法規資訊

法規名稱	建立證券商資通安全檢查機制 EN
發佈日期	民國109年2月10日
沿革資訊	中華民國109年2月10日臺灣證券交易所股份有限公司臺證輔字第1090500268號函修正發布第9點、第12點，並自即日起實施 (中華民國109年2月3日金融監督管理委員會金管證券字第1080339154號函同意照辦)

所有條文

新興科技應用(CC-21100，年度查核)

(1)雲端服務：
1. a.公司為雲端服務使用者時，應訂定雲端運算服務運作安全規範內含雲端提供者之遴選機制、查核措施、備援機制、服務水準(含資訊安全防護)與復原時間要求等，如有不符需求之處，需有其它補償性措施。
2. b.公司為雲端服務提供者時，應訂定雲端運算服務安全控管措施，應包含法律遵循、權限控管、權責歸屬及資訊安全防護等項目。如涉及敏感性資料之傳遞，應使用超文字傳輸安全協定(HTTPS)、安全檔案傳輸協定(SFTP)等加密之網路協定。
(2)社群媒體：
1. a.公司應訂定社群媒體相關資訊安全規範與運用社群媒體管理辦法，應包含以下內容：
  1. (a)界定可於公務用社群媒體上分享之業務相關資料。
  2. (b)私人與公務用社群媒體之區別與應注意事項。
2. b.應針對開放員工使用社群媒體評估其風險程度，包含：資料外洩、社交工程、惡意程式攻擊等，並採行適當的安全控管措施。
3. c.公司應訂定經營官方社群媒體資訊安全規範與管理辦法，並包含以下內容：
  1. (a)應事先了解所經營之社群媒體隱私政策，並定期(每年一次)檢視其隱私政策之異動及評估其風險。
  2. (b)於官方網站提供連結供使用者連至公司外之社群媒體時，應出現提示視窗告知使用者該連結非公司本身之網站。
  3. (c)對經營之社群媒體應標示證券商名稱、聯絡方式，以區別為官方經營之社群媒體。
  4. (d)應建立帳號權限管理機制，對發布內容進行控管與監視，並針對不適當言論及異常事件，進行通報或處置。
(3)行動裝置：
1. a.公司應訂定公務用行動裝置之資訊安全規範與管理辦法，須包含以下項目：
  1. (a)行動裝置設備管理辦法應對於申請、使用、更新、繳回與審核應訂有相關規範。
  2. (b)人員異動時，行動裝置應進行重新配置或清除配置程序，以確保行動裝置環境安全性。
  3. (c)行動裝置應避免安裝非官方發佈之行動應用程式，或僅安裝由公司列出通過檢測可安裝之行動應用程式。
2. b.公司應訂定員工自攜行動裝置之資訊安全規範與管理辦法，須包含以下項目：
  1. (a)公司應要求員工自攜行動裝置使用用途。
  2. (b)公司應與持有人簽署員工自攜行動裝置使用協議，含：使用限制及雙方責任等。
  3. (c)公司應限制內部資訊設備透過員工自攜行動裝置私接存取網際網路(Internet)之行為。
(4)物聯網：
1. 應訂定物聯網相關資訊安全規範與管理辦法，須包含下列項目：
2. a.應建立物聯網設備管理清冊並至少每年更新一次，且應變更前開設備之初始密碼。
3. b.物聯網設備應具備安全性更新機制且定期(每年一次)更新，如存在已知弱點無法更新時，應建立補償性管控機制。
4. c.應關閉物聯網設備不必要之網路連線及服務，避免使用對外公開的網際網路位置。
5. d.如與物聯網設備供應商簽定採購合約時，其內容宜包含資訊安全相關協議，明確約定相關責任(如：服務承諾、安全性更新年限、主動通報設備已知資安漏洞並提出相關應變處置方案)，確保設備不存在已知安全性漏洞。