資通安全管理

在新興科技高速發展的時代，資訊安全已成為企業運營韌性不可或缺的一環；金融服務加速數位化成為了企業獲利的新引擎，但也帶來更多、更複雜的資訊安全威脅樣態，如何因應新興科技的應用強化資訊安全的防禦縱深架構，已成為公司治理的核心。

本公司資通安全管理架構

本公司董事會為資訊安全最高督導機構，負責核定《資訊安全政策》並每年聽取資安整體報告；設立董事會層級督導機制、資訊安全委員會及資安長制度，資安長由副總經理層次擔任，定期向總經理與董事會報告績效目標執行成效；另設外部聘僱之資訊安全顧問作為董事會幕僚。

本公司已於113年將資訊安全專責單位升格成立資訊安全處，並規劃於每年並召開管理審查委員會檢視資訊安全相關作業之執行情形，115 年依主管機關強化三道防線要求，明確區分資訊安全治理與技術防護權責，以資訊部及相關業務單位為第一道防線、資訊安全職能為第二道防線、稽核單位為第三道防線。

資通安全政策

為保護資訊資產免於遭受內外蓄意或意外之破壞，並確保企業永續經營，本公司透過資訊安全政策之制定，宣示管理階層支持資訊安全之決心，及使相關人員有所依循，除降低任何資訊安全事件所可能帶來之衝擊外，亦持續運作及改善資訊安全體系同時保障公司與客戶之權益。

資通安全風險管理機制

已導入及建立資訊安全管理系統(ISMS)，且採用「Plan-Do-Check-Act, PDCA」循環運作模式，建立資訊安全管理體系並維繫其有效運作與持續改進。

本公司秉持風險導向、預防優先及縱深防禦原則，依循ISO 27001資訊安全管理系統及金融監督管理委員會「金融資安行動方案」與「金融資安韌性發展藍圖」建立管理制度，持續採用循環改善模式，確保資訊安全管理體系之有效性與精進機制，降低資安事件對公司營運與客戶權益的影響。

為落實公司整體資訊安全治理，並依資訊安全治理政策及各項資安推動業務之性質，本公司設置下列全公司層級之資訊安全相關組織。

外聘資訊安全顧問

為董事會幕僚單位，視資訊安全管理及技術需求聘用相關學者專家，並得視需要列席本公司會議，外聘資訊安全顧問，主要提供董事會資訊安全諮詢服務，得以提供本公司管理階層進行資訊安全政策方針及技術工具導入評估等諮詢服務。

管理審查委員會

由總經理擔任召集人，各部室主管擔任委員，負責督導、檢視及審查本公司資訊安全與營運持續相關作業之執行情形，確保治理機制有效運作。

資訊安全推行小組

由總經理擔任召集人，並由資安長擔任副召集人，亦設置資訊安全專責主管為執行秘書，小組成員由集團各單位主管擔任，董事會和稽核室主管得視需要列席會議，此小組若遇新增或調整重大資安防護作業且須跨部門合作時召開會議。

資訊安全事件應變小組

由總經理擔任召集人，小組成員為法令遵循部主管、企劃室主管、管理部總務室主管、管理部公關室、資訊部、經紀部、公司發言人組成，此小組視異常事件或災害事件狀況啟動小組會議以進行緊急通報及處理。

持續營運小組

由總經理擔任召集人，小組成員包括總公司及子公司之管理、資訊、各業務單位及人力資源等相關單位，事先規劃營運持續及應變作業流程，於事件發生時即時啟動相關作業，以確保關鍵營運流程持續運作，並將對公司營運之衝擊降至最低。
前述應變與復原相關組織包括危機處理小組、業務持續營運小組及資源提供小組，並透過定期演練與檢討機制，驗證備援人力及相關資源規劃之有效性。

具體管理方案

除遵循政府相關法令規定外，亦依據本公司內部控制制度規範，結合資訊科技發展趨勢及資安新興風險，採取制度化與風險導向之管理作法。每年定期執行資訊安全風險評鑑、查核與改善作業，持續維持 ISO 27001 資訊安全管理系統驗證之有效性，並規劃及執行各項安全控管措施，以防範公司可能面臨之資安風險。

此外，本公司每年召開管理審查委員會，檢視資訊安全相關作業之執行情形，並由資安長定期向功能性委員會及董事會報告資訊安全推動進度與整體執行成果，以強化治理層之督導效能與決策支持。
114年度資訊安全整體執行情形報告於115年1月23日董事會報告。

