法規資訊

法規名稱	建立證券商資通安全檢查機制 (現行法規)
發佈日期	民國115年8月13日
沿革資訊	中華民國115年8月13日臺灣證券交易所股份有限公司臺證輔字第1150016077號函修正第4點、第9點、第10點及第2點附表，自即日起實施（中華民國115年8月12日金融監督管理委員會金管證券字第1150350194號函同意照辦）

異動條文

資訊安全政策(CC-12000，年度查核)
1. (1)公司應依據相關法令規定及公司業務需求，訂定資訊安全政策、資訊作業之安全水準。
2. (2)制訂資訊安全政策，應包括下列事項：
  1. a.資訊安全之定義、資訊安全之目標及資訊安全之範圍等。
  2. b.資訊安全政策之解釋及說明，資訊安全之原則、標準以及員工應遵守之相關規定。
  3. c.推行資訊安全工作之組織、權責及分工。
  4. d.發生資訊安全事件之緊急通報程序、處理流程、相關規定及說明。
3. (3)公司所訂定之資訊安全政策，應經管理階層核准，並應正式發布要求所有員工共同遵守，並轉知與公司合作之公私機關(構)、提供資訊服務之廠商共同遵行。
4. (4)公司訂定之資訊安全政策，應至少每年評估一次，以反映法令規章、技術及業務等最新發展現況，確保資訊安全實務作業之有效性，前開之評估工作應留存相關紀錄。
5. (5)資訊安全政策之評估，應以獨立及客觀之方式進行，並由內部或委託外部專業機構辦理。
6. (6)公司每年應將前一年度資訊安全整體執行情形，由資訊安全長或負責資訊安全之最高主管與董事長、總經理、稽核主管聯名出具「證券暨期貨市場各服務事業建立內部控制制度處理準則」第二十四條規定之內部控制制度聲明書，於會計年度終了後三個月內提報董事會通過，並將該聲明書內容揭露於主管機關指定之申報網站。
7. (7)公司應參考「建立證券商資通安全檢查機制–分級防護應辦事項附表」辦理資訊安全分級防護應辦事項。
8. (8)公司應依其所屬資安分級辦理核心系統導入資訊安全管理系統，並通過公正第三方之驗證，且持續維持驗證有效性。

建立證券商資通安全檢查機制-分級防護應辦事項附表

資產分類與控制(CC-14000，半年查核)
1. (1)資訊資產應列有清冊且包含軟體、硬體、場地及資料等類別，並應加以維護。
2. (2)應訂有資訊分級並作標示處理之相關規範。(適用網際網路下單證券商，不適用語音下單及傳統下單之證券商)
3. (3)公司應對自行或委外開發之資通系統完成資通系統分級，資通系統等級應至少區分核心與非核心系統，每年應至少檢視一次資通系統分級妥適性。
4. (4)公司應對資訊資產之資料與文件的保存期限進行規範，並於保存期限到期後進行刪除與銷毀。
5. (5)公司交易相關網路直接連線之設備不得使用危害國家資通安全產品。
6. (6)應定期盤點使用之應用程式介面(API)，並建立適當安全控管機制。

