明莘科技有限公司 | M-Think Technology Co.,Ltd.

關於我們
最新消息

明莘公告

最新專案
服務項目

資訊系統整合服務

客製化系統開發

IOT服務應用

活動系統整合方案

研討會論文及報名系統

主題式形象網站

視覺整合設計

數位學習系統
認證與專利

ISO27001

專利
精選專案
客戶群

2019 iSNST 國際研討會

回上一頁

709001 台南市安南區安和路一段220巷93弄5-6號

+886-6-2430053

sam@m-think.com.tw

資訊安全政策

1. 目的

鑑於資訊安全乃維繫各項服務安全運作之基礎，為確保明莘科技有限公司（以下簡稱本公司）具備共識落實資訊安全的使命，特訂定資訊安全手冊（以下簡稱本文件），做為本公司資訊安全管理系統的最高指導原則。

2. 適用範圍

本公司資訊安全管理系統範圍包含軟體開發、維運、網路基礎設施、主機區域、對外專案測試環境，及辦公環境相關作業。依據 ISMS02-13適用性聲明書，版次：v2.0，發行日期：2022年6月16日。

3. 組織與權責

為確保資訊安全管理系統能有效運作，應明定資訊安全組織及權責，以推動及維持各類管理、執行與查核等工作之進行。

4. 政策

4.1 資訊安全政策

4.1.1 維持資訊系統持續運作。

4.1.2 防止駭客、病毒等入侵及破壞。

4.1.3 防止人為意圖不當及不法使用。

4.1.4 維護實體環境安全。

5. 目標

本公司資訊安全目標為確保核心系統管理業務（意即ISO/IEC 27001:2013 驗證範圍內之資訊系統與相關管理活動）之機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。各單位依其職能，並依照「風險管理程序」與「資訊安全目標與績效管理程序」定義及量測資訊安全績效之量化指標，以確認資訊安全管理系統實施狀況及是否達成資訊安全目標。

