投資人專區

 

資通安全管理

1.資通安全風險管理架構

　(1)本公司設立集團資訊部，專責資訊及通訊安全，該部門設置資訊主管與專業資訊人員，負責訂定集團資訊及通訊安全政策、規劃暨執行資訊及通訊安全作業，與資通安全政策推動與落實。
　(2)本公司集團稽核室為資訊與通訊安全督導單位，該室設置稽核主管乙名，負責督導內部資通安全執行狀況，若稽核期間發現缺失，可要求受稽查單位提出相關改善計畫，且定期追蹤改善成效，以降低內部資通安全風險。
   (3)每年向董事會報告運作情形，已於2024年12月12日於董事會報告。

 

2.資通安全政策

項目	內容
第  一  條(訂定目的)	為確保本公司主機(含雲端主機)、儲存資訊、網路通訊及所有OT設備資訊安全，避免資通訊內容未經授權存取、使用、洩密、竄改、破壞或其他侵害；以保持本公司數位資訊之機密性、完整性與可用性。
第  二  條(適用範圍)	為確保本公司主機(含雲端主機)、儲存資訊、網路通訊及所有OT設備資訊安全，避免資通訊內容未經授權存取、使用、洩密、竄改、破壞或其他侵害；以保持本公司數位資訊之機密性、完整性與可用性。
第  三  條(資訊安全目標)	一、確保本公司資訊作業可正確、完整、可用的持續營運。 二、確保本公司重要資訊之機密性，落實資料存取控制，資訊須經授權人員核可方能存取，不得逾越。
第  四  條(資訊安全控制措施暨管理方案)	一、本公司所有資訊政策需符合當地政府法規。 二、本公司資安管理之權責部門為集團資訊部,該部門設置資安主管一名及資安人員，以建立及推動相關資訊安全制度。 三、有效管理資訊資產，並持續評估相應之風險。 四、建立獨立資訊系統機房及環境安全防護措施，並做成定期維護及保養計劃。 五、評估各種天然及人為災害風險，訂定核心資訊系統還原及演練計劃，以確保核心資訊系統因各種狀況毁損時得以還原、並正常運行。 六、定期實施資訊安全宣導、教育訓練及相關實施規定。 七、明確規範資訊系統使用權限，確保經授權使用者才能存取資訊系統。 八、落實委外廠商管理，以確保資通服務之安全。 九、訂定資訊安全管理制度內部稽核計畫，定期檢視資訊安全管理制度範圍內所有人員及設備使用情形，依稽核報告擬訂及執行矯正預防措施。
第  五  條	本制度於2023 年12 月13 日經董事會決議通過後實施。

 

 

3.具體管理方案

　(1)本公司所有資訊政策需符合當地政府法規。
　(2)設立資訊安全事務專責人員， 以建立及推動相關資訊安全制度。
　(3)有效管理資訊資產， 並持續評估相應之風險。
　(4)建立獨立資訊系統機房及環境安全防護措施，並做成定期維護及保養計劃。
　(5)評估各種天然及人為災害風險， 訂定核心資訊系統還原及演練計劃，以確保核心資訊系統因各種狀況毁損時得以還原、並正常運行。
　(6)定期實施資訊安全宣導、教育訓練及相關實施規定。
　(7)明確規範資訊系統使用權限， 確保經授權使用者才能存取資訊系統。
　(8)落實委外廠商管理，以確保資通服務之安全。
　(9)訂定資訊安全管理制度內部稽核計畫，定期檢視資訊安全管理制度範圍內所有人員及設備使用情形，依稽核報告擬訂及執行矯正預防措施。

 

4.投入資通安全管理之資源

　⚫ 為確保資訊安全管理系統 能有效運作，特設立資安主管一名及資安人員一名。，以推動及維持 各項資通安全管理、執行與查核等工作之進行，於必要時得邀請相關人員召開會議。

