資安聲明

ISO27001
資訊安全政策聲明
  1. 適用範圍
    1. 本公司所有單位。
資訊安全管理涵蓋4類控制措施、93項管理事項，避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，對本公司帶來各種可能之風險及危害。管理事項如下：
      1. 組織控制措施：
        1. 資訊安全政策。
        2. 資訊安全之角色及責任。
        3. 職務區隔。
        4. 管理階層責任。
        5. 與權責機關之聯繫。
        6. 與特殊關注群組之聯繫。
        7. 情資威脅。
        8. 專案管理之資訊安全。
        9. 資訊及其他相關資產之清冊。
        10. 可接受使用資訊及其他相關聯資產。
        11. 資產之歸還。
        12. 資產之分類分級。
        13. 資訊之標示。
        14. 資訊傳送。
        15. 存取控制。
        16. 身分管理。
        17. 鑑別資料。
        18. 存取權限。
        19. 供應者關係中之資訊安全。
        20. 於供應者協議中闡明資訊安全。
        21. 管理ICT供應鏈中之資訊安全。
        22. 供應者服務之監視、審查及變更管理。
        23. 使用雲端服務之資訊安全。
        24. 資訊安全事故管理規劃及準備。
        25. 資訊之評鑑及決策。
        26. 對資訊安全事故之回應。
        27. 由資訊安全事故中學習。
        28. 證據之蒐集。
        29. 中斷期間之資訊安全。
        30. 營運持續之ICT備妥性。
        31. 法律、法令、法規之契約要求事項。
        32. 智慧財產權。
        33. 紀錄之保護。
        34. 隱私及個人可識別資訊(PII)保護。
        35. 資訊安全之獨立審查。
        36. 資訊安全政策、規則及標準的遵循性。
        37. 書面紀錄之運作程序。
      2. 人員控制措施：
        1. 篩選。
        2. 聘用條款及條件。
        3. 資訊安全認知、教育和訓練。
        4. 獎懲過程。
        5. 聘用終止或變更後之責任。
        6. 機密性或保密協議。
        7. 遠端工作。
        8. 資訊安全事件通報。
      3. 實體控制措施：
        1. 實體安全周界。
        2. 實體進入。
        3. 保全辦公室、房間及設施。
        4. 實體安全監視。
        5. 防範實體及環境威脅。
        6. 於安全區域內工作。
        7. 桌面淨空及螢幕淨空。
        8. 設備安置及保護。
        9. 場所外資產之安全。
        10. 儲存媒體。
        11. 支援公用服務事業。
        12. 佈纜安全。
        13. 設備維護。
        14. 設備汰除或重新使用之保全。
      4. 技術控制措施：
        1. 使用者終端設備。
        2. 特殊存取權限。
        3. 資訊存取限制。
        4. 對原始碼之存取。
        5. 安全識別。
        6. 容量管理。
        7. 防惡意軟體。
        8. 技術脆弱性管理。
        9. 組態管理。
        10. 資料刪除。
        11. 資料遮蔽。
        12. 資料洩漏預防。
        13. 資料備份。
        14. 資訊處理設施之備援。
        15. 日誌紀錄。
        16. 監視活動。
        17. 鐘訊同步。
        18. 具特殊權限共用程式之使用。
        19. 對運作中系統之軟體安裝。
        20. 網路安全。
        21. 網路服務的安全性。
        22. 網路區隔。
        23. 網頁過濾。
        24. 加密技術之使用。
        25. 開發生命週期之安全。
        26. 應用程式安全要求。
        27. 安全系統架構及工程原則。
        28. 安全程式設計。
        29. 開發和驗收中的安全測試。
        30. 委外開發。
        31. 開發、測試及運作環境之區隔。
        32. 變更管理。
        33. 測試資訊。
        34. 在稽核測試期間的資訊系統保護。
本公司之內部人員、委外服務廠商與訪客皆應遵守本政策。
  1. 定義
    1. 資訊資產：係指為維持本公司資訊業務正常運作之硬體、軟體、服務、文件及人員。
    2. 營運持續運作之資訊環境：係指為維持本公司各項業務正常運作所需之電腦作業環境。
  2. 資訊安全政策及目標
    1. 資訊安全政策
建立安全可信賴之電子化作業環境，確保資料使用安全，並使各項業務之資訊化作業得以持續不間斷運作，避免資訊遭受不當揭露，維持內部制度管理之有效性。
    1. 資訊安全目標
為維護本公司資訊資產之機密性、完整性與可用性，並保障使用者資料隱私。藉由全體同仁共同努力來達成下列目標：
      1. 保護本公司業務活動資訊，避免未經授權的存取。
      2. 保護本公司業務活動資訊，避免未經授權的修改，確保其正確完整。
      3. 維持資訊系統持續運作確保本公司具備可供業務持續運作之資訊環境。
      4. 辦理資訊安全教育訓練，推廣員工資訊安全之意識與強化其對相關責任之認知。
      5. 執行資訊安全風險評估機制，提升資訊安全管理之有效性與即時性。
      6. 實施資訊安全內部稽核制度，確保資訊安全管理之落實執行。
      7. 本公司之業務活動執行須符合相關法令或法規之要求。
創璟應用整合有限公司（以下簡稱本公司）為強化資訊安全管理，確保所屬之資訊資產的機密性、完整性及可用性，以提供本公司之資訊業務持續運作之資訊環境，並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅，特定此政策規範。