
資訊安全管理政策
壹、目的
哈瑪星科技股份有限公司(以下簡稱本公司)為維護整體資訊安全,強化各項資訊資產之安全管理,確保其具機密性、完整性及可用性,並建立安全及可信賴之作業環境,確保資料安全、系統安全、設備安全及網路安全,保障本公司同仁與相關內、外部人員之權益,特訂本政策。
貳、適用範圍
一、本政策適用於本公司全體員工及委外人員
二、為避免人為疏失、蓄意或天災害等因素,導致資料不當使用、洩露、竄改、破壞等情事發生,對本公司帶來各種可能之風險及危害,應考量管理下列事項:
1. 資訊安全政策制定及評估。
2. 組織的資訊安全與分工。
3. 人力資源安全。
4. 資產與風險管理。
5. 存取控制。
6. 加密機制。
7. 實體及環境安全。
8. 作業安全管理。
9. 通訊安全管理。
10. 資訊系統取得、開發及維護。
11. 供應商管理。
12. 資訊安全事件管理。
13. 營運持續管理。
14. 遵循性。
參、名詞定義
無。
肆、目標
一、維護本公司資訊之機密性、完整性及可用性,包括:
1. 保護本公司業務資訊,避免未經授權的存取。
2. 保護本公司業務資訊,避免未經授權的修改,確保其正確完整。
3. 建立資訊業務永續計畫,確保本公司業務之持續運作。
二、本公司之業務執行須符合相關法規要求。
伍、原則
一、所有同仁應充分了解本政策之目的及其職責。
二、部門主管對於本政策及相關作業規範之遵循,應負監督、執行、稽核之職責。
三、公司之資訊資產應定期盤點、分類分級,針對重要資訊資產進行風險評鑑,並據以實施適當防護措施。
四、所有同仁和委外廠商,均須依規定程序及指定措施辦理資訊業務。
五、所有同仁及委外廠商應透過適當通報機制,報告資訊安全事件及資訊安全弱點。
六、任何危害資訊安全之行為人員,視情節輕重追究其民事、刑事及行政責任與相關懲處。
七、定期審查資訊安全管理制度之有效性。
陸、審查
一、本政策至少應每年評估一次,以反映相關法令、技術及業務等最新發展現況,確保維持營運和提供服務之能力。
二、本公司應考量內、外部議題及利害相關者要求,訂定適當之資訊安全管理制度實施範圍,經由管理階層審核、確認後實行。
三、資訊安全管理制度實施範圍應定期或不定期視內、外部環境之變更或執行狀況,如:法令法規之要求、組織異動、資安事件發生、管理制度落實狀況等因素,於管理審查會議進行檢視調整,瞭解利害關係者之需求及期望,如下表所示。
表一:瞭解利害關係者之需求及期望
內部議題 |
外部議題 |
利害關係者 |
利害關係者要求 |
備註 |
組織政策、目標 |
主管機關(經濟部)要求 |
主管機關(經濟部) |
各項法令、法規 |
|
政府單位要求 |
政府單位 |
各項法令、法規 |
|
組織文化 |
N/A |
內部人員 |
組織內部規範 |
|
相關資源需求(包括:人力、技術、預算等) |
N/A |
內部人員 |
訓練 |
|
高階主管 |
績效(KPI) |
|
資訊安全事件資訊技術 |
客戶 |
合約內容(SLA) |
|
供應商 |
合約內容 |
|
ISO國際標準 |
ISO國際組織 |
ISO 27001 |
|
第三方稽核單位 |
|
柒、實施
本政策經資訊安全長核定後實施,得以書面、電子或其他方式通知同仁、與本公司業務有關機關(構)及提供資訊服務之廠商,修正時亦同。