2.資訊安全政策（CC-12000，年度查核）
 (1)公司應依據相關法令規定及公司業務需求，訂定資訊安全政策、資訊
    作業之安全水準。
 (2)制訂資訊安全政策，應包括下列事項：
    a.資訊安全之定義、資訊安全之目標及資訊安全之範圍等。
    b.資訊安全政策之解釋及說明，資訊安全之原則、標準以及員工應遵
      守之相關規定。
    c.推行資訊安全工作之組織、權責及分工。
    d.發生資訊安全事件之緊急通報程序、處理流程、相關規定及說明。
 (3)公司所訂定之資訊安全政策，應經管理階層核准，並應正式發布要求
    所有員工共同遵守，並轉知與公司連線作業之公私機關（構）、提供
    資訊服務之廠商共同遵行。
 (4)公司訂定之資訊安全政策，應至少每年評估一次，以反映法令規章、
    技術及業務等最新發展現況，確保資訊安全實務作業之有效性，前開
    之評估工作應留存相關紀錄。
 (5)資訊安全政策之評估，應以獨立及客觀之方式進行，並由內部或委託
    外部專業機構辦理。
 (6)公司每年應將前一年度資訊安全整體執行情形，由負責資訊安全之最
    高主管與董事長、總經理、稽核主管聯名出具資訊安全整體執行情形
    聲明書，並提報董事會通過，於會計年度終了後三個月內將該聲明書
    內容揭露於公開資訊觀測站。

12.新興科技應用（CC-21100，年度查核）
 (1)雲端服務：
    a.公司為雲端服務使用者時，應訂定雲端運算服務運作安全規範內含
      雲端提供者之遴選機制、查核措施、備援機制、服務水準（含資訊
      安全防護）與復原時間要求等，如有不符需求之處，需有其它補償
      性措施。
    b.公司為雲端服務提供者時，應訂定雲端運算服務安全控管措施，應
      包含法律遵循、權限控管、權責歸屬及資訊安全防護等項目。如涉
      及敏感性資料之傳遞，應使用超文字傳輸安全協定 （HTTPS）、安
      全檔案傳輸協定（SFTP）等加密之網路協定。
 (2)社群媒體：
    a.公司應訂定社群媒體相關資訊安全規範與運用社群媒體管理辦法，
      應包含以下內容：
      (a).界定可於公務用社群媒體上分享之業務相關資料。
      (b).私人與公務用社群媒體之區別與應注意事項。
    b.應針對開放員工使用社群媒體評估其風險程度，包含：資料外洩、
      社交工程、惡意程式攻擊等，並採行適當的安全控管措施。
    c.公司應訂定經營官方社群媒體資訊安全規範與管理辦法，並包含以
      下內容：
      (a).應事先了解所經營之社群媒體隱私政策，並定期（每年一次）
          檢視其隱私政策之異動及評估其風險。
      (b).於官方網站提供連結供使用者連至公司外之社群媒體時，應出
          現提示視窗告知使用者該連結非公司本身之網站。
      (c).對經營之社群媒體應標示證券商名稱、聯絡方式，以區別為官
          方經營之社群媒體。
      (d).應建立帳號權限管理機制，對發布內容進行控管與監視，並針
          對不適當言論及異常事件，進行通報或處置。
 (3)行動裝置：
    a.公司應訂定公務用行動裝置之資訊安全規範與管理辦法，須包含以
      下項目：
      (a).行動裝置設備管理辦法應對於申請、使用、更新、繳回與審核
          應訂有相關規範。
      (b).人員異動時，行動裝置應進行重新配置或清除配置程序，以確
          保行動裝置環境安全性。
      (c).行動裝置應避免安裝非官方發佈之行動應用程式，或僅安裝由
          公司列出通過檢測可安裝之行動應用程式。
    b.公司應訂定員工自攜行動裝置之資訊安全規範與管理辦法，須包含
      以下項目：
      (a).公司應要求員工自攜行動裝置使用用途。
      (b).公司應與持有人簽署員工自攜行動裝置使用協議，含：使用限
          制及雙方責任等。
      (c).公司應限制內部資訊設備透過員工自攜行動裝置私接存取網際
          網路（Internet）之行為。
    c.公司應訂定行動應用程式之發佈規範與管理辦法，須包含以下內容
      ：
      (a).應用程式發佈前，應確認程式碼或程序庫通過內容安全或驗證
          程序，如：程式原始碼檢測或掃描，確認未含惡意程式碼與有
          敏感性資料。
      (b).行動應用程式宜完整定義特殊符號篩選機制。
      (c).無法取得行動應用程式原始碼時，應要求行動應用程式提供者
          符合前項安全事項。
    d.公司應訂定行動應用程式安全控管規範與管理辦法，須包含以下內
      容：
      (a).應針對交易或帳務等敏感性資料設計行動應用程式存取驗證機
          制，並僅供經授權之行動應用程式使用該敏感性資料。
      (b).透過行動應用程式發送簡訊或其他訊息通知方式告知使用者敏
          感性資料時，應進行適當去識別化。
      (c).透過行動應用程式傳送帳號、密碼及其他敏感性資料時，應以
          憑證驗證或加密機制確保傳送安全。
      (d).透過行動應用程式儲存密碼、憑證、交易或帳務等敏感性資料
          時，應對儲存之資料進行雜湊（Hash）或加密控管保護。
      (e).透過行動應用程式處理交易或金流作業時，宜留存存取日誌，
          且存取日誌應予以保護以防止未經授權存取。
 (4)物聯網：
    應訂定物聯網相關資訊安全規範與管理辦法，須包含下列項目：
    a.應建立物聯網設備管理清冊並至少每年更新一次，且應變更前開設
      備之初始密碼。
    b.物聯網設備應具備安全性更新機制且定期（每年一次）更新，如存
      在已知弱點無法更新時，應建立補償性管控機制。
    c.應關閉物聯網設備不必要之網路連線及服務，避免使用對外公開的
      網際網路位置。
    d.如與物聯網設備供應商簽定採購合約時，其內容宜包含資訊安全相
      關協議，明確約定相關責任（如：服務承諾、安全性更新年限、主
      動通報設備已知資安漏洞並提出相關應變處置方案），確保設備不
      存在已知安全性漏洞。