法規資訊

法規名稱	中華民國證券商業同業公會網路安全防護自律規範
發佈日期	民國111年12月23日
沿革資訊	中華民國111年12月23日中華民國證券商業同業公會中證商業一字第1110008167號函訂定發布全文8條，並自即日起實施(中華民國111年12月22日金融監督管理委員會金管證券字第1110365208號函辦理)

所有條文

一、網路連線安全憑證
1. (一)證券商應確保SSL/TLS憑證之有效性及合法性，以維持網路連線之安全性。
2. (二)證券商如提供網路下單服務，應訂定憑證交付程序，避免非本人取得憑證，並搭配與登入雙因子之不同因子驗證機制交付憑證，及全面使用認證機制。
3. (三)證券商如使用網路專線與合作第三方機構網路連線，應架設防火牆，關閉非約定之埠號以確保內部網域安全。
二、網路傳輸安全
如有國際傳輸客戶個人資料時，證券商應建立加密傳輸機制，當涉及客戶資訊，傳輸前應告知當事人且不違反主管機關對國際傳輸之限制，並留存完整稽核紀錄。外國證券商如為同集團內之傳輸，其間傳輸方式已符合所在國當地的法令規定，得排除國際傳輸之規定。
三、遠端連線管理
1. (一)證券商應訂定遠端連線管理辦法，建立使用限制、組態需求、連線需求的遠距連線機制，亦應包含採多因子身分驗證機制、加密連線、採最小授權原則、留存完整使用者操作稽核軌跡、監控與警示異常操作行為、執行安全性漏洞更新等安控措施，並留存相關紀錄由權責主管定期覆核。
2. (二)證券商須透過安全的連線機制來阻擋惡意或未經授權之連線，並以最小權限原則設定規則及關閉非必要之埠號，並應監控網路流量及異常警告及中斷連線機制。