　⚫ 本公司每年針對資訊安全政策與辦法、資安教育訓練、機房管理辦法、持續營運演練執行計畫、外部稽核管理辦法…等均有討論後改進修訂，使資安管理 機制更佳完備。

　⚫ 113年執行情形：

實施項目	實施日期	實施內容
資安教育宣導	113/1/18 113/7/5	兩次
技術工具	113/1	內網防火牆 INF-8600T
合理性與稽核	113/12	主機弱點掃瞄
	113/12	企業資安評級評估
應急計劃	113/10/8	持續營運演練執行計畫
災難演練	113/11/7	持續營運演練執行
資安會議	113/11/14	1.AI技術對於網絡安全威脅與防禦主要應用說明 2.討論零信任架構，及未來導入計劃

 

 

永續發展暨風險管理政策與程序及運作情形

　。本公司於2024年11月成立永續發展委員會，成員為3名獨立董事，職權為永續發展暨風險管理政策制定及推動。(原為集團公共關係暨法務部及各子公司管理部負責推動永續發展相關工作)
本公司訂定「永續發展實務守則」作為本公司推動永續發展相關工作之準則，且訂定「風險管理政策與程序」業經2022年11月9日經董事會通過後實施，相關規範可參閱「重要公司內規」。

 

風險管理範疇

　。本公司就各項營運所面對之經濟、環境、社會面等主要風險，除原有之制度規範與處理外， 更積極監督評估與管理各類重要風險。 本公司經營階層依重大性原則進行風險評估及擬訂因應措施，相關風險管理包 括「市場風險」、「營運風險」、「投資風險」、「法遵風險」及「氣候變遷風險」等範疇。每年定期評估營運風險，並針對各項風險提出因應對策，涵蓋管理目標、組織架構、權責歸屬及風險管理程序等機制並落實執行，以有效辨識、衡量及控制公司之各項風險，將風險控制在可接受的範圍。

 

風險管理組織架構

項目	內容
董事會	本公司董事會為公司風險管理之最高指導單位，以遵循法令、推動並落實公司整體營運風險管理為目標，明確瞭解永續經營所面臨之風險，確保風險管理之有效性。
永續發展委員會	1.制定、推動及強化本公司永續發展暨風險管理政策、年度計畫及策略等。 2.檢討、追蹤與修訂本公司永續發展暨風險管理執行情形與成效。
經營管理階層(董事長、總經理或相關營運主管組成)	負責審核控管各權責部門所啟動的各項計劃及專案的風險評估及應變指揮。
稽核單位	隸屬於董事會之獨立單位，協助董事會及經理人檢查及覆核內部控制制度之缺失及衡量營運之效果及效率，並適時提供改進建議，以確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。
業務執行單位	於日常作業中擔負第一線風險管理之責任，其單位主管應進行分析、監控及預防所屬單位權責內之相關風險，確保風險控管機制與程序能有效執行。

 

運作情形

永續發展小組已於2024年12月12日董事會議報告永續發展暨風險管理相關計畫及執行情形，包含下列各事項，董事會成員聽取報告後已適時提出建議，後續由永續發展委員會進行監督。

1. 2024年永續發展暨風險管理執行情形與成效報告：

(1)誠信經營報告-誠信經營教育訓練參加人次暨2024年違反誠信經營調查結果。

(2)與各利害關係人溝通情形-與利害關係人溝通管道、溝通頻率及溝通情形。

(3)風險管理政策運作情形報告-風險評估說明及所採行的風險控制措施與風險管理之運作情形。

(4)資通安全管理計畫執行報告-投入資通安全資源、教育訓練宣導及資安相關會議內容簡述等。

(5)智慧財產權管理計畫報告-教育訓練宣導及取得智慧財產清單與成果。

(6)本公司及子公司溫室氣體盤查及查證時程規劃進度報告。 

2.本公司2025年度永續發展暨風險管理計畫及策略。

3.2024年永續報告書執行進度及規劃。

 

 

公司治理主管

　本公司為保障股東權益、強化董事職能及公司治理，本公司已於2023年5月10日董事會通過由財務長余聖芬兼任公司治理主管，負責公司治理之制度設計、規劃及工作執行。