資訊安全規範

二、資訊安全政策

1. 目的:
本公司為強化資訊安全管理，確保所屬之資訊資產的機密性、完整性及可用性，以提供本公司之資訊業務持續運作之資訊環境，並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅，特定此政策規範。

2. 願景與目標:
2.1 資訊安全政策願景：強化人員認知、避免資料外洩，落實日常維運、確保服務可用。
2.2 資訊安全目標
(1) 辦理資訊安全教育訓練，推廣員工資訊安全之意識與強化其對相關責任之認知。
(2) 保護本公司業務活動資訊，避免未經授權的存取與修改，確保其正確完整。
(3) 定期進行內部稽核，確保相關作業皆能確實落實。
(4) 確保本公司關鍵核心系統維持一定水準的系統可用性。

3. 責任:
3.1 本公司的管理階層建立及審查此政策。
3.2 資訊工作小組透過標準和程序以實施此政策。
3.3 所有人員和委外服務供應商均須依照相關安全管理程序以維護資訊安全政策。
3.4 所有人員有責任報告資訊安全事件和任何已鑑別出之弱點。
3.5 任何危及資訊安全之行為，將視情節輕重追究其相關法律及行政責任或依本公司之相關規定進行懲處。

4. 審查: 本政策應至少每年於管理審查作業審查乙次，以反映政府法令、技術及業務等最新發展現況，以確保本公司永續運作及資訊安全實務作業能力。

5. 實施:
5.1 任何單位及個人因業務需求取得本公司機敏性資訊或個人資料時，應負起資料保密責任及妥善運用，並遵守國家相關之法令及本公司之相關資訊安全規定。
5.2 若因單位及個人疏失造成資料外洩或資安事件，應負相關法律責任。
5.3 本政策經「資訊安全委員會」進行會審後，由召集人核定後實施，修訂時亦同。
5.4 本政策應配合資訊安全管理系統實施，如管理系統有變更應以計畫方式進行變更。