12、新興科技應用（CC–21100，年度查核）
    （1） 雲端服務：
          應事先評估使用雲端運算服務之風險，若雲端運算服務涉及關
          鍵性系統、資料或服務者，應訂定雲端運算服務相關運作安全
          規範。
          a.公司為雲端服務使用者時，應訂定雲端服務提供者之遴選機
           制、查核措施、備援機制、服務水準（含資訊安全防護）、
           復原時間及服務終止措施要求等，如有不符需求之處，需有
           其它補償性措施。
          b.公司為雲端服務提供者時，應訂定雲端運算服務安全控管措
            施，應包含法律遵循、權限控管、權責歸屬及資訊安全防護
            等項目。如涉及敏感性資料之傳遞，應使用超文字傳輸安全
            協定（ HTTPS）、安全檔案傳輸協定（SFTP）等加密之網路
            協定。
    （2） 社群媒體：
          a.公司應訂定社群媒體相關資訊安全規範與運用社群媒體管理
            辦法，應包含以下內容：
           (a)界定可於公務用社群媒體上分享之業務相關資料。
           (b)私人與公務用社群媒體之區別與應注意事項。
          b.應針對開放員工使用社群媒體評估其風險程度，包含：資料
            外洩、社交工程、惡意程式攻擊等，並採行適當的安全控管
            措施。
          c.公司應訂定經營官方社群媒體資訊安全規範與管理辦法，並
            包含以下內容：
           (a)應事先了解所經營之社群媒體隱私政策，並定期（每年一
              次）檢視其隱私政策之異動及評估其風險。
           (b)於官方網站提供連結供使用者連至公司外之社群媒體時，
              應出現提示視窗告知使用者該連結非公司本身之網站。
           (c)對經營之社群媒體應標示證券商名稱、聯絡方式、許可證
              字號、客戶申訴聯繫方式及處理窗口，以區別為官方經營
              之社群媒體。
           (d)應建立帳號權限管理機制，對發布內容進行控管與監視，
              並針對不適當言論及異常事件，進行通報或處置。
    （3） 行動裝置：
          a.公司應訂定公務用行動裝置之資訊安全規範與管理辦法，須
            包含以下項目：
           (a)行動裝置設備管理辦法應對於申請、使用、更新、繳回與
              審核應訂有相關規範。
           (b)人員異動時，行動裝置應進行重新配置或清除配置程序，
              以確保行動裝置環境安全性。
           (c)行動裝置應避免安裝非官方發佈之行動應用程式，或僅安
              裝由公司列出通過檢測可安裝之行動應用程式。
          b.公司應訂定員工自攜行動裝置之資訊安全規範與管理辦法，
            須包含以下項目：
           (a)公司應要求員工自攜行動裝置使用用途。
           (b)公司應與持有人簽署員工自攜行動裝置使用協議，含：使
              用限制及雙方責任等。
           (c)公司應限制內部資訊設備透過員工自攜行動裝置私接存取
             網際網路（Internet）之行為。
    （4） 物聯網：
          應訂定物聯網相關資訊安全規範與管理辦法，須包含下列項目
          ：
          a.應建立物聯網設備管理清冊並至少每年更新一次，且應變更
            前開設備之初始密碼。
          b.物聯網設備應具備安全性更新機制且定期（每年一次）更新
            ，如存在已知弱點無法更新時，應建立補償性管控機制。
          c.應關閉物聯網設備不必要之網路連線及服務，避免使用對外
            公開的網際網路位置。
          d.如與物聯網設備供應商簽定採購合約時，其內容宜包含資訊
            安全相關協議，明確約定相關責任（如：服務承諾、安全性
            更新年限、主動通報設備已知資安漏洞並提出相關應變處置
            方案），確保設備不存在已知安全性漏洞。
          e.公司採購物聯網設備時，宜優先採購取得資安標章之物聯網
            設備。
          f.公司應定期辦理物聯網設備使用及管理人員資安教育訓練。
          g.應建立物聯網設備存取權限控管措施。
    （5） 遠距辦公：
          a.公司應對使用遠距辦公之設備安裝資訊安全相關軟體，控管
            應用程式存取權限，以降低資訊外流風險。
          b. 公司應依業務範圍及控管權限設定居家辦公員工之系統功能
            權限。
          c.公司應依員工執行業務內容訂定連線時段限制及相關規範。
          d.公司應留存遠距辦公員工使用者登入系統、電腦設備操作及
            交易紀錄軌跡。
          e.公司應採多因子驗證機制（員工帳號密碼、動態密碼、一次
            性帳密）及建立安全的遠距網路通道，降低相關帳號密碼遭
            假冒或竊用之風險。
          f.公司應阻擋惡意或未經授權之連線，並採用最小權限原則設
            定遠距帳號存取規則。
          g.公司應定時更新VPN連線和其他遠端連結系統之安控措施。
          h.公司應對客戶隱私、資料及紀錄之安全性建立保護措施。
          i.公司應加強宣導資訊安全，教育遠距辦公員工應對網路風險
            保持警覺等資訊安全機制。
    （6） 深度偽造（Deepfake）
          a.使用影像視訊方式進行身分驗證時應強化驗證並搭配其他驗
            證因子（如上傳身分證件、手機簡訊OTP）。
          b.應定期辦理涵蓋深度偽造認知及防範議題之資訊安全教育訓
            練。