第一條 目的

為增進本公司資訊作業安全及穩定之運作，提供可信賴之資訊服務，確保資訊資產之機密性、完整性及可用性，並順利推展本公司各項業務，特制定本公司資訊安全政策(以下簡稱「本政策」)。

第二條 範圍

本政策所定目標及策略適用於本公司為營運所需之資訊安全控管流程，除本公司全體同仁以外，接觸公司業務資訊或提供服務之廠商及協力廠商人員均適用。

第三條 目標

1. 確保本公司業務相關資訊之機密性、完整性及可用性，保障公司資訊安全。
2. 提昇資訊安全防護能力，達成業務持續運作之目標。

第四條 策略

1. 評估資訊作業安全需求，建立相關程序、發展策略、管理框架及標準，以確保資訊資產之機密性、完整性及可用性。
2. 建立本公司資訊安全組織及分工權責，俾利推行資訊安全作業。
3. 制定本公司資訊安全事件等級評估準則，以執行各項應辦事項。
4. 建立資訊安全事件通報應變機制，以確保資安事件儘速妥善回應、控制及處理，並降低事件影響範圍及災損。
5. 定期提升員工資訊安全意識，以減少人為所造成資訊安全災害。

第五條 審查及施行

本政策之評估與制、修訂由資訊安全委員會辦理，經資訊安全委員會簽陳總經理核定後施行之。本政策視需要或於組織有重大變更時重新審查，依審查結果予以適當修訂，以確保本政策之合宜性及有效性。

本公司為強化資訊安全管理，建立安全及可信賴之作業環境，確保資料、系統、相關網路環境與設備安全，保障客戶權益，並依公開發行公司建立內部控制制度處理準則第8條、第9條、第13條規範，特訂定本資通安全政策，作為實施各項資訊安全措施之依據。

本公司於自民國112年起取得ISO 27001資訊安全管理系統驗證，並於今(115)年順利通過ISO 27001重新審查驗證。透過 ISO 27001資通安全管理系統之導入與持續運作，強化資通安全事件應變處理能力，保障公司與客戶之資產安全，控制並降低資訊安全事件帶來的威脅及衝擊。

本公司資訊安全評估分類與具體說明如下 :

一、網路活動與威脅偵測檢視

1. 建立24小時威脅偵測與應變服務(MDR)及資通安全威脅偵測管理服務(SOC)
   全面監測內部網路及核心主機的各項活動，主動防範潛在威脅，構築嚴密的資安防護網。
2. 落實各外點網路隔離與存取機制
   各外部據點切分虛擬區域網絡，設置防火牆與安全加密連線通道(SSL VPN)，導入網路存取機制，透過管制設備網路介面卡，禁止未經授權的非法設備網路連線登入系統。
3. 落實資安目標量化管理
   每月追蹤與監測資訊安全核心指標達成率，作為持續精進與改善之依據。
4. 即時掌握資安情資與進行風險控管
   主動關注國際與國內各項資安威脅情資，並定期整合內部資安風險資訊，制定改善計劃，持續提升整體資安防禦韌性。
5. 強化對外服務防護
   建置網站應用防火牆(WAF) ，保障公司對外服務網站與系統之安全。

二、安全設定與端點管控檢視

1. 系統上線前置審查
   提供外部服務系統上線前，皆經由集團統籌安排弱點掃描，確認通過且無重大漏洞後始准予上線。
2. 管制電腦周邊設備防止資訊外洩
   全公司個人電腦之 USB 埠全面預設關閉，若有業務需求，需依內部程序另行申請核准，並納入行為存取監控。
3. 身分鑑別與網域管理
   公司個人電腦與伺服器均安裝端點防毒軟體，採取單一帳號鑑別機制(一人一帳號)，並利用網域伺服器(Active Directory) 進行集中化權限認證與管理，並強制每三個月更換密碼。
4. 定期進行弱點修補與系統維護
   伺服器及資通設備定期進行安全性更新及重大漏洞修補，並委託專業資訊安全廠商進行弱點掃描，確保系統漏洞可及時修復。
5. 機房實體安全管理與災難復原演練
   機房進出均配置門禁管制與留存進出紀錄，重大系統落實定期備分機制，資料庫每年至少進行一次災難復原(DR)演練，確保在異常狀況下系統可正常運作並持續營運。
6. 隔絕外部雲端儲存風險
   有效管制並限制外部網際網路雲端硬碟空間之存取使用措施，阻絕潛在資料外洩途徑，降低資料外洩風險。
7. 落實軟體資產合規管理
   嚴禁同仁下載、安裝或使用非授權軟體，恪遵智慧財產權規範，全面防制智慧財產權侵權及電腦中毒資安事件發生。

三、稽核事項與合規性精進

1. 健全內部控制制度
   資訊業務訂定符合ISO規範之內部稽核與內部控制辦法，並落實依辦法進行各項作業。
2. 接受多元外部資安監督
   每年定期接受集團、外部之會計事務所、內部稽核單位進行內控之資安稽核或專案審查，針對各項改善建議確認根本原因，落實追蹤改善。

四、郵件安全與社交工程演練

1. 郵件系統建置過濾機制
   全公司郵件系統皆透過專責之垃圾郵件伺服器進行過濾，並滾動式依個人調整，設定黑白名單防禦機制。
2. 持續進行社交工程演練
   公司每週針對同仁實施郵件釣魚測試，將測試結果提醒相關主管，並將測試結果依嚴重性提報至管理階層，持續精進改善。
3. 深化全體員工之資安意識
   每年定期舉辦全員資安教育訓練，不定期發布資安議題或最新相關資訊事件公告，提升員工日常作業資訊安全警覺性。

五、資安治理架構與投入實績

1. 完善資安治理架構
   本公司設置資安委員會，成員編制共二十員，其中依規定公告或申報設立資安長、資安專責主管及資安專責人員各1員。
2. 強化管理階層資安監督
   每年召開四次資安委員會議及一次管理審查會議，並於年底董事會進行資安執行成效專案報告。內部資安稽核每年一次，外部資安稽核每年一次，經由PDCA(規劃-執行-檢查-行動)循環，持續精進資安強度。
3. 落實資安認知評估
   透過每週實施資安社交工程演練，及非公司授權軟體監測，希強化同仁資安警覺及恪遵智慧財產之觀念。為確認同仁對資安防護觀念之認知程度，資訊處每季實施資安認知線上評估測驗，藉由量化之測評結果評估資安教育訓練成效，作為後續資安課程相關規劃之參考。
4. 資安資源投入情形
   民國114年度本公司累計投入約新台幣1,045萬，用於強化資訊安全，投入項目包含：擴大威脅偵測與應變服務(MDR)、各項核心主機資安漏洞修補及專業技術服務、升級防毒防駭系統，強化整體網路防禦能力、加速汰換已停止服務(EOS)之資訊設備等等，透過實質投資確報企業永續韌性。