信息安全风险管理架构
资通安全风险管理架构
· 本公司资通安全之权责单位为信息处，负责规划、执行及推动资通安全
管理事项，并推展资通安全意识。
· 本公司稽核处为资通安全监理之查核单位，若查核发现缺失，旋即要求
受查单位提出相关改善计划并呈报董事会，且定期追踪改善成效，以降
低内部资安风险。
· 组织运作模式-采 PDCA（Plan-Do-Check-Act）循环式管理，确保可靠度
目标之达成且持续改善。
一、资通安全政策
1. 维持各资通系统永续运作
2. 防止黑客、各种病毒入侵及破坏
3. 防止人为意图不当及不法使用
4. 防止机敏数据外泄
5. 避免人为疏失意外
6. 维护实体环境安全
二、资通安全具体管理方案
| 管理方案项目 |
管理方案内容 |
| 计算机设备安全管理 |
- 本公司计算机主机、各应用服务器等设备均设置于专用机房，机房保留进出纪录存查。
- 机房内部备有独立空调，维持计算机设备于适当的温度环境下运转；并放置药剂式灭火器，可适用于一般或电器所引起的火灾。
- 机房主机配置不断电与稳压设备，避免台电意外瞬间断电造成系统当机，或确保临时停电时不会中断计算机应用系统的运作。
|
| 网络安全管理 |
- 与外界网络联机的入口，配置企业级防火墙，阻挡黑客非法入侵。
- 同仁由远程登录公司内网存取ERP系统，必须申请VPN账号，透过VPN的安全方式始能登入使用，且均留有使用纪录可稽查。
- 配置上网行为管理与过滤设备，控管因特网的存取，可屏蔽访问有害或政策不允许的网络地址与内容，强化网络安全并防止带宽资源被不当占用。
|
| 病毒防护与管理 |
- 服务器与同仁终端计算机设备内均安装有端点防护软件，病毒特征采自动更新方式，确保能阻挡最新型的病毒，同时可侦测、防止具有潜在威胁性的系统执行文件之安装行为。
- 电子邮件服务器配置有邮件防毒、与垃圾邮件过滤机制，防堵病毒或垃圾邮件进入用户端的PC。
|
| 系统访问控制 |
- 同仁对各应用系统的使用，透过公司内部规定的系统权限申请程序，经权责主管核准后，由信息室建立系统账号，并经各系统管理员依所申请的功能权限做授权方得存取。
- 账号的密码设置，规定适当的强度、字数，并且必须文数字、特殊符号混杂，才能通过。
- 同仁办理离(休)职手续时，信息室依人资离职通知，进行各系统账号的删除作业。
|
| 确保系统的永续运作 |
- 系统备份：建置分地备份系统，采取日备份机制，异地计算机机房各存一份备份数据，且异地建置备援系统，以确保系统与数据的安全。
- 灾害复原演练：各系统每年实施一次演练，选定还原日期基准点后，由备份媒体回存于系统主机，再由使用单位书面确认回复数据的正确性，确保备份媒体的正确性与有效性。
- 租用电信公司两条数据线路，透过带宽管理设备，两线路并联互为备援使用，确保网络通讯不中断。
|
| 资安倡导与教育训练 |
- 提醒倡导：要求同仁定期更换系统密码，以维账号安全。
- 资安倡导：提供资通安全实例文件给同仁参考。
|
三、资通安全的资源投入
资通安全由本公司信息处负责，共设置4人，针对资通安全管理每季会议检讨。针对系统主机的操作系统或重要软件升级、灾害复原演练等重要的资安工作，信息处每季检讨规划执行， 并透过不定期的资安健检，判断信息设备资源投入与系统配置是否存在漏洞，编列资安预算后执行；并与司法机关签订资通安全防护协定，建立资通安全联防机制。
四、紧急通报程序
当发生信息安全事件时，发生单位通报信息处，判断事件类型并找出问题点，实时处理并留下纪录。
