上市上櫃公司資通安全指引

2. 從三大面向分析如何強化資通安全

政策管理面：制定政策與目標

在任何計畫中，制定政策與目標如同工程的地基，決定了後續所有的議題走向及最終的成效。要訂定我們的藍圖，就需要做到：

• 設立資安專責小組：資安小組成員不是只是掛個名，要負責所有政策的推動、協調、監督有關資安的所有事項，且明確劃分跨部門職責，需經由副總經理以上主管核定制定的政策與目標、定期檢視，讓每一項資安工作都可量化、可追蹤，管理階層能及時看到成效並調整政策。
• 進行資產盤點：全面盤點公司所有資訊資產，依「機密性」、「可用性」、「營運影響度」為每項資產分級，並建立核心系統（如客戶資料庫、公司機密文件、金流平台等）整理成「資訊資產清冊」，能隨時掌握哪些系統對公司最重要、價值最高，並在資源分配上最佳化。
• 規劃應變流程：假設真的發生資安事件要如何應變及通報，是否有明確訂定復原時間目標（RTO）及資料復原時間點目標（RPO），與設置備份機制及計劃，盡可能將損失降到最低。

資安專責小組人力編制規範

資安專責小組人力編制依據「公開發行公司建立內部控制制度處理準則」第九條之一第二項規定辦理，以循序漸進方式推動辦理，其實施範圍及時程如下：

技術面：資安風險管控

當我們已經制定好策略與目標，就是把藍圖轉化為具體的資安防護與控制方法，確保每一項資安政策都能落實：

• 存取權控制及保護：採多重身分驗證（MFA）、設定分層級存取權限，只讓經過授權的使用者或群組存取特定資料，詳細記錄每一次存取行為、重要資料異動、偵測攻擊與未授權之連線、功能錯誤及管理者行為等，並針對日誌建立適當之保護機制。
• 執行弱點修補：針對系統、應用程式或網路中存在的安全漏洞，採取相應措施進行修補，可藉由 VANS 弱點通報系統 自動比對軟體資產之弱點，以利執行軟體資產盤點作業（CPE），落實掌握關鍵資訊系統之潛在弱點（CVE）情況，並進行弱點修補派送。
• 具備資安防控措施：為了築起全面防護，依業務需求劃分獨立邏輯網域（如 DMZ、內網／外網），並隔離開發、測試與正式作業環境；也須部署多層次防護措施：防毒軟體、網路防火牆、電子郵件過濾機制、入侵偵測／防禦系統（IDS／IPS）、進階持續性威脅（APT）防禦，即時警示攻擊行為；資通安全威脅偵測管理機制（SOC）等，才能有效阻絕各式攻擊，並在威脅逼近時迅速偵測、及時回應，將風險降到最低。

認知訓練＆社交工程：落實執行教育訓練

企業最重要的一環就是「人」，透過定期的教育訓練與模擬演練，提升企業員工的資安意識。

• 資安教育訓練：佈達企業資安規範，例如軟體安裝、電子郵件、即時通訊軟體、個人行動裝置及可攜式媒體等管控使用規則，宣導資安重大消息、相關課程等。
• 社交工程演練：對企業員工發送釣魚郵件，像是內部系統異常通知、假冒客戶詢問報價等郵件，針對未通過測試的企業員工加強資安教育訓練。
• 加入資安情資分享組織：可取得資安預警情資、資安威脅與弱點資訊，如所屬產業資安資訊分享與分析中心（ISAC）、臺灣電腦網路危機處理暨協調中心（TWCERT/CC）。

3. 中華龍網可提供什麼產品服務

從「政策管理面」、「技術防護面」到「認知訓練＆社交工程」三大層面全面部署，設立資安專責小組並訂定量化指標，能讓管理階層隨時掌握成效；資產盤點與弱點修補流程，則確保系統風險降低；而多層次的防禦措施與身分存取管控，搭配定期的演練與情資分享，則形成「人、流程、技術」協同運作的安全體系。唯有以這樣的閉環思維，不斷回顧與精進，才能在瞬息萬變的威脅環境中維持韌性，守護企業核心價值與永續發展。

中華龍網提供資安健診、資產盤點、弱點修補等產品及服務，為企業打造可靠的資通安全防護體系，才能在瞬息萬變的威脅環境中，守護企業核心價值與永續發展。

資安檢診諮詢　上市上櫃資安文件專區