跳到主要內容區塊 :::
臉書分享 line分享 推特分享 微博分享 複製網址
  1. 首頁
  2. 公司治理
  3. 資訊安全風險管理

資訊安全風險管理

資通安全風險管理架構

  1. 本公司由總經理室召集跨單位主管組成資通安全維護小組，由資管處主管擔任資安專責主管，負責資安政策推動、風險評估及各項管理措施執行，確保資安管理體系有效運作。
  2. 本公司同時於114年3月10日經董事會通過資訊安全主管任命案，未來將定期向董事會報告資訊安全執行情形。

資通安全政策

  1. 本公司針對資訊安全管理，除設有相關內部控制制度及資訊安全管理作業規範，持續檢討與更新外，更於114年2月，進一步制定資訊安全管理系統（ISMS）相關程序及表單，以確保資通安全管理作業有效運作。
  2. 有關規範包含但不限於以下要點：
  1. 存取控制：所有系統存取皆須依內部程序申請，確保僅授權人員具備訪問權限。
  2. 密碼強度：帳號密碼設置需符合強度要求，並定期強制更換。
  3. 資料保護：透過加密技術及異地備份策略確保資料安全性與可用性。
  4. 風險評估：每年進行風險評估，針對潛在安全威脅與漏洞採取相應措施。

 

資通安全管理措施

  1. 設備安全與環境控制：
  1. 機房安全：公司重要伺服器與網路設備均存放於機房，實施門禁管制，非授權人員需由資訊人員陪同進入並登記於機房進出紀錄。
  2. 電力保護：機房配置穩壓與UPS不斷電設備，確保短暫停電不影響系統運作。
  3. 環境監控：機房裝設溫溼度自動監測系統、消防設備及監視器，並定期檢查。
  1. 網路安全與病毒防護：
  1. 防火牆與網路安全：企業網路入口處配置防火牆，嚴格控制網路訪問，並定期更新防火牆軟體以應對最新威脅。
  2. 端點保護：伺服器和終端設備安裝端點防護軟體，定期更新病毒碼，以阻止病毒與惡意程式入侵。
  3. 郵件安全：郵件伺服器設有防毒與垃圾郵件過濾，並採黑白名單機制管控郵件流通。
  4. 數據傳輸安全：採用專線VPN進行各分支間資料傳輸，並針對公司Wi-Fi區分內部及客用網路。
  1. 系統存取控制：
  1. 帳號管理：員工需透過內部程序申請系統權限，確保僅授權用戶可存取敏感資訊。
  2. 密碼保護：密碼設置符合強度要求，並定期強制更換，提升帳號安全性。
  3. 帳號維護：員工離職或長期休假時，經資管處審核後即時停用或刪除系統帳號。
  4. VPN 管理：外部連線VPN需經申請審核並控管。
  1. 資料備份與災難復原：
  1. 備份管理：建立備份管理系統，採用多份備份策略（本地及異地），確保資料完整性與可用性。
  2. 異地備份：備份資料採異地儲存，並設定自動備份計劃。
  3. 災難復原演練：每年進行系統災難復原模擬測試，檢測應變及復原能力，確保營運不中斷。
  1. 資安宣導與教育訓練：

本公司推動資通安全教育訓練，涵蓋以下內容：

  1. 新人訓練：新進員工職前訓練即納入資料保護課程。
  2. 在職進修：針對員工定期進行資安宣導及教育訓練，不定期發送資安宣導郵件及公告。
  3. 社交工程演練：進行釣魚郵件測試，評估員工對網路釣魚風險之辨識與應對能力。
  4. 外部培訓與交流：積極參與外部機構舉辦之個資管理或資安宣導說明會。
  1. 風險評估與管理：
  1. 年度風險評估：每年針對資訊系統進行風險評估，識別潛在安全威脅與漏洞。
  2. 內外部稽核：定期進行自我評估、內部稽核作業，並委委託外部會計師依內部控制制度專案審查，針對電腦化資訊系統管理循環（含資通安全相關控制）執行查核。
  3. 政策與程序優化：針對檢查結果及風險評估結果，適時修訂資安政策與管理程序。

資源投入

  1. 硬體資源：
  1. 公司總部及各門市均配置防火牆及VPN，機房設置UPS不斷電設備及刀鋒式伺服器。
  2. 建置多層次的入侵偵測與防禦機制，包含防火牆之入侵偵測系統、端點主機入侵偵測與預防機制，偵測與攔阻未經授權設備或異常存取行為。
  1. 軟體資源：採用 Microsoft Office 365 進行垃圾郵件過濾，伺服器安裝防毒軟體並定期更新，內部系統採用備份軟體定期進行本地及異地備份。
  2. 威脅情報整合：加入資安情資分享組織，接收即時資安威脅情報，提升風險預警能力。
  3. 弱點掃描、滲透測試：委託專業機構協助進行弱點掃描、滲透測試，降低系統漏洞風險。
  4. 資料傳輸加密驗證保護：採用傳輸加密技術（SSL）確保敏感資料安全。

 

回到上方