資通安全風險管理架構
- 1.企業資通安全治理組織
- 佳必琪資通安全權責單位為資訊管理部，負責統籌資通安全及保護相關政策規劃，並執行資通安全作業與資安訊息之推動，提昇員工資安意識，定期監控網路流量、了解及掌握最新資安情報及資安攻擊情勢，且即時通報應變聯防，將損害控制降至最低。本公司稽核室為資通安全監理之督導單位，負責督導內部資安執行狀況，若有查核發現缺失，立即要求受查單位提出相關改善計畫與具體作為，提出稽核報告並落實改善。
- 2.公司企業資通安全組織架構
投資人關係
首頁 > 投資人關係 > 公司治理 > 資通安全政策
資通安全政策
-
-
資通安全政策
資通安全政策及具體管理方案
本公司資通安全管理機制，包含以下三個面向：
（一）制度規範：訂定公司資通安全管理制度，規範人員作業行為。
（二）科技運用：建置資通安全管理設備，落實資安管理措施。
（三）人員訓練：進行資通安全教育訓練，提昇全體同仁資安意識。
- 制度規範：本公司內部訂定多項資安規範與制度，以規範本公司人員資通安全行為，每年定期檢視相關制度是否符合營運環境變遷，並依需求適時調整。每年定期執行內部稽核，並每年執行外部稽核，以強化本公司機密資料之作業管理。
- 科技運用：本公司為防範各種外部資安威脅，採用多層式網路架構設計外，更建置各式資安防護系統，以提昇整體資訊環境之安全性。此外為確保內部人員之作業行為符合公司制度規範，亦設計作業程序和導入資安系統工具，落實人員資通安全管理措施。
- 人員訓練：本公司每季定期實施新進人員資通安全教育訓練實務課程，以及透過公告平臺宣導近期資通安全問題與案例等，藉以提昇內部人員資安知識與專業技能。
本公司定期審視內部資通安全規範，根據網路架構、弱點、威脅與影響性，分析內部風險水平，並以此風險評估結果制定安全措施強化項目，精進且提昇整體資通安全環境。 資通安全管理機制，包含如下：
資通安全管理機制，包含如下：
網路通訊管理另一個主要課題是資通安全管理。由於現代社會網路技術的進步及網路應用的日趨普及，幾乎所有的電腦主機都需要連上網路提供服務或取得服務，而企業與交易夥伴 (Business Partner: 客戶、供應商) 連絡或業務來往均需透過Internet，造成電腦系統經常處於可能遭受入侵的威脅。資訊管理部同仁亦必須隨時注意資通安全的發展，透過資通安全的風險評估、網路架構的安全分析與調整、電腦系統的安全強化、資安設備的部署，將駭客入侵的途徑有效的減到最低，並將資安水準提昇至一定的程度。
佳必琪為了加強資通安全的技術應用與經驗交流於今年加入臺灣資安主管聯盟(簡稱：臺灣CISO聯盟)，聯盟主要願景及推動目標如下：
佳必琪在資通安全管理機制策略上採取“集中控管、分散監測偵控方式”，由總公司資訊管理部中央統一規劃，各廠分別建置管理，並且功能上在臺北建置中央伺服主機與資料庫系統，並於其他廠建置受管理機制，即時監控各廠區之單位PC上網安全保護之狀態，經由網路連線至中央伺服主機統一整合控管。資通安全管理有下列幾種主要功能： 系統及防毒定時更新機制 建設時機：新廠區正式啟用與其他廠區資訊服務連線時，應提前設置一臺防毒伺服器主機自動與微軟WSUS即時更新，以及包含其他例如：Linux、IOS等系統即時更新設定。 升級檢討時機：現有的系統過於老舊、沒有正常更新、無法修補最新漏洞或現有之防毒機制已經無法適用於集團內部時，需要盡快更換更好的機制及設備，讓內部所有系統自動下載並安裝更新軟體，避免資安漏洞造成內部受到攻擊。
◆防火牆
建設時機：有設置對外 Internet service 連線的新廠區正式啟用 Internet service時即應建置完成。升級檢討時機：當公司持續成長導致硬體規格不敷使用時。
◆垃圾郵件管理
建設時機：需具獨立之電子收發窗口時。升級檢討時機：當人數成長超過硬體能負載量的70%時(可監控)。
◆軟體使用及ＰＣ權限使用管理
建設時機：著重軟體智慧財產權及注重內部安全性管理時。升級檢討時機：管理中央控管主機無法負載時。
資安成效監控管理
Firewall監控分析，分析網路安全下可有效的控管網路攻擊和安全漏洞的詳細資訊，並有效性對其進行微調使達到企業內部資通安全控管。
採用Wi-Fi設備為包含WPA3 Personal認證安全加密技術WPA3用戶則能夠利用更高級的安全協定，保護敏感性資料安全，除了加密傳輸外，另外也建置了AD整合身分驗證功能員工使用之Wi-Fi與客戶使用之Wi-Fi統一管理，客戶使用之Wi-Fi無法存取公司內部資源，才能保有區域網路之安全，也達到集中式管理功能，包含使用者裝置頻寬流量、應用程式、異常流量等都可統一管理。