資訊安全治理之資源投入與人員培育

本公司透過制度化管理、資源投入與人員培育等多元作法，持續強化全體同仁之資訊安全意識，使資訊安全不僅為專責單位之責任，更能落實於全體員工日常作業與管理流程中，作為公司推動資訊安全治理與風險管理之重要基礎。

關鍵作為

  • 在國際認證方面，本公司持續取得 ISO 27001:2022 資訊安全管理制度、ISO 22301:2019 營運持續管理制度以及 BS 10012:2017 個人資料管理制度等國際標準驗證，並確保相關證書持續有效。
    目前三項國際標準驗證證書之有效期間如下：
    1. ISO 27001:2022：2024 年 3 月 13 日至 2027 年 3 月 12 日
    2. ISO 22301:2019：2023 年 11 月 26 日至 2026 年 11 月 25 日
    3. BS 10012:2017：2024 年 10 月 08 日至 2027 年 10 月 07 日
  • 在資源配置方面，本公司於 115 年續保資料保護險，保障範圍涵蓋客戶資料外洩可能衍生之相關費用，藉此強化組織對資訊安全風險之認知，並降低資安事故對客戶權益及公司營運之衝擊。
  • 在資安預算投入方面，115 年資安預算較 114 年增加新臺幣 5仟萬元以上，重點投入於治理機制強化（包含 AI 、零信任及委外管理）、資安偵測與事件應變、基礎防護及營運韌性提升，展現公司對資訊安全之持續投入。
  • 在人員培育與意識提升方面，2025年度訓練內容涵蓋深度偽造（Deepfake）攻擊辨識、人工智慧創新應用風險及AI治理，提升管理階層對新興科技風險之認知與因應能力，統計至 114 年底 :
    1. 資安專責人員共 9 名 （含專責主管 1 名），除完成每年 15 小時專業教育訓練課程外，並已取得 22 張資訊安全國際證照，包含 2 張持續營運國際證照。
    2. 全體員工除完成每年 3 小時資安教育訓練外，亦已取得 51 張國際資安證照，包含 5 張持續營運國際證照。
    3. 本公司自 112 年起，亦每年規劃對董監事及高階主管辦理資訊安全教育訓練，另透過包班方式協助及鼓勵同仁取得資訊安全相關證照，以持續提升整體資訊安全管理能力。

客戶隱私與個資保護

2025年度辦理個人資料保護相關法令宣導課程，全年累計1,955人次受訓，個資權益申訴0事故、個資安全事故0件。

在管理原則方面，嚴格執行「最小資料處理原則」，僅蒐集履行服務所必需之資料，並依據業務需求授予相關人員存取權限，秉持誠信原則，確保客戶充分知情且保有自主控制權。個人資料保護的責任不僅限於特定單位，而是日常作業流程深度融入個資防護措施，透過制度規範與教育訓練，打造「全員共責、人人守護」的個資保護文化。

其它具體執行措施

  • 資安防護措施導入：導入程式碼安全檢測、網路應用程式防火牆、網頁程式防竄改及偽冒行動應用程式偵測等防護機制，降低系統與應用服務遭受攻擊之風險。
  • 資安通報、因應與預防機制：透過 F-ISAC 情資分享、資安事件通報及重大訊息發布機制，強化資安威脅預警、通報與應變能力。
  • 全天候資安監控作業：辦理 7×24 小時安全監控，包含異常 IP 與登入行為監控、端點防護（EDR）威脅告警，以及資安監控服務分析管理（SOC/SIEM），即時掌握資安異常事件。
  • 定期資安檢測與演練：定期辦理資通安全健診、滲透測試與弱點掃描、行動應用程式安全檢測及攻防演練，持續檢視與提升防護成效。
  • 資安治理成熟度檢視：每年透過資安治理成熟度評估及資安總體檢，全面審視公司在管理制度、技術防護及專業能力等面向之強項與待精進項目，作為後續改善與精進之依據。

持續不斷的強化資訊安全

隨著數位化進程的加速及資安威脅手法日益多元，本公司將會配合主管機關金融發展藍圖及永續發展計劃，持續推動零信任架構，並精進各項資訊安全防護措施，以確保客戶權益與資料安全，同時強化公司整體營運之穩定性與韌性。