資訊安全政策

(一)  資通安全風險管理架構

為提升公司資安防禦能力，配置資訊安全專責主管及專責人員各1名，並於2023.11.9經董事會決議同意通過。

(二)  資通安全政策、具體管理方案及投入資通安全管理之資源

資訊安全列為本公司的重大主題方針，我們特別重視資訊安全管理及資安風險管控，因應管理方針制定下列項目:

1.資訊安全政策
「維護公司整體資訊安全，強化各項資訊資產之安全管理，確保其具機密性、   完整性、可用性與適法性，避免發生人為疏忽、蓄意攻擊及天然災害時影響公司作業或損及公司權益，確保業務持續營運」。

2.資訊安全策略

1. 善用數位科技，持續創新，秉持永續經營理念，不斷精進資訊安全制度與    強化防禦應變能力，全面導入資訊安全管理機制，定期檢視，快速應變資安風險，確保業務持續營運不中斷。
2. 視資訊相關系統、設備與網路之安全，定期執行資訊安全演練與教育訓練，  提升同仁對於資安的意識及警覺性，將資訊安全融入日常業務中。
3. 善盡顧客資料隱私保護承諾，明確規範蒐集、處理及取用等管理措施及權限，保障顧客個人資料安全。

3.資訊安全管理與執行
為提升資訊安全管理，由永續發展委員會成立資訊安全工作小組，下設網路安全、個資保護及資安宣導與應變等分組，成員包含公司高階主管、董事會幕僚各組室及事業部，負責推動、協調及督導下列資訊安全管理事項：

1. 資訊安全政策之核定及督導
2. 資訊安全責任之分配及協調
3. 資訊資產保護事項之監督
4. 訊安全事件之檢討及監督
5. 資訊安全事項之核定
6. 定期召開資訊安全會議

4.資訊安全管理與執行
本公司針對資安風險管控，從系統面、網路面、資料面及設備面，積極規劃部署資訊安全措施，改善資訊安全環境，降低資訊風險。包含以下項目：

1. 系統帳號管理與稽核
2. 系統資料存取權限管控與稽核機制
3. 系統原始碼管理與檢測
   • 資訊系統之原始碼均實施版本管控，並依相關權限給予適當存取屬性。委外或自建的系統程式碼均通過程式原碼檢測驗證，符合國際認證標準。
   • 於2025年持續對內部資訊系統、委外開發系統，皆已進行資安原始碼靜態檢測掃描，無高風險問題。
4. 網路安全
   • 建置網路安全防護設備(防火牆)，郵件過濾系統，防毒防護系統，並依業務  所需設定安全存取權限。
5. 備份與災害復原
   • 為確保資訊系統之資料完整與正確，依循3-2-1原則規劃資料備份架構，訂定備份與災害復原計畫，定期演練確保發生災害或儲存媒體   失效時，可迅速回復正常作業。
   • 於2025年實施1次災害備援演練，RTO為4小時，RPO為24小時，順利完成，並留文件備查。
6. 電子郵件管理
   • 使用公司郵件需遵循電子郵件管理辦法，對帳號、使用規則及郵件使用安全進行管理。
   • 2025年郵件系統改版升級，增設信件防護安全策略功能，提高資訊安全。  新郵件系統提高加密傳輸安全性，提升至TLS 1.2。

5.員工資安訓練宣導

本公司對新員入職時會進行基礎的資訊安全教育訓練，並且會定期對進行資安 宣導及資安演練，加強資安意識。當發生資安事件時，進行資安通報，提高員工防範外部攻擊的意識，為公司經營提供資訊安全保障。

2025年進行項目如下：

1. 4次資安宣導，即時資安宣導4次。
2. 進行社交工程演練，合格率99%。
3. 進行年度資安教育訓練，完成課程385人，總訓練時數154小時。
4. 進行新員資安教育訓練課程，完成課程52人，總訓練時數6.2小時。

為強化資訊安全與顧客隱私保護，本公司除依循國際資訊安全管理原則外，亦  遵循我國《個人資料保護法》及相關隱私權保護法規，制定「個人資料保護作業要點」，透過以下管理措施，確保公司機密資訊、營業秘密與個人資料均能獲得  妥善管理與保護。

(三)最近年度及截至年報刊印日止，因重大資通安全事件所遭受之損失、可能影響及因應措施