資訊安全政策

●資訊安全管控

為確保資訊安全管理相關事項之推動，本公司成立資訊安全管理小組，由資訊部負責主導、規劃及制定資訊安全管理政策，並由各業務相關單位配合執行，更定期實施資訊安全宣導及資安稽核，確認資訊安全管理運作之有效性。且為配合本公司資訊安全政策，並考量適用之資訊安全要求事項、風險評鑑以及風險處理結果後，制訂資訊安全目標及範圍等相關規範。

●組織架構

資訊安全小組組織架構
資訊安全具體管理方案
風險項目	因應對策
網路威脅與防護	針對外部威脅，網路建立IPS、防火牆等多層次防禦，並建立防毒、郵件過濾、郵件稽核等管控機制，並預計導入惡意程式偵測以降低網路威脅，強化端點安全，去年度已順利完成「防火牆更新」作業，同時預計更新內部Wifi AP提高無線網路的可靠性。
文件與資產管理	資管設備依規定申請出入廠，廠外設備皆依公司規範進行管制。
營運備援機制	重要服務與資料皆有建立備援與異地備份。去年度針對「備份機制進行全面強化」，並定期進行災害還原測試，以確保遭受威脅或災害時服務不中斷與資料不遺失。
系統存取與管制	人員存取內外部系統與資料傳輸進行管制，避免資料外洩並保留行為軌跡紀錄，去年已針對GPO進行Review，優化身分驗證、密碼控管及存取授權管制，降低未授權存取風險。

資訊系統安全與管理政策與處理程序

●資通安全政策

台灣典範對於資訊安全和機敏資料保護的承諾，這不僅是對公司內部業務的保護，更是對社會、股東和商業夥伴的責任。為確保公司內部資訊和資訊系統的安全性，公司採取以下措施：

1. 預計推動IPSec VPN保護客戶連線安全，同時推動多因子認證，確保連線來源正確取得授權，同時推動MDR與EDR防護，確保公司營運不中斷，加強客戶資料的安全性，避免客戶資料被駭客竊取。
2. 朝推動 ISO/IEC 27001 資訊安全管理系統認證推進，先進行ISO 27001法規面的教育訓練，並開始進行內部程序面的審核，確保程序符合ISO 27001的要求，降低企業資安威脅，以滿足客戶需求。

●資通安全管理

透過規劃及評估、建置與執行、檢視及覆核、追蹤與持續改善的資訊安全管理方式。加強資安技術發展規劃，如：強化資安攻擊防護、即時偵測外部威脅並有效阻斷、降低機敏資料外洩風險，做為資安發展重點。

1. 遵照國際標準要求推動及強化資訊安全管理系統，加強資訊安全教育訓練。
2. 執行核心業務系統災難復原作業，以確保備援程序與資料備份的有效性，透過實際演練確保資訊系統服務能順利銜接，以預防災難發生的風險。
3. 針對所有資料進行分級分類，並對於所儲存或傳遞之機敏資料採取嚴格的資料外洩防護措施與監控，以確保營業秘密安全。
4. 降低發生毀損、失竊、洩漏、竄改、濫用與侵權等資通安全事件時之衝擊。
5. 續提升各資訊服務系統所有作業之機密性、完整性與可用性。
6. 設置資安事件通報程序，確保資安事件發生時能即時且有效實施因應措施，降低資安事件造成企業團之損失風險。

資訊安全教育訓練與宣導

我們不定期布達病毒更新資訊並宣導日常注意事項，更透過郵件方式不定期發送重要資安訊息提醒同仁注意資訊安全，其中資訊安全教育訓練主要以新進員工為主。

2025年:

資安事件通報程序

本公司已建立完善的資訊安全事件通報機制，確保能即時辨識、回應並減輕產品資料安全風險，2025年無因重大資通安全事件所遭受之損失。

相關流程如下：

1. 事件發現：員工在日常工作中發現或懷疑資訊安全異常，應立即上報部門主管，並在1小時內通報資訊部。


2. 初步通報：部門主管向資訊部通報事件，通報內容應包括以下資訊

3. 事件評估與確認：

資訊部接獲通報後，立即啟動調查展該事件評估，確認事件性質、範圍及影響等級並評估可能影響產品的資料安全風險。

根據評估結果，資訊部將事件通報至稽核室，以確保事件管理流程符合內部規範並受到適當監督。

4. 緊急應對與控制措施：

高風險事件處理：資訊部應立即啟動緊急應變方案，包括封鎖受影響系統、調整網路防火牆規則等。

中、低風險事件：根據事件嚴重性，資訊部將逐步採取適當的處理措施，以確保業務連續性並降低影響。

5. 紀錄：

所有與事件相關的調查、評估、處理及控制措施應在事件發生後24小時內詳細記錄，以便於未來的查核和持續改進。