法規資訊

1. 第1條 (目的)

1. 為強化期貨業管理及應用新興科技，特訂定本自律規範。

1. 第2條 (定義)

1. 一、雲端服務：透過網路技術達成共享運算資源之前提下，提供使用者具備彈性、可擴展及可自助之服務(如：IaaS(基礎架構即服務)、PaaS(平台即服務)、SaaS(軟體即服務))。
2. 二、社群媒體：一種結合科技、社交互動與內容創造之網路應用，允許創造或交換使用者產出內容；且透過此高度互動的平台，個人及群體可以分享、共創、討論並修改使用者產出內容，惟本自律規範定義之社群媒體不包含組織內部溝通使用之社群媒體或平台。
3. 三、行動裝置：一種具有資料運算處理、儲存與網路連線功能之可攜式設備，包括但不限於智慧型手機、筆記型電腦、平板電腦與PDA等裝置，惟本自律規範定義之行動裝置僅限可用於處理組織內部定義之敏感性事務且可直接連接組織網路設備、服務之行動裝置。
4. 四、員工自攜行動裝置(BYOD)：非屬組織行動裝置用於處理組織事務、直接連接組織網路設備或服務，並具備資料運算處理、儲存與網路連線功能之可攜式設備。
5. 五、物聯網設備：指具網路連線功能並連線於Internet或Intranet之嵌入式系統(具有小型作業系統)設備，包含自動化辦公設備(如數位錄影機、電話交換機、傳真機、錄音設備、影印機、監視器等)及不具備遠端操控介面功能之感測器。
6. 六、電子式交易驗證：指以組織同意之電子式委託買賣前對使用者身分驗證資訊進行確認。惟本自律規範定義之電子式交易驗證僅適用於透過網際網路交易之系統，不包含電話語音、電子式專屬線路下單(Direct Market Access，簡稱DMA)、主機共置(Co-Location)等服務型態。
7. 七、深度偽造(Deepfake)：指使用電腦合成或其他科技方法製作或散布涉及真實人物實際未發生的行為舉止影像紀錄、動態圖像、錄音、電子圖像、照片及任何言語或行為等技術表現形式。
8. 八、人工智慧：係指透過大量資料學習，利用機器學習或相關建立模型之演算法，進行感知、預測、決策、規劃、推理、溝通等模仿人類學習、思考及反應模式之技術。

1. 第3條 (資通安全法令遵循)

1. 期貨業管理及應用新興科技除應遵循金融監督管理委員會「指定非公務機關個人資料檔案安全維護辦法」、臺灣期貨交易所「建立期貨商資通安全檢查機制」等相關規範外，並應依本自律規範辦理。
2. 外資集團在台子公司或分公司如有標準較佳之規範則從其規範；若無，則應遵守本國的規範。

1. 第4條 (雲端服務運作安全)

1. 期貨業管理及運用雲端服務，應依本公會雲端服務運作安全自律規範辦理。

1. 第5條 (社群媒體安全控管)

1. 期貨業應訂定社群媒體相關資訊安全規範，其內容包含下列項目：
   1. 一、擬定社群媒體使用政策，以規範員工使用社群媒體之行為。
   2. 二、就開放員工使用之社群媒體類型評估其風險程度(包含資料外洩、社交工程、惡意程式攻擊等)，並就高風險部分採適當的安全控管措施。
   3. 三、經營官方社群媒體之資訊安全控管：

      1. (一)檢視所經營之社群媒體隱私政策及評估其風險。
      2. (二)標示期貨業名稱、地址、電話及許可證字號。
      3. (三)建立帳號權限管理機制，並對發布內容進行控管。
   4. 四、制定異常通報及申訴處理機制：

      1. (一)經營官方社群媒體之管理單位，宜不定時監看該社群媒體之討論內容，並針對不適當言論或異常事件，進行必要之通報或處置。
      2. (二)官方社群媒體應標示客戶申訴聯絡方式及處理窗口。

1. 第6條 (行動裝置安全控管)

1. 期貨業應訂定行動裝置相關資訊安全規範，其內容包含下列項目：
   1. 一、公司提供之行動裝置設備之管理。
   2. 二、員工自攜行動裝置之管理。
   3. 三、行動應用程式安全事項：

      1. (一)行動應用程式發布：

         1. 1.行動應用程式應於可信任來源之行動應用程式商店或網站發布，且應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用途。
         2. 2.應於官網上提供行動應用程式之名稱、版本與下載位置。
         3. 3.應建立偽冒行動應用程式偵測機制，以維護客戶權益。
         4. 4.應於發布前檢視行動應用程式所需權限應與提供服務相當，首次發布或權限變動應經資安單位或人員、法遵單位同意，並留有紀錄，以利綜合評估是否符合個人資料保護法之告知義務。
      2. (二)敏感性資料保護：