資訊使用與安全管理辦法
◆ 為貫徹分層負責制度及簡化事務處理，員工之資訊使用及安全管理相關事宜，依據本辦法授權單位主管管理之。
◆ 本公司網路資料檔案為屬於公司資產，員工非經授權，嚴禁將資料或相關文件以複製、拷貝、列印、郵遞、電子郵件及傳真或其他方式等提供給非相關人員或為私人用途。
◆ 網路資料檔案，員工依程序提出申請後，由公司核發使用者帳號及核定使用權限，使用者方可依權限操作使用。
◆ 網路資料列印，依各單位規定文件管制規定行之，確保資料的保密安全性。
◆ 為確保電腦系統的穩定性，個人電腦不得安裝未經公司授權或非法拷貝之軟體。
◆ 電腦硬體週邊設備，使用者應負保管之責，若有故障損壞，應由資訊管理部人員處理，不得自行拆裝維修。
◆ 使用者個人不得自行加裝電腦硬體週邊設備，若有其他工作相關需要，應向資訊管理部提出申請；並不得任意更換電腦硬體週邊設備亦不可將電腦硬體週邊設備佔為己有。
◆ 員工申請使用自備個人電腦，須至資訊服務申請系統申請，經由所屬部門主管核準後，至資訊管理部檢查自備電腦系統，並安裝防毒軟體、公司相關軟體與控管作業，該使用者離職時，必須由資訊管理部確認移除自備個人電腦中的所屬公司資料與所有所屬公司軟體。
◆ 員工在公司網路使用私人電腦，應先將私人電腦送交資訊管理部確認設定是否符合資通安全標準後才始得登入公司的網路使用。若未經此程序即自行登入公司網路而造成安全問題時（包含但不限於中毒或駭客入侵等），將會以公司規定議處。
◆ 為有效利用電子郵件資源，發送群組郵件給全公司內部之電子郵件需經發文部門經理(含)以上主管同意，並於郵件下方註明。發送全公司同仁之電子郵件需使用(密件副本)，不可使用收件者或(副本)。
◆ 使用者帳號密碼須於資訊服務申請系統申請，經單位主管核準，交網路管理員建立之；新帳號之名稱由網路管理員賦予。
◆ 使用者帳號每九十天強制更新密碼，最小長度為六個字元，前二次密碼不可重複，輸入錯誤十次帳戶將會被鎖定。
◆ 請員工恪遵規範之內容，若有違反上列規定，經查屬實，相關單位得簽報懲處意見後送董事長核定，若因此產生民、刑事責任公司有權追究相關法律責任。
電腦機房管理辦法
1. 公司主要網路設備、伺服器主機及相關設備均設置於電腦機房，機房門禁為負責機房相關人員外並採用感應刷卡進出且保留進出紀錄存查。2. 非公司機房相關人員及廠商維護人員需進入電腦機房，需填寫機房進出管制表並由機房有關人員全程陪同外，其他未經許可之人員，禁止進入。
3. 資訊媒體裝置之攜入(需經防毒程式掃描確認無病毒)或攜出，皆應經過機房相關人員確認並同意，以確保資料安全。
4. 電腦機房內部備有獨立空調並有FE-13自動滅火系統，適用於電器所引起的火災。
5. 機房內配置企業級不斷電系統，避免電力斷電及確保臨時停電時不會中斷及影響公司內部應用系統之運作。
資料備份管理辦法
◆ 備份平臺與軟體1. 雲端備份：採用Google Cloud Platform。
2. 虛擬主機備份軟體：採用虛擬備份軟體、資料備份軟體等。
3. 雲端備份軟體： Veeam Backup & Replication 將系統與資料備份至雲端與也可同時從雲端復原資料之軟體。
◆ 異地備份平臺
Google Cloud Platform：儲存虛擬主機備份、主機資料備份，儲存於雲端儲存空間。
◆ 備份、復原作業
1. 雲端資料備份作業
2. 主機系統備份作業
3. 資料與系統復原測試
◆ 操作方式
備份：
1. 備份負責人依據備份計畫，進行備份作業。
2. 週期性備份作業、備份結果之相關作業紀錄須留存備查。
3. 備份作業之結果須於每日進行檢查，紀錄於系統「Backup Daily Check」、「Backup Weekly Check」、「Backup Monthly Check」中紀錄，並載明備份成功與否及原因。
備份作業異常之處理：
1. 如檢查備份作業過程中發生異常狀況時，檢查人員應向機房管理負責人與主管呈報。
2. 備份負責人應即時處理異常原因，讓備份運作正常。
資訊作業流程圖
資安事件通報流程圖
投入資通安全管理之資源
資通安全風險與因應措施
(一)資訊技術安全之風險及管理措施
重大資通安全事件
本公司目前無重大資安事件導致營業損害之情事。