資訊安全政策

一、政策目的

本公司資訊安全管理之目標在於確保資訊資產之：

• 機密性（Confidentiality）：避免敏感資訊遭未授權揭露。
• 完整性（Integrity）：確保資料內容正確無誤，不被未授權竄改。
• 可用性（Availability）：確保資訊系統與資料能正常運作並提供服務。
• 遵循性（Compliance）：符合法律法規、契約義務及資訊安全標準要求。

本公司依上述精神，訂定各階層與職能所需之量化與質化資訊安全目標，藉以評估資訊安全管理系統實施狀況並確保其有效性。

二、政策說明與目標

（一）資訊安全管理原則

• 防止公司機密資訊及個人資料外洩或遺失。
• 確保資訊之完整性與可用性，使業務運作得以順利執行。
• 遵循相關法律、法規及合約規範，避免違法風險。

（二）資訊安全目標

1. 定量目標

• 每年至少執行一次營運持續運作計畫（BCP）測試及檢核。
• 每年至少召開一次管理審查會議。
• 每年至少進行一次資訊安全查核，確保安全控制措施符合政策與法規要求。

2. 定性目標

• 僅授權人員可存取公司資訊。
• 確保系統與網路正常運作，避免因疏失或意外導致中斷。
• 資訊資產具備妥善保護與備份機制，避免遺失或損毀。
• 資訊安全事件及疑似弱點皆能被即時通報、調查與處理。
• 安全措施與作業流程符合政策及法令要求，並定期查檢。
• 持續實施資訊安全教育訓練。

年度資訊安全管理目標之量測與追蹤方式，將由本公司資訊安全管理委員會核准後施行。

本政策適用於本公司所有部門及資訊資產，並以導入 ISO 27001 驗證範圍之部門為主要執行範圍，涵蓋公司內外部與資安相關之議題、要求與防護措施。

四、資訊安全組織

本公司設立資訊安全管理委員會，統籌資訊安全管理制度之規劃、推動與執行，並依「資訊安全手冊」及相關管理辦法進行營運。

五、資訊安全管理原則

本公司依循 ISO/IEC 27001:2022 之 PDCA 循環模式推動資訊安全管理，主要涵蓋以下面向：

（一）組織安全

• 資產管理：建立資產清冊，進行分類、分級與保護。
• 存取控制：帳號與密碼管理、遠距存取管控、螢幕與桌面淨空等措施。
• 供應者關係管理：確保外部供應者存取與處理資訊之安全。
• 資訊安全事件管理：建立通報、記錄與處理流程。
• 營運持續管理：建立 BCP/DRP 以確保業務運作不中斷。
• 遵循性：符合相關法令、政策及契約要求。

（二）人員安全

• 依職掌執行分工與輪調，降低人為風險。
• 定期實施資訊安全教育訓練與宣導。
• 建立資訊安全事件通報機制。

（三）實體安全

• 管理機房、門禁、設備使用與報廢等實體環境安全。

（四）技術安全

• 密碼技術：採用適當加密技術保護資訊機密性與完整性。
• 運作與通訊安全：包含防毒、防惡意程式、備份、網路安全控制與軌跡監督等措施。
• 系統開發維護：制定應用系統開發、測試、驗收與維護標準流程。

六、審查與修訂

• 本政策至少每年審查一次，並依法規環境、科技趨勢與公司營運現況適時調整。
• 政策內容經修訂後，發布後即生效。

七、其他規定

• 本政策將以適當方式傳達予所有員工、協力廠商及相關單位。
• 所有人員皆應遵循本政策之規定，如有違反情事將依公司規章或法律辦理。
• 委外廠商於提供服務時亦須遵循本政策與相關要求。