系統開發及維護(CC-19000，半年查核)
1. (1)應用系統在規劃分析時應將資訊安全需求納入分析及規格。
2. (2)輸入資料是否有作檢查，以確認其正確性。
3. (3)應使用具有合法版權之軟體。
4. (4)委外廠商管理：
  1. a.公司與委外資訊服務供應商提供服務應訂定合約，合約所含內容應包含以下內容：合約期限、服務範圍、服務交付日期、服務水準要求、服務變更規範、服務驗收之標準、資通安全事件通報及應變處理作業程序、對資訊服務供應商之稽核權條款、合約轉讓或同意分包之規範、保密義務條款、罰則與損害賠償條款、爭議處理程序、違約處理條款、合約終止規範、合約終止後之處理、保固、權利及責任。
  2. b.證券商應針對資訊委外業務項目之資通安全風險與委外作業可行性，及資訊服務供應商作業能力及集中度，由相關資訊單位共同執行風險評估，評估結果應提報適當管理層級並取得同意。
  3. c.資訊服務供應商應提供安全性檢測證明(如行動應用程式資安檢測、源碼掃描、弱點掃描等)，並應確保交付之系統或程式無惡意程式及後門程式，其放置於網際網路之程式應通過源碼掃描或黑箱測試。
  4. d.公司應訂定相關規範管控，與資訊服務供應商資訊委外關係於終止、解除或結束後之相關作業。
  5. e.公司與委外資訊服務供應商應揭露第三方程式元件之來源與授權證明。
  6. f.公司應管控資訊服務供應商存取權限，對於電腦通行使用權利進行適當控管。
  7. g.公司應對資訊服務供應商服務內容變更進行風險評估。
  8. h.公司對於委外資訊服務供應商於委外關係所涉及公司資訊資產，應於委外關係終止、解除或結束時完整歸還、確保銷毀或轉交予其他資訊服務供應商，並要求資訊服務供應商持續遵守保密承諾。
  9. i.委外資訊服務供應商如自行發現程式漏洞、版本老舊，或於使用相同服務之其他證券商應用系統發生故障或異常時，應儘速瞭解原因，並主動轉知及提供因應措施。
  10. j.委外資通系統之服務規格書應包括硬體規格、軟體版本、作業環境變動、作業系統底層架構及系統程式相容性等，並包含維持委外廠商服務水準之要求與橫向溝通機制。
  11. k.公司應載明資訊服務供應商配合進行壓力測試及調整服務負載量之義務，並於市場交易量、業務變化及客戶屬性等發生顯著異動時發動辦理，俾憑評估系統資源調配或擴增。
  12. l.公司於資訊服務委外期間應定期對資訊服務供應商進行稽核，並應要求資訊服務供應商定期提交服務水準報告，相關結果應提報適當管理層級審查。
5. (5)已完成之程式因故需維護時，應依據經過正式核准之程序辦理。
6. (6)各項文件與手冊應經適當維護與控制。
7. (7)應用系統之維護應指派專人負責。
8. (8)應用系統異動管理：
  1. a.正式作業與測試作業之程式、資料、工作控制指令等檔案應分開存放。
  2. b.程式經修改其相關文件應及時更新。
  3. c.程式變更上線前應進行完整測試，變更完成後須檢核與申請內容是否相符，並進行驗證以確認變更作業之可用性及正確性。
9. (9)公司應定期(至少每半年乙次)辦理資通系統弱點掃描作業，針對所辨識出之潛在系統弱點，應評估其相關風險或安裝修補程式，並留存紀錄(適用網際網路下單證券商，不適用語音下單及傳統下單之證券商)。
10. (10)程式源碼安全規範(適用網際網路下單證券商，不適用語音下單及傳統下單之證券商)：
  1. a.程式應避免含有惡意程式等資訊安全漏洞。
  2. b.程式應使用適當且有效之完整性驗證機制，以確保其完整性。
  3. c.程式於引用之函式庫有更新時，應備妥對應之更新版本。
  4. d.程式應針對使用者輸入之資料，於應用系統伺服器端進行安全檢查並提供相關注入攻擊防護機制。
  5. e.委外開發之行動應用程式如涉及機敏性資料傳送(如：客戶帳號密碼或交易資料等)應自行或委外檢視驗證傳遞對象是否適當並留存相關紀錄。
  6. f.公司應依上開安全事項檢驗程式源碼並符合安全事項之要求；無法取得程式源碼時，應要求程式提供者符合上開前五項安全事項(a、b、c、d、e)之佐證。
11. (11)行動應用程式安全管理(適用網際網路下單證券商，不適用語音下單及傳統下單之證券商)：
  1. a.行動應用程式發布：
    
    (a)行動應用程式應於可信任來源之行動應用程式商店或網站發布，且應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用途。
    
    (b)應於官網上提供行動應用程式之名稱、版本與下載位置。
    
    (c)應建立偽冒行動應用程式偵測機制，以維護客戶權益。
    
    (d)應於發布前檢視行動應用程式所需權限應與提供服務相當，首次發布或權限變動應經資安、法遵單位同意，並留有紀錄，以利綜合評估是否符合個人資料保護法之告知義務」。
  2. b.敏感性資料保護：
    
    (a)行動應用程式傳送及儲存敏感性資料時應透過憑證、雜湊(Hash)或加密等機制以確保資料傳送及儲存安全，並於使用時應進行適當去識別化，相關存取日誌應予以保護以防止未經授權存取。
    
    (b)啟動行動應用程式時，如偵測行動裝置疑似遭破解(如root、jailbreak、USB debugging等)，應提示使用者注意風險。
  3. c.行動應用程式檢測：
    
