資訊安全政策及管理方案
資訊安全管理
資通安全風險管理架構
  • 本公司資訊安全之權責單位為資訊部,並設置資安主管乙名,專責的資安人員乙名,負責訂定內部資訊安全政策、規劃暨執行資訊安全作業與資安政策推動與落實,並定期向永續發展委員會及董事會報告公司資安治理概況,近期報告日期為2023年3月14日。
  • 本公司稽核室為資訊安全監理之督導單位,該室設置稽核主管與專職稽核人員,負責督導內部資安執行狀況,若有查核發現缺失,旋即要求受查單位提出相關改善計畫與具體作為,且定期追蹤改善成效,以降低內部資安風險。
  • 組織運作模式-採 PDCA(Plan-Do-Check-Act)循環式管理,確保可靠度目標之達成且持續改善。
資通安全政策及具體管理方案
本公司資通安全管理機制,包含以下三個面向:
(一)制度規範:訂定公司資訊安全管理制度,規範人員作業行為。
(二)科技運用:建置資訊安全管理設備,落實資安管理措施。
(三)人員訓練:進行資訊安全教育訓練,提升全體同仁資安意識。
管理措施說明如下:
  • 制度規範:
    台灣東洋內部訂定多項資安規範與制度,以規範本公司人員資通安全行為,每年定期檢視相關制度是否符合營運環境變遷,並依需求適時調整,具體實施項目說明如下:
    (1) 落實台灣智慧財產管理規範:
    台灣東洋為強化智財管理,自2015年導入台灣智慧財產管理規範(Taiwan Intellectual Property Management System,簡稱 TIPS),每年定期執行內部稽核,每2年執行外部稽核,以強化本公司機密資料之作業管理。2022年取得經濟部工業局TIPS 認證,證書有效期間至2024年12月31日。
    (2) 提升營業秘密管理措施:
    台灣東洋為提升內部營業秘密管理,於2020年協同資安顧問公司進行營業秘密盤點,檢視和優化內部管理制度,針對各層級之營業秘密資料實施不同的管控措施,確保營業秘密資料之使用、傳輸和保存安全無虞。
    (3) 定期執行資安風險評鑑:
    台灣東洋遵從ISO 27005風險評鑑原則,定期實施內部資安風險評鑑,根據資訊資產價值、弱點、威脅與影響性,分析內部風險水平,並以此風險評鑑結果制定安全措施強化項目,精進且提升整體資通安全環境。
  • 科技運用:
    台灣東洋為防範各種外部資安威脅,除採多層式網路架構設計外,更建置各式資安防護系統,以提升整體資訊環境之安全性。此外,為確保內部人員之作業行為符合公司制度規範,亦設計作業程序和導入資安系統工具,落實人員資通安全管理措施。具體實施項目如下:
    (1) 外部威脅
    台灣東洋為防範外部駭客入侵與電腦病毒威脅,除建置防火牆、防毒 / 防勒索系統等資通安全系統外,亦透過弱點掃描發掘系統潛在弱點與漏洞,並予以修補改善。
    (2) 權限管理
    台灣東洋採最小權限原則管理內部系統與資料之存取權限,人員無法使用非經授權之系統功能,亦無法檢視非職務所需之系統資料。此外,為確保權限配置妥當,每年定期執行權限盤點作業,審視人員與系統之權限配置之正確性。
    (3) 存取控管
    台灣東洋為強化系統存取控管機制,除透過多層式網路架構管理不同用途之系統、限制外部存取之連線方式外,另配有資訊行為監管系統,記錄人員的資訊行為歷程,自動偵測異常存取行為,並即時通報管理人員進行處置。
    (4) 系統可用性
    台灣東洋為確保內部系統運作之穩定性,和縮短系統異常之服務中斷時間,內部具有可用性監控系統,24小時自動偵測系統之運作狀態,於系統異常時自動通報人員處理。此外,亦根據資訊系統重要程度建立相應之備份備援機制、異地備援措施,每年定期執行災害復原演練,確保備援機制運作正常。
  • 人員訓練:
    台灣東洋每季定期實施新進人員資通安全教育訓練實務課程,並建置數堂線上學習(E-Learning)資通安全課程,藉以提升內部人員資安知識與專業技能,2022年受訓之新進人員全數通過測驗,一般員工100%全部完成線上課程閱讀並通過考試。
投入資通安全管理之資源
在後疫情時代,全球企業仍然不斷遭受駭客以不同的入侵手法攻擊,台灣東洋資安防護策略也應予以調整,因應此發展趨勢,我們將從以下幾大重要方向進行整體的規劃,其執行細節說明如下:
  • 機房安全
    為了機房主機及檔案伺服器存取控管安全性,公司已完成建置超融合主機架構及專業級的檔案伺服器解決方案,並持續汰換更新異地備援的設備架構,以期建立更即時、彈性及完善的備援機制,來因應本公司營運不斷成長的需求。
  • 外部連線存取
    為了避免因人員使用VPN服務而造成帳號密碼外洩,導致駭客入侵的威脅,在人員的識別及認證部份,已啟用多因素認證因子機制來加以強化,以提高連線存取安全性。
  • 內/外部網路控管
    對內部份
    根據國內資安機構的安全報告,有80%的入侵及威脅來自內部網路的使用行為不當,有鑑於此,公司已導入知名的內網安全監控產品,有效過濾內部網路每一台連線的端點設備,在非經授權的設備是無法存取內部網路,避免勒索病毒的入侵威脅,以確保公司網路使用的安全性。
    對外部份
    持續導入新世代的防火牆設備,對公司整體進/出的網路封包過濾及防範更加有效率,並可在潛在威脅發生時作有效的阻擋及防範手段,降低公司被入侵的威脅機會。
  • 專業資安檢測
    為了降低系統漏洞攻擊風險,除了保持主機系統更新至最新版本外,公司亦定期針對重要主機進行弱點掃描檢測,並依檢測結果執行相關弱點修復,以降低駭客透過弱點入侵系統之風險。
  • 落實預防演練
    每年定期執行本地、異地備援還原演練,針對重要主機系統環境與資料建立自動備份和備援機制,確保人員於災害發生能順利恢復系統運作。於2023年分別舉辦1次災難還原演練及1次的異地備援還原演練,均順利完成以確認機制有效性。
  • 人員資安意識
    為了強化人員資安風險意識,於2023執行社交工程演練作業,讓人員對於來源可疑的郵件可以提高警覺性,以降低資料外洩風險,並搭配線上資安訓練課程與課後測驗,讓人員可以掌握最新的資安訊息,以提高風險意識。於2023年資通安全線上課程,全體員工均完成教育訓練並通過考試。
除了上述資安管理重點方向外,台灣東洋亦著手針對國際規範ISO 27001進行評估導入的可能性,透過其嚴謹制度來完整化公司的作業程序,並朝向通過驗證的目標及接軌國際規範。
資安事件通報程序
本公司資通安全通報程序如下,資安事故之通報與處理,皆遵守該程序之規範進行。

TOP