1、風險評鑑與管理（CC–11000，適用網際網路下單證券商，不適用語音
   下單及傳統下單之證券商，年度查核）
   （1）應鑑別公司適用資訊安全風險範圍內之所有資訊資產以及其擁有
        者。
   （2）應確定公司各作業可接受之資訊安全風險等級。
   （3）公司應有書面的資訊安全風險評估報告，每年至少評估一次，並
        留存相關紀錄。
   （4）應評估核心系統可容忍中斷時間、復原時間目標（ RTO）、資料
        復原點目標（ RPO），並依經紀業務規模市占率暨自然人客戶數
        比率分級，訂定核心系統可容忍中斷時間。