    (a)涉及投資人使用之行動應用程式於初次上架前及每年應委由經財團法人全國認證基金會(TAF)認證合格之第三方檢測實驗室進行並完成通過資安檢測，檢測範圍以目的事業主管機關委託執行單位「行動應用資安聯盟」公布之行動應用程式基本資安檢測基準項目進行檢測。如通過實驗室檢測後一年內有更新上架之需要，應於每次上架前就重大更新項目進行委外或自行檢測；所謂重大更新項目為與「下單交易」、「帳務查詢」、「身份辨識」及「客戶權益有重大相關項目」有關之功能異動。檢測範圍以OWASP MOBILE TOP 10之標準為依據，並留存相關檢測紀錄。
    
    (b)公司對第三方檢測實驗室所提交之檢測報告，應建立覆核機制，以確保檢測項目及內容一致，並留存覆核紀錄。
12. (12)核心系統發生錯誤時，使用者頁面應僅顯示簡短錯誤訊息及代碼，不包含詳細之錯誤訊息。
13. (13)提供網際網路下單服務之核心系統上架前及系統更新時應執行「源碼掃描」安全檢測。
14. (14)與資訊公司異業合作平台，應無提供或介接未經金融監督管理委員會許可之證券期貨業者所提供之證券期貨業務(如證券期貨業務有關之開戶及下單功能)

營運持續管理(CC-20000，半年查核)
1. (1)應明確訂定(例如：電腦設備、通訊設備、電力系統、資料庫、電腦作業系統等備援及回復計畫)故障復原程序，並落實執行且留存紀錄。
2. (2)故障復原程序應週期性測試，測試後應召開檢討會議，針對測試缺失謀求改進，並留存紀錄。
3. (3)公司應每年至少執行一次營運衝擊分析，評估核心系統可容忍中斷時間、復原時間目標(RTO )、資料復原點目標(RPO )，並擬訂營運持續計畫(含起動條件、參與人員、緊急程序、備援程序、維護時間表、教育訓練、職責說明、往來外單位之應變規劃及合約適當性等)及其必要之維護，依其所屬資安分級定期辦理業務持續運作演練，且視演練範圍是否涉及第三方，邀請相關廠商參與演練。網際網路下單證券商應依經紀業務規模市占率暨自然人客戶數比率分級，訂定核心系統可容忍中斷時間。
4. (4)公司應依所屬資安分級建置異地備援機房，並依營運衝擊分析結果於異地備援機房建置對營運具重大影響之核心系統，以維持營運持續運作能力，且應每年定期或於市場交易發生顯著變化時，檢視異地備援系統清單之完整性。 (註：異地備援機房建置範圍由交易主機擴大至對營運具重大影響之核心系統，自116年12月底生效。)
5. (5)公司應訂定資訊安全訊息通報機制(例如：正式之通報程序及資安事件通報聯絡人)，針對與資通系統有關之資訊安全或服務異常事件應依「證券期貨市場資通安全事件通報應變作業注意事項」及「證券商通報重大資安事件之範圍申報程序及其他應遵循事項」辦理，並採取適當矯正程序，留存紀錄。
6. (6)公司發生個人資料之竊取、竄改、毀損、滅失、或洩漏等資安事故者，應立即函報證交所(或櫃檯買賣中心、券商公會)轉陳主管機關。
7. (7)公司應明確訂定分散式阻斷服務攻擊(DDoS)防禦與應變作業程序，並每年進行演練。
8. (8)公司應辦理下列資安防護事宜：
  1. 1.指定人員及部門統籌並協調聯繫各有關部門。
  2. 2.定期評估核心營運系統及設備，對評估結果採取適當措施，並提報董事會，以確保營運持續及作業韌性之能力。
  3. 3.於永續報告書、年報、財務報告或公司網站，揭露年度內公司持續核心營運系統及設備營運所需之資源及落實於年度預算或教育訓練計畫等項目。
9. (9)公司應辨識風險情境，就各項風險情境當災害發生造成資訊作業異常或中斷時，擬定各系統之應變、減災或復原措施相關作業流程。
10. (10)核心系統原服務中斷時，應於可容忍時間內，由備援設備或其他方式取代並提供服務。
11. (11)證券商資訊委外作業如涉及核心資通系統與資通服務，資訊服務供應商應定期提供資通系統與資通服務之回復計畫，回復計畫可以災難復原計畫、備援演練、營運持續計畫等形式呈現。