Information security
資訊安全
1.資訊安全政策目的 :
確保所有公準員工及第三者，了解保障公準商業資訊的重要性。
保護資訊，避免未經授權的資料被存取，外洩，遺失或誤用。
商業資訊分類定義。
2. 架構
資訊安全政策架構，有兩份核心文件
資訊安全政策
資訊安全控制
包含了 IT 標準，方針，基準。作為協助並引導業務的解釋及實施政策所需。
3. 組織
公準組織，員工及第三者，存取或處理公準資訊，必需遵守資訊安全政策。
管理階層應依權責訂定企業活動所需之資訊安全要求。
組織內各部門應訂定資訊安全計畫，管理階層應依據資訊安全政策架構，負 責展開此資訊安全計畫。
4. 資訊資產分類及控制
公準依據它的業務需要，將資訊列為公司資產，必須加以保護，以防止遺失 的可能性，並且防止侵犯其完整性和保密性。
部門主管應導入資訊安全風險評鑑，以鑑別資訊資產，及透過安全再評鑑， 定期檢查安全層級。
適用時，資訊的擁有者應指定保護資訊完整性及可用性的需求。
分類資訊的擁有者，應指明資訊分類的等級，及分類的有效期限。
公準員工及第三者在處理公準資訊資產時，應負責盡力保護資訊安全。
對依據公準資訊安全政策所展開的資訊安全指導方針，指示及程序，進行監 測，以確保資訊安全指導方針，指示及程序有被各階層執行及管理。
5. 資訊分類(classification and categorization)
資訊分類，具有重要的公司資料記錄的處理，被區分為兩類。
公司機密性
公司極機密性 (或敏感性)
6. 認知
管理階層必須確保公準員工及第三者瞭解他們有責任來保護資訊資產。
必須積極鼓勵公準員工及第三者去認知他們在預防違反資訊安全事件上所扮 演的重要角色，並負起責任。
7. 實體與環境安全(Physical and environmental security)
管理階層將界定一個維持特定等級的實體安全區域。
只有被授權特定目的訪客，才可被允許進入該安全區域。他們必需隨時被監視。
8. 系統存取控制
資訊擁有者負責同意存取資訊資產或授權給其他人。
資訊的處理及保存的安全性措施，必須是相稱於分類的等級。
為了責任歸屬的目的，每位共用設施的使用者，應能夠被個人用戶識別工具 辨識為唯一。
9. 營運持續(Bussiness Continuity)
各部門主管必須建立一個實際和均衡的永續計劃。
10. 違反或事故報告
資訊安全違反或事故，應立即向管理階層報告。
11. 政策法規遵行 (Compliance)
公準資訊資產之處理，必須遵循國家資料保護法或適用的法律要求。
資訊安全管理
資訊安全風險管理架構
本公司資訊安全 ( 以下簡稱資安 ) 之權責單位為資訊部，該部設置專業資訊人員數名，負責訂定內部資訊安全政策、
規劃暨執行資訊安全作業程序與資安政策推動與落實。
本公司稽核室為資訊安全監理之督導單位，該室設置專職稽核人員，負責督導內部資安執行狀況，若查核發現缺失，即要求受查單位提出相關具體改善作法，且定期追蹤改善成效，以降低內部資安風險，每年並就稽核結果定期報告予董事會。
組織運作模式：資訊部制定公司資安政策及資訊安全作業程序，內部各單位推動執行並加強宣導資安政策及資訊安全作業程序及人員教育訓練，落實資安政策的導入及實施，稽核室進行資安風險查核，如發現缺失，要求受查單位提出相關具體改善作法，且定期追蹤改善成效。
資訊安全政策及具體管理方案
本公司資訊安全管理機制，包含以下三個面向：
（ 一 ）制度規範：訂定公司資安政策及資訊安全作業程序，規範人員資訊安全行為。
（ 二 ）科技運用：建置資訊安全管理設備，落實資安管理措施。
（ 三 ）人員訓練：進行資訊安全教育訓練，提昇全體同仁資安知識與專業技能。
管理措施說明如下：
●制度規範：本公司內部訂定資安政策及資訊安全作業程序，以規範本公司人員資訊安全行為，定期檢視相關制度是否符合營運環境變遷，並依需求適時調整。定期執行內部稽核，以強化本公司資訊安全之作業管理。
●科技運用：本公司為防範各種外部資安威脅，建置各式資安防護系統，以提昇整體資訊環境之安全性。此外，為確保內部人員之作業行為符合公司制度規範，導入資安系統工具，落實人員資訊安全管理措施。
●人員訓練：本公司於新人報到時實施新進人員資訊安全教育訓練實務課程，藉以提昇內部人員資安知識與專業技能。
資訊安全管理措施
本公司定期審視內部資訊安全規範，分析內部風險水平，並以此風險評估結果制定資訊安全管理措施強化項目，精進且提升整體資訊安全環境。
本公司實施之資訊安全管理措施，包含如下：