5.1 機密性：應避免本公司任何敏感資訊外洩或未經授權之揭露。

5.2 完整性：應確保本公司敏感資料之正確性。

5.3 可用性：應確保本公司所持有的重要系統或資料的可用性。

6. 資訊安全管理系統

依據 ISO/IEC 27001：2013 指導規範之『規劃—執行—檢查—行動』模式，發展、維護及持續改善文件化的資訊安全管理系統，內容說明如後：

6.1 安全政策

訂定資訊安全政策做為資訊安全管理系統的指導方針，經由管理階層核准、頒行，並透過適當管道，宣導給全體同仁，且於重大改變時或定期審查，以確保其適當性與有效性。

6.2 全景分析

透過風險評鑑會議或其它型式會議，考量內外部議題與利害相關者要求進行全景分析。

6.3 資訊安全組織

成立資訊安全組職並賦予相對權責，以建置與維運此系統。

6.4 人力資源安全

6.4.1 將資通安全職責載入人員之工作職掌或僱用合約中，且人員須簽署該份文件。

6.4.2 管理階層須要求人員遵循既定的安全規範。

6.4.3 政策與程序須透過適當的教育訓練，告知相關人員並定期更新。

6.4.4 所有人員於離開工作崗位時，須按照既定的程序辦理相關資產退回與存取權限的變更或取消。

6.4.5 違反資安規範時，須施以適當的懲戒，以確保安控規範之實施成效。

6.5 資產管理

6.5.1 鑑別所有資產，將重要的資產作成清冊並維護之。

6.5.2 所有資訊資產都要指派專人管理。

6.5.3 根據資訊本身的價值、法律上的要求、敏感性或重要性等因素，區分其等級並做適當的標示，以妥當保護資訊資產。

6.6 存取控制

6.6.1 須有存取控制機制文件，以便遵循。

6.6.2 核心系統或關鍵業務流程應有使用者註冊、變更與刪除流程並定期審查權限。

6.6.3 使用者使用資訊處理設施，須設定使用密碼。

6.6.4 訂定辦公桌與螢幕淨空措施。

6.6.5 訂定網路服務機制，以維護網路安全。

6.6.6 訂定遠端連線時限與系統連線時限，以保護系統安全。

6.6.7 訂定應用系統之存取控制與隔離機制，以保護其相關的資訊。

6.7 密碼學

6.7.1 若使用金鑰加密資訊（如：購買之SSL數位憑證/終端機連線金鑰/憑證），應妥善保管金鑰，且熟悉如何更新（或下載）金鑰與汰換。

6.7.2 非公開資料資訊（如：個資或營業秘密）的傳輸或保存，應視實際需求予以加密或其它安全保護方式。

6.8 實體及環境安全

6.8.1 規範實體安全界限、進出管制方式、保護辦公處所及設備、載明在安全區域中工作的規範。

6.8.2 設備妥為安置與保護、提供適當服務之公共設施（包括電力、空調、消防）、傳輸線需考慮其佈置安全性，及有適當的方法保護在公司內、外使用的設備。

6.9 作業（運作）安全

6.9.1 以實際系統運作狀況規劃資訊處理設施的需求，且採購時要確實執行驗收工作；設施運作時若需變更，須依據變更管理程序執行系統變更。

6.9.2 系統開發、測試環境應予以區隔（如：網路區隔、實體區隔）。

6.9.3 建立防範惡意程式碼之機制。

6.9.4 定期備份核心系統資料，以維持服務之完整性與可用性。

6.9.5 隨時監督系統使用狀況，並記錄之，同時妥善保存核心系統軌跡紀錄(Logs)，以防止遭受竄改或破壞。

6.10 通訊安全

6.10.1 須有網路安全控制機制（如：防火牆）以維護網路安全。

6.10.2 業務應用系統、電子商務、電子郵件與即時傳訊軟體（Instant Messenger）等，均須有適切的保護措施。

7.10.3 資訊傳遞應視資訊機密等級，予以安全地傳送。

6.11 系統獲取、開發與維護

6.11.1 開發資訊系統應考慮資訊安全需求。

6.11.2 開發資訊系統時，以變更控制程序管控需求變更。上線時，原始程式密碼、執行碼與測試資料均要管控。

6.11.3 採購套裝軟體與一般軟體，均要防範秘密通道與木馬程式，並嚴格控管使用與修改。

6.11.4 委外軟體開發須有安全控管機制。

6.11.5 適時評估資訊系統的漏洞所造成的風險，採取適當措施，以保護資訊的安全。

6.11.6 系統上線前應進行安全測試。

6.11.7 系統開發的驗收階段，應確保功能皆符合規劃階段。

6.12 供應商關係

6.12.1 資通訊委外服務應於合約或第三方協議中考慮資訊安全要求。

6.12.2 應定期或不定期監督供應商服務過程是否符合本公司資安要求。

6.12.3 應確保第三方之複委託機構亦應遵守本公司資安要求。

6.12.4 合約變更、調整應以不影響本公司資訊安全為最高原則。

6.13 資訊安全事故管理

6.13.1 人員有回報資安事件、弱點與軟硬體失能的責任，並從中學習以改善資訊安全環境。

6.13.2 訂定資訊安全事件/事故管理規範。

6.13.3 確實記錄與蒐集相關資安紀錄。

6.13.4 定期彙總分析資訊安全事件/事故，以採取適切的管控措施。

6.14 營運持續管理

6.14.1 明訂營運持續運作的管理流程。

6.14.2 執行營運持續運作的計畫。

6.14.3 審查營運持續運作計畫的結果，以維持其適合性。

6.15 遵循性管理

6.15.1 鑑別適用的法令及規章，以確保法規與密碼學要求的符合性。

6.15.2 訂定使用智慧財產之相關要求。

6.15.3 保障個人資訊與隱私權。

6.15.4 妥善保守公司重要之資訊紀錄。

6.15.5 定期審查安全政策與技術之符合性。

6.15.6 依「管理審查程序」週期性的對資訊安全管理系統進行審查及確認，資訊安全的控制目標、控制措施、政策、過程及程序的作法。透過稽核制度防止舞弊事件。

訪客人數：259264