小
中
大

法規資訊

法規名稱 建立期貨商資通安全檢查機制 EN
發佈日期 民國109年3月20日
沿革資訊 中華民國109年3月20日臺灣期貨交易所股份有限公司台期輔字第10900006140號函修正發布第9點、第12點，並自即日起實施(中華民國109年3月6日金融監督管理委員會金管證期字第1080340430號函辦理)

所有條文

  1. 9
  1. 系統開發及維護
    1. (1)應用系統在規劃分析時應將資訊安全需求納入分析及規格。
    2. (2)輸入資料是否有作檢查，以確認其正確性。
    3. (3)應使用具有合法版權之軟體。
    4. (4)委外作業應簽訂契約，委外作業契約內容應包含資訊安全協定與對委外廠商資安稽核權等條款。
    5. (5)已完成之程式因故需維護時，應依據經過正式核准之程序辦理。
    6. (6)各項文件與手冊應經適當維護與控制。
    7. (7)應用系統之維護應指派專人負責。
    8. (8)期貨、選擇權新商品上線前或配合交易系統、結算系統相關作業變更時，應配合進行必要之全市場測試。
    9. (9)應用系統異動管理：
      1. a.正式作業與測試作業之程式、資料、工作控制指令等檔案應分開存放。
      2. b.程式經修改其相關文件應及時更新。
    10. (10)公司應定期(至少每半年乙次)辦理資訊系統弱點掃描作業，針對所辨識出之潛在系統弱點，宜評估其相關風險或安裝修補程式，並留存紀錄(適用網際網路下單期貨商)。
    11. (11)程式原始碼安全規範：(適用網際網路下單期貨商)a.程式應避免含有惡意程式等資訊安全漏洞。
      1. b.程式應使用適當且有效之完整性驗證機制，以確保其完整性。
      2. c.程式於引用之函式庫有更新時，應備妥對應之更新版本。
      3. d.程式應針對使用者輸入之字串，進行安全檢查並提供相關注入攻擊防護機制。
      4. e.無法取得程式原始碼時，應要求程式提供者符合上開前四項(a、b、c、d)安全事項。
    12. (12)行動應用程式安全管理：(適用網際網路下單期貨商)
      1. a.行動應用程式發布：
        1. (a)行動應用程式應於可信任來源之行動應用程式商店或網站發布，且應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用途。
        2. (b)應於公司網站上提供行動應用程式之名稱、版本與下載位置。
        3. (c)應建立偽冒行動應用程式偵測機制，以維護客戶權益。
        4. (d)應於發布前檢視應用程式所需權限應與提供服務相當，首次發布或權限變動應經資安單位或人員、法遵單位同意，並留有紀錄，以利綜合評估是否符合個人資料保護法之告知義務」。
      2. b.敏感性資料保護：
        1. (a)行動應用程式傳送及儲存敏感性資料時應透過憑證、雜湊(Hash)或加密等機制以確保資料傳送及儲存安全，並於使用時應進行適當去識別化，相關存取日誌應予以保護以防止未經授權存取。
        2. (b)啟動行動應用程式時，如偵測行動裝置疑似遭破解(如root、jailbreak、USB debugging等)，應提示使用者注意風險。
      3. c.行動應用程式檢測：
        1. (a)涉及交易人使用之行動應用程式於初次上架前及每年應委由經財團法人全國認證基金會(TAF)認證合格之第三方檢測實驗室進行並完成通過資安檢測，檢測範圍以經濟部工業局委託執行單位「行動應用資安聯盟」公布之行動應用程式基本資安檢測基準項目進行檢測。如通過實驗室檢測後一年內有更新上架之需要，應於每次上架前就重大更新項目進行委外或自行檢測；所謂重大更新項目為與「下單交易」、「帳務查詢」、「身分辨識」及「客戶權益有重大相關項目」有關之功能異動。檢測範圍以OWASP MOBILE TOP 10之標準為依據，並留存相關檢測紀錄。
        2. (b)期貨商對第三方檢測實驗室所提交之檢測報告，應建立覆核機制，以確保檢測項目及內容一致，並留存覆核紀錄。
回上方