次向董事会报告资讯安全执行情形，最近提报时间为2025年3月13日。

资讯安全政策

为强化资讯安全，确保所属资讯资产的机密性、完整性、可用性与个人资料之要求，以提供公司持续运作的资讯环境，并符合相关法令法规之要求，使其免于遭受内、外部恶意或意外之威胁，本公司已制定《资讯安全管理办法》、《资讯安全存取管理办法》供全体同仁遵循。为维护本公司资讯资产的机密性、完整性及可用性，并确保使用者资料隐私之安全。本公司期望透过全体同仁的努力达成以下目标：

保护本公司营运活动资讯，避免未经授权之存取，以确保其机密性。
保护本公司营运活动资讯，避免未经授权之修改，以确保其正确性与完整性。
制定推动、实施及评估改善资讯安全管理事项，确保具备持续运作的资讯环境。
办理资讯安全教育训练，提升员工资讯安全意识与责任认知。
执行资讯安全风险评估，提升资讯安全管理效能与即时性。
实施资讯安全内部稽核制度，确保资讯安全管理落实执行。
建立营运持续计画，以确保公司营运服务持续运作。
本公司之各项营运活动执行须最低符合相关法令法规之要求。

资讯安全管理方案

为增进本公司资讯安全及稳定之运作，提供可信赖的资讯服务，确保资讯系统之机密性、完完整性及可用性，提升使用者及用户端的资安意识，实行各项管理作业：

管理事项	作业说明
1.资讯资产之安全管理	资产清册每年定期盘点。重要资产签订更新维护保固作业。重要系统及资料进行本机备份、异机备份及异地备份或云端备份机制。
2.人员管理及教育训练	持续建立、宣导及推广员工资讯安全认知，以提升资讯安全。新进同仁资讯安全宣导训练。不定期各类资讯安全宣导。
3.实体及环境安全管理	资讯机房安全区域设置门禁控制，确保只有经授权人员才许可进入。资讯相关设备，应适地进行安置、保护、监控，以降低环境威胁所造成的损害，例如:环境温湿度监控、防火灾及防水灾监控。
4.电脑系统及网路安全管理	外部及个人电脑网路设备不得私自连接公司网路。企业级无线网路系统，经系统整合验证机制始能连线。重要资料可进行档案加密保护机制。使用专业防毒系统、并自动更新及异常email通知。建置新世代网路防火牆，设定连线规则，确保使用安全。邮件系统垃圾邮件过滤、病毒威胁防护及主机电脑重大修补程式更新。
5.系统存取控制安全	系统权限依员工职务职能经权限申请作业后存取。每年定期进行权限复核作业。设置密码，锁定及複杂度原则，并定期由系统强制要求更新密码作业。
6.系统发展开发及维护之安全管理	自行开发或委外发展系统，进行系统之维护、更新、上线执行及版本异动作业，须将资讯安全需求纳入考量，以避免不当危害风险。
7.营运持续运作	每年依公司营运持续计画进行风险评估及灾难復原演练规划，并依计画进行系统灾难復原演练，确保资讯系统之可用性。

2024年度资讯安全执行情形报告