法規資訊

法規名稱	建立期貨商資通安全檢查機制 (現行法規)
發佈日期	民國114年1月7日
沿革資訊	中華民國114年1月7日臺灣期貨交易所股份有限公司台期輔字第1140000004號函修正第9點，自公布日起實施(中華民國114年1月2日金融監督管理委員會金管證期字第1130367590號函辦理)

異動條文

系統開發及維護
1. (1)應用系統在規劃分析時應將資訊安全需求納入分析及規格。
2. (2)輸入資料是否有作檢查，以確認其正確性。
3. (3)應使用具有合法版權之軟體。
4. (4)委外廠商管理：
  1. a.公司與委外資訊服務供應商提供服務應訂定合約，合約所含內容應包含以下內容：合約期限、服務範圍、服務交付日期、服務水準要求、服務變更規範、服務驗收之標準、資通安全事件通報及應變處理作業程序、對資訊服務供應商之稽核權條款、合約轉讓或同意分包之規範、保密義務條款、罰則與損害賠償條款、爭議處理程序、違約處理條款、合約終止規範、合約終止後之處理、保固、權利及責任。
  2. b.期貨商應評估資訊服務供應商之集中度，包括評估資訊服務供應商作業能力，採取適當風險管控措施，確保作業委外處理之品質，並注意作業委託資訊服務供應商之適度分散以控管作業風險。
  3. c.資訊服務供應商應提供安全性檢測證明(如行動應用程式資安檢測、源碼檢測、弱點掃描等)，並應確保交付之系統或程式無惡意程式及後門程式，其放置於網際網路之程式應通過程式碼掃描或黑箱測試。
  4. d.公司應訂定相關規範管控，與資訊服務供應商資訊委外關係於終止、解除或結束後之相關作業。
  5. e.委外資訊服務供應商應揭露第三方程式元件之來源與授權證明。
  6. f.公司應管控資訊服務供應商存取權限，對於電腦通行使用權利進行適當控管。
  7. g.公司應對資訊服務供應商服務內容變更進行風險評估。
  8. h.公司對於委外資訊服務供應商於委外關係所涉及公司資訊資產，應於委外關係終止、解除或結束時完整歸還、確保銷毀或轉交予其他資訊服務供應商，並要求資訊服務供應商持續遵守保密承諾。
  9. i.委外資訊服務供應商如自行發現程式漏洞、版本老舊，或於使用相同服務之其他期貨商應用系統發生故障或異常時，應儘速瞭解原因，並主動轉知及提供因應措施。
  10. j.委外資訊系統之服務規格書應包括硬體規格、軟體版本、作業環境變動、作業系統底層架構及系統程式相容性等，並包含維持委外廠商服務水準之要求與橫向溝通機制。
5. (5)已完成之程式因故需維護時，應依據經過正式核准之程序辦理。
6. (6)各項文件與手冊應經適當維護與控制。
7. (7)應用系統之維護應指派專人負責。
8. (8)期貨、選擇權新商品上線前或配合交易系統、結算系統相關作業變更時，應配合進行必要之全市場測試。
9. (9)應用系統異動管理：
  1. a.正式作業與測試作業之程式、資料、工作控制指令等檔案應分開存放。
  2. b.程式經修改其相關文件應及時更新。
10. (10)程式原始碼安全規範：(適用網際網路下單期貨商)
  1. a.程式應避免含有惡意程式等資訊安全漏洞。
  2. b.程式應使用適當且有效之完整性驗證機制，以確保其完整性。
  3. c.程式於引用之函式庫有更新時，應備妥對應之更新版本。
  4. d.程式應針對使用者輸入之字串，進行安全檢查並提供相關注入攻擊防護機制。
  5. e.委外開發之行動應用程式如涉及機敏性資料傳送(如：客戶帳號密碼或交易資料等)應自行或委外檢視驗證傳遞對象是否適當並留存相關紀錄。
  6. f.公司應依上開安全事項檢驗程式原始碼並符合安全事項之要求；無法取得程式原始碼時，應要求程式提供者符合上開前五項(a、b、c、d、e)安全事項。
11. (11)行動應用程式安全管理：(適用網際網路下單期貨商)
  1. a.行動應用程式發布：
    
    (a)行動應用程式應於可信任來源之行動應用程式商店或網站發布，且應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用途。
    
    (b)應於公司網站上提供行動應用程式之名稱、版本與下載位置。
    
    (c)應建立偽冒行動應用程式偵測機制，以維護客戶權益。
    
    (d)應於發布前檢視應用程式所需權限應與提供服務相當，首次發布或權限變動應經資安單位或人員、法遵單位同意，並留有紀錄，以利綜合評估是否符合個人資料保護法之告知義務」。
  2. b.敏感性資料保護：
    
    (a)行動應用程式傳送及儲存敏感性資料時應透過有效憑證、雜湊(Hash)或加密等機制以確保資料傳送及儲存安全，並於使用時應進行適當去識別化，相關存取日誌應予以保護以防止未經授權存取。
    
    (b)啟動行動應用程式時，如偵測行動裝置疑似遭破解(如root、jailbreak、USBdebugging等)，應提示使用者注意風險。
  3. c.行動應用程式檢測：
    
    (a)涉及交易人使用之行動應用程式於初次上架前及每年應委由經財團法人全國認證基金會(TAF)認證合格之第三方檢測實驗室進行並完成通過資安檢測，檢測範圍以目的事業主管機關委託執行單位「行動應用資安聯盟」公布之行動應用程式基本資安檢測基準項目進行檢測。如通過實驗室檢測後一年內有更新上架之需要，應於每次上架前就重大更新項目進行委外或自行檢測；所謂重大更新項目為與「下單交易」、「帳務查詢」、「身分辨識」及「客戶權益有重大相關項目」有關之功能異動。檢測範圍以OWASP MOBILE TOP10之標準為依據，並留存相關檢測紀錄。
    
    (b)期貨商對第三方檢測實驗室所提交之檢測報告，應建立覆核機制，以確保檢測項目及內容一致，並留存覆核紀錄。
12. (12)核心系統應針對風險評估使用者頁面僅顯示簡短錯誤訊息及代碼，不包含詳細之錯誤訊息。
13. (13)提供網際網路下單服務之核心系統上架前及系統更新時應執行「源碼掃描」安全檢測。
14. (14)與資訊公司異業合作平台，應無提供或介接未經金融監督管理委員會許可之證券期貨業者所提供之證券期貨業務(如證券期貨業務有關之開戶及下單功能)。