Information Security Policy資訊安全政策

發行日期 2025.03.03　ver3.0
一、政策聲明

本公司承諾建立、實施、維護並持續改進資訊安全管理系統 (ISMS)，以保護本公司為客戶提供網頁系統開發服務、內部原始碼管理、測試環境維護、專案管理及相關支援活動所涉及的資訊資產，確保其機密性 (Confidentiality)、完整性 (Integrity) 與可用性 (Availability)。

本公司理解資訊安全是業務成功的基石，更是對客戶信任的承諾。本政策旨在建立資訊安全文化，確保所有員工、承包商及相關方均能理解並履行資訊安全責任。

二、目的

本政策旨在：

  1. 確立本公司資訊安全管理的整體方向與原則。
  2. 符合 ISO 27001:2022 國際標準及台灣資通安全管理法等相關法律法規要求。
  3. 明確本公司在資訊安全方面的角色、責任及期望。
  4. 保護公司知識產權、客戶資料及營運資訊免受威脅。
  5. 應對不斷變化的資安威脅情資，持續提升資安防禦能力。
三、適用範圍

本政策適用於本公司辦公室及相關作業環境，包括為客戶提供網頁系統開發服務、內部原始碼管理、測試環境維護、專案管理及相關支援活動所涉及的所有資訊資產、流程與人員。

重要責任區分：

本公司 ISMS 主要關注於開發過程、原始碼安全、測試環境安全及本公司內部營運的資訊安全。客戶端生產環境（包括客戶伺服器維護、網路安全、實體安全、作業系統管理、客戶資料保護等）的資訊安全責任歸屬於客戶，本公司僅負責提供安全的程式碼與部署指引。本政策不涵蓋客戶端生產環境的資訊安全管理。

四、資訊安全目標

本公司將致力達成以下資訊安全目標：

  1. 政策與制度持續優化：確保資訊安全政策與相關 ISMS 文件能持續反映最新的資訊安全管理實務、法律法規與公司業務需求。
  2. 核心資產安全與保護：致力於保護本公司核心資訊資產的機密性、完整性與可用性，防範未經授權的存取。
  3. 員工資安意識與技能提升：強化全體員工的資訊安全意識與技能，確保其充分理解並遵守公司資訊安全政策與程序。
  4. 安全開發與產品交付：將資訊安全考量整合至安全軟體開發生命週期SSDLC（Secure Software Development Life Cycle）的各階段，確保交付給客戶的程式碼具有內建安全性，並符合相關安全標準。
  5. 資安事件有效應變與學習：建立並維持有效的資訊安全事件通報與應變機制，將資安事件的影響降至最低，並從中學習以持續改進防禦能力。

本公司將制定具體的資訊安全年度目標與衡量指標，並將其詳列於《資訊安全目標追蹤紀錄表(F-01)》中，透過年度管理審查會議進行確認與審視目標。

五、資訊安全原則

為達成上述目標，本公司將遵循以下原則：

  1. 管理階層承諾與支持 (A.5.4)： 管理階層將持續投入資源，支持 ISMS 的實施與運作，並監督其有效性。
  2. 角色與責任明確 (A.5.2)： 明確定義所有員工的資訊安全角色、職責及義務。
  3. 風險導向思維： 識別、評估並處理資訊安全風險，確保控制措施的有效性與適當性。定期關注威脅情資 (A.5.7) 以應對新興風險。
  4. 職務區隔 (A.5.3)： 於關鍵流程中實施職務區隔，降低潛在的利益衝突或舞弊風險。
  5. 資產管理與分類 (A.5.9, A.5.12)： 建立並維護資訊資產清冊，對資訊進行分類分級與標示，並規範其可接受使用方式 (A.5.10)，確保適當保護。所有關鍵資訊資產應建立並維護安全組態基準，任何變更應受管制。
  6. 存取控制與身分管理 (A.5.15, A.5.16, A.5.17, A.5.18)： 實施基於最小權限原則的存取控制，確保只有授權人員才能存取所需的資訊資產。
  7. 供應商關係管理 (A.5.19, A.5.20, A.5.21, A.5.22, A.5.23)： 評估並管理與所有供應商（包括雲端服務、ICT 供應鏈）的資訊安全風險，將資安要求納入合約。
  8. 安全軟體開發生命週期 (A.8.25)： 將資訊安全考量整合至軟體開發的每個階段，從需求分析、設計、編碼、測試到部署，確保產品的內建安全。
  9. 變更管理 (A.8.32)： 對於內部系統、開發工具、測試環境及原始碼的任何變更，均實施受控的變更管理流程。
  10. 事件管理與學習 (A.5.24, A.5.25, A.5.26, A.5.27, A.5.28)： 建立健全的資安事件管理機制，包括事件通報、評估、回應、從中學習並蒐集證據。
  11. 業務持續性 (A.5.29, A.5.30)： 確保在業務中斷期間，資訊安全控制措施依然有效，並保障內部 ICT 系統的恢復能力。
  12. 隱私與個人資料保護 (A.5.34)： 嚴格遵守台灣個人資料保護法，保護客戶與員工的個人資料隱私。
  13. 智慧財產權： 公司承諾保護其自身及第三方的智慧財產權，並遵守相關法律法規(A.5.31)。
  14. 持續改進： 透過定期內部審查 (A.5.35)、稽核 (A.5.36) 和管理審查，識別改進機會，確保 ISMS 的持續適用性與有效性。
六、責任與義務
  1. 最高管理階層的責任 確保資訊安全策略與公司整體目標一致，提供必要的資源，並監督管理系統的持續改進。
  2. 資訊安全長的責任 制定與審閱資訊安全政策，督導風險管理，並定期向最高管理階層報告資安狀況與合規性。
  3. 稽核負責人的責任 定期執行獨立的內部稽核，評估資安管理系統的有效性，並提出改善建議。
  4. 資訊安全執行小組的責任 協助推動與執行資安制度，處理資安事件，並參與日常運作與改善。
  5. 文件管制人員的責任 負責所有資安文件的版本控制、正確存儲與更新，確保其合規性。
  6. IT技術支援與資安應變小組的責任 維護公司所有資訊設施的安全，執行技術控制措施，並處理資安事件與漏洞管理。
  7. 員工的責任 遵守資安政策，保護公司資訊資產，並及時報告可疑事件。
  8. 第三方供應商的責任 應符合公司的資安標準，並在合約中明訂資安條款。
七、政策符合性與違規處理

所有員工、承包商及相關方均有責任遵守本政策。任何違反本政策的行為，將依照公司內部規章及相關法律法規，採取適當的紀律處分或法律行動 (A.6.4)。

八、政策審查

本政策及所有相關的資訊安全程序文件應納入公司管理審查會議的議程。此外，在發生重大公司變革、技術變更、法律法規更新或資安威脅情勢變化時，由管理階層適時更新，以確保其持續的適用性與有效性。