资讯安全风险管理架构

一、 组织

为强化本公司之资讯安全管理、确保资料、系统及网路安全，设立资安管理室，为资安专责单位，包含资安长、资安主管及至少两名以上的资安人员，负责资通安全事务的规划与执行。
其中，资安长至少每年一次于董事会中报告重大议题或规划。

• 执行资讯机房、电脑资讯档案安全、网路安全、邮件安全管理、资讯系统控制存取等管理。

 三、资讯安全政策:
 

• 资讯安全之目标：
  建立安全及可信赖之电脑化作业环境，确保本公司资料、系统、设备及网路安全，以保障公司利益及各单位资讯系统之永续运作。
• 资讯安全之范围：

       (1) 人员管理及资讯安全教育训练。 
       (2) 电脑系统安全管理。
       (3) 网路安全管理。
       (4) 系统存取管制。
       (5) 系统发展及维护安全管理。
       (6) 资讯资产安全管理。
       (7) 实体及环境安全管理。
       (8) 资讯系统永续运作计画管理。
       (9) 资讯安全稽核。

• 资讯安全的原则及标准：

       (1) 定期办理资讯安全教育训练及宣导，包括资讯安全政策、资讯安全法令规定、 资讯安全作业程序、
            以及如何正确使用资讯科技设施等，促使员工瞭解资讯 安全的重要性，各种可能的安全风险，
            以提高员工资讯安全意识，并遵守资讯安全规定。 
       (2) 为预防资讯系统及档案受电脑病毒感染，对于电脑病毒应採取侦测及防范措施，
            对入侵及恶意攻击应建立主动式入侵侦测系统，以确保电脑资料安全之要求。
       (3) 为预防本公司遭遇天灾或人为之重大事件，将造成重要资讯资产及关键性业务或通讯系统等中断，
            应建立资讯系统永续运作规划之政策。

• 员工应遵守之相关规定：

       (1) 资讯单位接收帐号申请单后，建立「使用者代号」。
       (2) 电脑资料及设备，不得任意破坏、携出、外借、不正当修改，以维护资料完整性。
       (3) 禁止使用无版权软体。
       (4) 进入主机后，若作业结束或长时间不使用机器时，应退出机器，以免资料机密外洩，为别人所破坏或造成当机之困扰。
       (5) 电脑设备之摆放位置除以方便为原则外 ，应远离茶水、咖啡、日晒或潮溼地点，以延长其寿命。
       (6) 离职或新旧职务交接时，由资讯单位衡量资料相关性作适当处置。
       (7) 电脑设备无法正常作业时，使用者应立即通知资讯单位，以便检查或维修。

 四、资讯安全具体管理方案:
 

项目	具体管理措施
防火牆防护	防火牆设定连线规则。
	如有特殊连线需求需额外申请开放。
使用者上网控管机制	使用自动网站防护系统控管使用者上网行为。
	自动过滤使用者上网可能连结到有木马病毒、勒索病毒或恶意程式的网站。
防毒软体	使用防毒软体，并自动更新病毒码，降低病毒感染机会。
作业系统更新	作业系统自动更新，因故未更新者，由资讯部协助更新。
邮件安全管控	有自动邮件扫描威胁防护，在使用者接收邮件之前，事先防范不安全的附件档案、 钓鱼邮件、垃圾邮件，及扩大防止恶意连结的保护范围。
	个人电脑接收邮件后，防毒软体也会扫描是否包含不安全的附件档案。
资料备份机制	重要资讯系统资料库皆设定每日备份。
重要档案上传伺服器	公司内各部门重要档案存放于伺服器，由资讯部统一备份保存。
资安险	本公司客户主要为企业客户，无消费者个资保管风险，于评估市面资安险种保险范围、 适用行业等项目后，暂不投保资安险，但因应资讯安全所面临的挑战， 已导入相关软硬体,例如防火牆、防毒、入侵防护系统…等，并持续关注资讯环境变化趋势， 并强化公司同仁资安危机意识及资安处理人员应变能力。

五、资通安全的资源投入

• 针对系统主机的作业系统或重要软体升级、灾害復原演练等重要的资安工作，资安管理室每月皆会定期检讨规划与执行进度，并透过不定期的社交工程演练、资安健检服务等，判断使用者的资讯安全观念是否足够、资讯设备资源投入与系统配置是否存在漏洞，编列资安预算后执行。

六、紧急通报程序

• 当发生资讯安全事件时，发生单位通报资安管理室，判断事件类型并找出问题点，即时处理并留下纪录。