資訊安全政策

一、 資訊安全是公司全體員工的共同責任，各級員工必須充分理解並貫徹所負職責。

二、為維護整體資訊資產安全，有關資訊安全之目標和認知、行動準則之建立必須考慮到：

三、資訊安全管理系統的建立和維持，完全依據法律法規的要求及合約的安全責任，並和公司的企業風險管理背景相結合。

四、為有效管控資訊安全風險，必須建立包括風險評估方法、資訊安全法律法規要求、接受風險的標準、及風險之可接受程度等之風險評估曁作業管理程式，並落實執行。

五、訂定資訊安全之營運持續計畫並實際演練，確保資訊業務持續運作。

六、明確規範資訊系統及網路服務之使用權限，防止未經授權之存取行為。

七、建立機房實體及環境安全防護措施，並定期施以相關保養。

八、實施資訊安全教育訓練，宣導資訊安全政策及相關實施規定。

九、建立資訊硬體設施及軟體之管理機制，以統籌分配、有效運用資源。

十、新資訊系統應於建置前將資訊安全因素納入，防範危害系統安全之情況發生。

十一、資訊安全政策應定期進行評估，以反映資訊安全管理、法令、技術及本公司業務之最新

  狀況，並確保本公司資訊安全實務作業之可行性及有效性。

十二、確保行動裝置及遠距使用的資訊安全措施，以管理使用行動裝置所導致之風險。包含保

護存取、處理或儲存於遠距工作場所之資訊。

十三、提供設定資訊安全目標使用之依據方向。

n 資訊安全目標

1.  電腦中毒事件，每年≦ 2 件以下。

2.  電腦設備非計劃維修事件，每月應≦2 件以下。

3.  未經授權之存取訊號事件，應達到每季0件。

4.  主機系統服務可用性，每月系統非計劃中斷時間累計應≦12 小時以下。

5.  系統遭外部入侵與資訊外洩等資安事件，應每年≦1次。

6.  資安事件發生後，在規定的時間完成通報、應變及復原作業的比率為100%。

7.  違反資安法規符合性件數為每年0件。