         1. 1.行動應用程式傳送及儲存敏感性資料時應透過有效憑證、雜湊(Hash)或加密等機制以確保資料傳送及儲存安全，並於使用時應進行適當去識別化，相關存取日誌應予以保護以防止未經授權存取。
         2. 2.啟動行動應用程式時，如偵測行動裝置疑似遭破解(如root、jailbreak、USB debugging等)，應提示使用者注意風險。
      3. (三)行動應用程式檢測：

         1. 1.涉及客戶使用之行動應用程式於初次上架前及每年應委由經財團法人全國認證基金會(TAF)認證合格之第三方檢測實驗室進行並完成通過資安檢測，檢測範圍以經濟部工業局委託執行單位「行動應用資安聯盟」公布之行動應用程式基本資安檢測基準項目進行檢測。
         2. 2.如通過實驗室檢測後一年內有更新上架之需要，應於每次上架前就重大更新項目進行委外或自行檢測；所謂重大更新項目為與「下單交易」、「帳務查詢」、「身份辨識」及「客戶權益有重大相關項目」有關之功能異動。檢測範圍以最新OWASP MOBILE TOP10之標準為依據，並留存相關檢測紀錄，且由資安專責單位(或資安專責人員)確認完成改善。
         3. 3.公司對第三方檢測實驗室所提交之檢測報告，應依附錄所列檢測項目建立覆核機制，以確保檢測項目及內容一致，並留存覆核紀錄，並由資安專責單位(或資安專責人員)確認完成改善。

1. 第7條 (物聯網設備安全控管)

1. 期貨業就物聯網設備應訂定安全辦法，其內容包含下列項目：

   1. 一、設備盤點評估作業。
   2. 二、設備軟體控管措施。
   3. 三、設備權限控管措施。
   4. 四、設備連線控管措施。
   5. 五、供應商管理。
   6. 六、例外控管措施：物聯網設備存在已知弱點且無法更新，或因設備功能限制無法落實本條第二、三、四款規範之例外控管措施。
   7. 七、不具備管理功能之感測器仍應依本條第一、四、五、六款辦理。
2. 前項評估作業及控管措施應定期更新。

1. 第8條 (網路釣魚之防範)

1. 期貨業應偵測釣魚網站，提醒客戶防範網路釣魚。

1. 第9條 (電子式交易相關控管)

1. 經營經紀業務之期貨業提供電子式交易登入時，其安全設計應具有下列三項之任兩項以上技術：

   1. 一、期貨業所約定之資訊，且無第三人知悉(如固定密碼、圖形鎖或手勢等)。
   2. 二、客戶所持有之實體設備(如密碼產生器、密碼卡、晶片卡、電腦、行動裝置、憑證載具等)，期貨業應確認該設備為客戶與期貨業所約定持有之設備。
   3. 三、客戶提供給期貨業其所擁有之生物特徵(如指紋、臉部、虹膜、聲音、掌紋、靜脈、簽名等)，期貨業應直接或間接驗證該生物特徵。間接驗證係指由客戶端設備(如行動裝置)驗證或委由第三方驗證，期貨業僅讀取驗證結果，必要時應驗證來源辨識；採用間接驗證者，應事先評估客戶身分驗證機制之有效性。
2. 期貨業對於電子式交易身分的申請、交付、使用、更新與驗證應訂有相關控管措施。
3. 期貨業應就帳號登入失敗、非客戶帳號登入嘗試紀錄留存相關監控及分析紀錄。
4. 期貨業對電子式交易身分的驗證資訊於網際網路傳輸時應全程加密。
5. 期貨業對電子式交易身分的驗證資訊應進行雜湊或加密儲存。
6. 期貨業應於伺服器端驗證客戶電子式交易身分。
7. 期貨業應使用優質密碼設定並進行管控，確實執行密碼輸入錯誤次數達5次者應予帳號鎖定。
8. 期貨業應提供客戶定期更新密碼之機制並使用長度6個字元(含)以上，且具有文數字或符號之優質密碼。
9. 期貨業應留存個人資料使用稽核軌跡(如登入帳號、系統功能、時間、系統名稱、查詢指令或結果)或辨識機制，以利個人資料外洩時得以追蹤個人資料使用狀況，相關軌跡資料、證據及紀錄，應至少留存五年。但法令另有規定或契約另有約定者，不在此限。

1. 第10條 (深度偽造之防範)

1. 期貨業使用影像視訊方式進行身分驗證應強化驗證。
2. 期貨業應定期辦理涵蓋深度偽造認知及防範議題資訊安全教育訓練。

1. 第11條 (人工智慧技術)

1. 期貨業運用人工智慧，應依本公會期貨業運用人工智慧技術自律規範辦理。

1. 第12條 (違規之處理)

1. 期貨業違反本自律規範，依本公會會員自律公約及其他有關之規定辦理。

1. 第13條 (附則)

1. 本自律規範經本公會理事會通過，並報奉主管機關核備後實施，修正時亦同。