公司治理

• 关闭网路设备不使用的服务与功能，以降低风险。
• 建立网路监控系统，及时了解网路运作情况，及早发现网路失效的情形或潜在风险。

• 设置防火墙(Firewall)于公司的内部网路与外部网路接界处，防止外部未经授权进入公司内部网路，并且定期检视防火墙规则，以确认防火墙规则已适当设定。
• 不定期委由外界专家或自行评估网路系统安全并进行安全修补，提高安全防御能力。
• 针对开发外界连线资讯系统，依照资料及系统的重要性，采取资讯加密、身分辨别、电子签章等不同安全等级的技术或措施，降低资讯及系统受到入侵、破坏、篡改、删除及未经授权存取的安全风险。

• 无线网路架设与使用须经过审慎的安全评估。
• 无线网路卡与无线基地台间使用加密通讯协定。

• 各式电脑的系统应及时进行安全修补。
• 各式电脑软体及版权，集中由资讯单位管理。
• 任何电脑均应设定萤幕保护装置程式并设定密码保护，防止他人未经授权使用电脑。
• 注意使用任何电脑设备时，其电源使用不可超过电源负载量。
• 厂商维护电脑主机设备时应有公司资讯单位人员陪同。

公司所有电脑系统均安装防毒软体，实施并自动更新病毒库，并定期执行病毒扫描。

• 每位电脑系统使用者，应赋予独立的通行帐号，且帐号应依业务需求赋予最低能满足作业的许可权。
• 职员离职或职位调动时，需立即取消或调整其帐号许可权。
• 定期审查帐号及使用权限情况，确保符合现状。

• 每位电脑系统使用者，应赋予独立的通行帐号，且帐号应依业务需求赋予最低能满足作业的许可权。
• 职员离职或职位调动时，需立即取消或调整其帐号许可权。
• 定期审查帐号及使用权限情况，确保符合现状。

• 所有通行帐号的登录应设立独立密码，并强制使用者于第一次启用帐号后更新密码、制定并强制密码设定需达一定强度设定原则、设定强制使用者定期更新密码的要求、设定使用者密码输入错误达3次以上，系统自动将帐号暂时锁定。
• 输入密码时，电脑萤幕不得明白显示所输入之密码。
• 保存密码的档案应予以加密

• 明确规定员工禁止利用公司电子邮件从事工作业务以外的活动，并宣导员工不开启来路不明的电子邮件。
• 以业务及个人工作需要，对员工电子邮件内容及大小进行规范和限制。
• 开启邮件过滤及防毒机制，以过滤垃圾及可能含有病毒的邮件。

• 机房设置温度控制设备及消防设备，采门禁管制，限定仅特定人员才可进入，资料库每日备份，并建置异地备援机制。
• 任何资料存储媒体进行报废时，须彻底将其内资料销毁，直至无法解读。
• 实体的机密资料，如纸张档、重要合约等，宜妥善存放与保管。

• 针对常见资安事件与异常情况，拟定异常事件处理常式，以增加处理实效，并降低异常事件发生的伤害。
• 按企业持续经营的原则，评估并理清重大业务冲击威胁事件，据以制定灾害复原计划。

• 对公司资讯单位人员的职责进行明确定义
• 负责资讯安全相关工作或处理机密资讯的人员，需签署保密协定。
• 各种资讯安全工作，需有2人(或以上)了解，以应付紧急情况的需要。

• 资讯安全事件应立即公告公司员工
• 定期提供员工适当的资通安全认知或教育训练

• 资讯委外时，应与委外厂商签订契约，并将保密条款纳入其中。
• 电脑系统资讯委外业务完成后，应要求委外厂商提供详细的系统档及手册。
• 委外厂商人员如有派驻公司情况，派驻的委外人员电脑系统使用权限应予以适当控管。