一、資通安全風險管理架構

• 為提升資通安全管理，本公司於113年3月18日經董事會指派財會行政處副總經理為資通安全暨個人資料保護專責主管，商業技術部為資通安全專責單位、各一級主管為個人資料保護代表，並作為公司、子公司及孫公司內跨部門資通安全暨個人資料保護治理、規劃、督導及推動執行。

• 本公司稽核室為資通安全監理之督導單位，該單位設置專職稽核人員，負責督導內部資安暨個人資料保護執行狀況，若有查核發現缺失，旋即要求受查單位提出相關改善計畫與具體作為，且定期追蹤改善成效，以降低內部資安風險。

• 資通安全暨個人資料保護專責單位須符合政府相關法令、規定與政策要求，使資通安全暨個人資料保護檢查制度持續穩健落實，並每年定期將資通安全暨個人資料保護治理及成果報告於董事會。

二、資通安全政策

本公司依營運特性及資訊資產重要性，定期識別及評估可能面臨之資通安全風險，並依風險評估結果制定相應之管理、防護、監控及應變措施，以降低資安事件對公司營運及利害關係人之影響。

• 恪遵法令訂定相關資通安全暨個人資料保護相關管理規章，對本公司資通資產及個人資料提供適當的保護措施，以確保其機密性、完整性、可用性及法律遵循性。

• 確保本公司所保管的資訊資產之機密性、完整性與可用性，以確保公司作業相關資料及檔案安全。

• 定期評估各種人為及天然災害對本公司資通安全暨個人資料保護之影響，並訂定重要資通資產及關鍵性業務之防災對策及災變復原計畫，以確保本公司業務持續運作。

三、資通安全風險識別與評估

本公司資安人員定期針對資訊系統、網路環境、資訊資產、個人資料及營運持續性進行資通安全風險辨識與評估，主要關注風險包括：

• 網路攻擊及惡意程式風險
• 帳號及存取權限風險
• 系統及軟體漏洞風險
• 資訊或個人資料外洩風險
• 資訊設備故障或異常風險
• 天然災害或突發事件造成之營運中斷風險
• 委外廠商資訊安全風險

本公司依風險辨識及評估結果，採取相應之防護、監控、備援及改善措施，並定期檢視措施之有效性。

四、資通安全防護及控制措施

1. 網路及系統安全

• 建置防火牆

• 防毒軟體

• 電子郵件過濾

• 入侵偵測及防禦

• 應用程式防火牆

• 即時修補高風險漏洞

2. 帳號及存取權限管理

• 新進人員依職務建立帳號及權限

• 定期審查管理者帳號及使用者權限

• 離職時辦理帳號停用及權限移除

• 員工簽署保密協議

3. 資訊資產管理與監控

資訊資產監控覆蓋率達100%，所有重要資訊資產均納入監控範圍；針對實體重要資訊資產，亦設置監視設備及相關安全防護措施，以強化資訊資產之安全管理。

• 每半年進行全公司軟體盤點

• 資通設備報廢前進行資料清除及實體銷毀

• 稽核室定期查核個資保護及電腦化資訊系統循環

4. 營運持續與災害復原

• 每年進行災後重建備援演練

• 建立重要資訊資產及關鍵業務防災對策

• 建立災變復原機制

5. 委外及供應鏈資安管理

• 合約載明資安要求

• 保密義務

• 資安稽核權

• 合作終止時要求資料返還、刪除或銷毀

五、具體管理方案

六、資通安全管理流程圖