投資人專區

 

資通安全管理

1.資通安全風險管理架構

　(1)本公司設立集團資訊部，專責資訊及通訊安全，該部門設置資訊主管與專業資訊人員，負責訂定集團資訊及通訊安全政策、規劃暨執行資訊及通訊安全作業，與資通安全政策推動與落實。
　(2)本公司集團稽核室為資訊與通訊安全督導單位，該室設置稽核主管乙名，負責督導內部資通安全執行狀況，若稽核期間發現缺失，可要求受稽查單位提出相關改善計畫，且定期追蹤改善成效，以降低內部資通安全風險。
   (3)每年向董事會報告運作情形，已於2023年12月13日於董事會報告。

 

2.資通安全政策

項目	內容
第  一  條(訂定目的)	為確保本公司主機(含雲端主機)、儲存資訊、網路通訊及所有OT設備資訊安全，避免資通訊內容未經授權存取、使用、洩密、竄改、破壞或其他侵害；以保持本公司數位資訊之機密性、完整性與可用性。
第  二  條(適用範圍)	為確保本公司主機(含雲端主機)、儲存資訊、網路通訊及所有OT設備資訊安全，避免資通訊內容未經授權存取、使用、洩密、竄改、破壞或其他侵害；以保持本公司數位資訊之機密性、完整性與可用性。
第  三  條(資訊安全目標)	一、確保本公司資訊作業可正確、完整、可用的持續營運。 二、確保本公司重要資訊之機密性，落實資料存取控制，資訊須經授權人員核可方能存取，不得逾越。
第  四  條(資訊安全控制措施暨管理方案)	一、本公司所有資訊政策需符合當地政府法規。 二、本公司資安管理之權責部門為集團資訊部,該部門設置資安主管一名及資安人員，以建立及推動相關資訊安全制度。 三、有效管理資訊資產，並持續評估相應之風險。 四、建立獨立資訊系統機房及環境安全防護措施，並做成定期維護及保養計劃。 五、評估各種天然及人為災害風險，訂定核心資訊系統還原及演練計劃，以確保核心資訊系統因各種狀況毁損時得以還原、並正常運行。 六、定期實施資訊安全宣導、教育訓練及相關實施規定。 七、明確規範資訊系統使用權限，確保經授權使用者才能存取資訊系統。 八、落實委外廠商管理，以確保資通服務之安全。 九、訂定資訊安全管理制度內部稽核計畫，定期檢視資訊安全管理制度範圍內所有人員及設備使用情形，依稽核報告擬訂及執行矯正預防措施。
第  五  條	本制度於2023 年12 月13 日經董事會決議通過後實施。

 

 

3.具體管理方案及投入資通安全管理之資源

　(1)本公司所有資訊政策需符合當地政府法規。
　(2)設立資訊安全事務專責人員， 以建立及推動相關資訊安全制度。
　(3)有效管理資訊資產， 並持續評估相應之風險。
　(4)建立獨立資訊系統機房及環境安全防護措施，並做成定期維護及保養計劃。
　(5)評估各種天然及人為災害風險， 訂定核心資訊系統還原及演練計劃，以確保核心資訊系統因各種狀況毁損時得以還原、並正常運行。
　(6)定期實施資訊安全宣導、教育訓練及相關實施規定。
　(7)明確規範資訊系統使用權限， 確保經授權使用者才能存取資訊系統。
　(8)落實委外廠商管理，以確保資通服務之安全。
　(9)訂定資訊安全管理制度內部稽核計畫，定期檢視資訊安全管理制度範圍內所有人員及設備使用情形，依稽核報告擬訂及執行矯正預防措施。

 

4.投入資通安全管理之資源

　⚫ 為確保資訊安全管理系統 能有效運作，特設立資安主管一名及資安人員一名。，以推動及維持 各項資通安全管理、執行與查核等工作之進行，於必要時得邀請相關人員召開會議。

　⚫ 本公司每年針對資訊安全政策與辦法、資安教育訓練、機房管理辦法、持續營運演練執行計畫、外部稽核管理辦法…等均有討論後改進修訂，使資安管理 機制更佳完備。

　⚫ 112年執行情形：

實施項目	實施日期	實施內容
資安教育宣導	112/4/12 112/10/18	兩次
技術工具	112/2/4	防火牆 NU-8700C及
	112/3/10	郵件伺服器 MS 6430X
合理性與稽核	112/8/8	主機弱點掃瞄
	112/7/14	企業資安評級評估
	112/11/6	KPMG外部資通安全稽核
應急計劃	112/10/7	持續營運演練執行計畫
災難演練	112/11/1	持續營運演練執行
資安會議	112/11/27	1.分享最新的資訊安全相關知識，包括最新的威脅、漏洞和安全措施 2.討論不斷變化的資訊安全需求，包括新的技術、法規變動

 

 

風險管理政策與程序及運作情形

　本公司於2022年訂定「風險管理政策與程序」並經董事會通過，作為本公司風險管理之最高指導原則；本公司每年定期評估營運風險，並針對各項風險提出因應對策，涵蓋管理目標、組織架構、權責歸屬及風險管理程序等機制並落實執行，以有效辨識、衡量及控制公司之各項風險，將風險控制在可接受的範圍。

 

風險管理範疇

　本公司就各項營運所面對之經濟、環境、社會面等主要風險，除原有之制度規範與處理外， 更積極監督評估與管理各類重要風險。 本公司經營階層依職掌內容進行風險評估及擬訂因應措施，相關風險管理包 括「市場風險」、「營運風險」、「投資風險」、「法遵風險」及「氣候變遷風險」等範疇。本公司「風險管理政策與程序」業經2022年11月9日經董事會通過後實施，參閱「公司重要內規」。

 

組織架構

項目	內容
董事會	本公司董事會為公司風險管理之最高指導單位，以遵循法令、推動並落實公司整體營運風險管理為目標，明確瞭解永續經營所面臨之風險，確保風險管理之有效性。
經營管理階層(董事長、總經理或相關營運主管組成)	負責審核控管各權責部門所啟動的各項計劃及專案的風險評估及應變指揮。
稽核單位	隸屬於董事會之獨立單位，協助董事會及經理人檢查及覆核內部控制制度之缺失及衡量營運之效果及效率，並適時提供改進建議，以確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。
業務執行單位	於日常作業中擔負第一線風險管理之責任，其單位主管應進行分析、監控及預防所屬單位權責內之相關風險，確保風險控管機制與程序能有效執行。

 

運作情形

本公司積極推動落實風險管理機制，於定期經營管理會議中展開風險應變指揮，並每年向董事會報告運作情形；2023年12月13日於董事會報告包括風險評估說明及所採行的風險控制措施與風險管理之運作情形。

 

 

公司治理主管

　本公司為保障股東權益、強化董事職能及公司治理，本公司已於2023年5月10日董事會通過由財務長余聖芬兼任公司治理主管，負責公司治理之制度設計、規劃及工作執行。