信息安全風(fēng)險管理架構(gòu)
資通安全風(fēng)險管理架構(gòu)
· 本公司資通安全之權(quán)責(zé)單位為信息處，負(fù)責(zé)規(guī)劃、執(zhí)行及推動資通安全
管理事項，并推展資通安全意識。
· 本公司稽核處為資通安全監(jiān)理之查核單位，若查核發(fā)現(xiàn)缺失，旋即要求
受查單位提出相關(guān)改善計劃并呈報董事會，且定期追蹤改善成效，以降
低內(nèi)部資安風(fēng)險。
· 組織運作模式-采 PDCA（Plan-Do-Check-Act）循環(huán)式管理，確?？煽慷?/span>
目標(biāo)之達(dá)成且持續(xù)改善。
一、資通安全政策
1. 維持各資通系統(tǒng)永續(xù)運作
2. 防止黑客、各種病毒入侵及破壞
3. 防止人為意圖不當(dāng)及不法使用
4. 防止機(jī)敏數(shù)據(jù)外泄
5. 避免人為疏失意外
6. 維護(hù)實體環(huán)境安全
二、資通安全具體管理方案
| 管理方案項目 |
管理方案內(nèi)容 |
| 計算機(jī)設(shè)備安全管理 |
- 本公司計算機(jī)主機(jī)、各應(yīng)用服務(wù)器等設(shè)備均設(shè)置于專用機(jī)房，機(jī)房保留進(jìn)出紀(jì)錄存查。
- 機(jī)房內(nèi)部備有獨立空調(diào)，維持計算機(jī)設(shè)備于適當(dāng)?shù)臏囟拳h(huán)境下運轉(zhuǎn)；并放置藥劑式滅火器，可適用于一般或電器所引起的火災(zāi)。
- 機(jī)房主機(jī)配置不斷電與穩(wěn)壓設(shè)備，避免臺電意外瞬間斷電造成系統(tǒng)當(dāng)機(jī)，或確保臨時停電時不會中斷計算機(jī)應(yīng)用系統(tǒng)的運作。
|
| 網(wǎng)絡(luò)安全管理 |
- 與外界網(wǎng)絡(luò)聯(lián)機(jī)的入口，配置企業(yè)級防火墻，阻擋黑客非法入侵。
- 同仁由遠(yuǎn)程登錄公司內(nèi)網(wǎng)存取ERP系統(tǒng)，必須申請VPN賬號，透過VPN的安全方式始能登入使用，且均留有使用紀(jì)錄可稽查。
- 配置上網(wǎng)行為管理與過濾設(shè)備，控管因特網(wǎng)的存取，可屏蔽訪問有害或政策不允許的網(wǎng)絡(luò)地址與內(nèi)容，強(qiáng)化網(wǎng)絡(luò)安全并防止帶寬資源被不當(dāng)占用。
|
| 病毒防護(hù)與管理 |
- 服務(wù)器與同仁終端計算機(jī)設(shè)備內(nèi)均安裝有端點防護(hù)軟件，病毒特征采自動更新方式，確保能阻擋最新型的病毒，同時可偵測、防止具有潛在威脅性的系統(tǒng)執(zhí)行文件之安裝行為。
- 電子郵件服務(wù)器配置有郵件防毒、與垃圾郵件過濾機(jī)制，防堵病毒或垃圾郵件進(jìn)入用戶端的PC。
|
| 系統(tǒng)訪問控制 |
- 同仁對各應(yīng)用系統(tǒng)的使用，透過公司內(nèi)部規(guī)定的系統(tǒng)權(quán)限申請程序，經(jīng)權(quán)責(zé)主管核準(zhǔn)后，由信息室建立系統(tǒng)賬號，并經(jīng)各系統(tǒng)管理員依所申請的功能權(quán)限做授權(quán)方得存取。
- 賬號的密碼設(shè)置，規(guī)定適當(dāng)?shù)膹?qiáng)度、字?jǐn)?shù)，并且必須文數(shù)字、特殊符號混雜，才能通過。
- 同仁辦理離(休)職手續(xù)時，信息室依人資離職通知，進(jìn)行各系統(tǒng)賬號的刪除作業(yè)。
|
| 確保系統(tǒng)的永續(xù)運作 |
- 系統(tǒng)備份：建置分地備份系統(tǒng)，采取日備份機(jī)制，異地計算機(jī)機(jī)房各存一份備份數(shù)據(jù)，且異地建置備援系統(tǒng)，以確保系統(tǒng)與數(shù)據(jù)的安全。
- 災(zāi)害復(fù)原演練：各系統(tǒng)每年實施一次演練，選定還原日期基準(zhǔn)點后，由備份媒體回存于系統(tǒng)主機(jī)，再由使用單位書面確認(rèn)回復(fù)數(shù)據(jù)的正確性，確保備份媒體的正確性與有效性。
- 租用電信公司兩條數(shù)據(jù)線路，透過帶寬管理設(shè)備，兩線路并聯(lián)互為備援使用，確保網(wǎng)絡(luò)通訊不中斷。
|
| 資安倡導(dǎo)與教育訓(xùn)練 |
- 提醒倡導(dǎo)：要求同仁定期更換系統(tǒng)密碼，以維賬號安全。
- 資安倡導(dǎo)：提供資通安全實例文件給同仁參考。
|
三、資通安全的資源投入
資通安全由本公司信息處負(fù)責(zé)，共設(shè)置4人，針對資通安全管理每季會議檢討。針對系統(tǒng)主機(jī)的操作系統(tǒng)或重要軟件升級、災(zāi)害復(fù)原演練等重要的資安工作，信息處每季檢討規(guī)劃執(zhí)行， 并透過不定期的資安健檢，判斷信息設(shè)備資源投入與系統(tǒng)配置是否存在漏洞，編列資安預(yù)算后執(zhí)行；并與司法機(jī)關(guān)簽訂資通安全防護(hù)協(xié)定，建立資通安全聯(lián)防機(jī)制。
四、緊急通報程序
當(dāng)發(fā)生信息安全事件時，發(fā)生單位通報信息處，判斷事件類型并找出問題點，實時處理并留下紀(jì)錄。
