資安政策（ISO/IEC 27001:2022）

壹立方數碼股份有限公司（以下簡稱本公司）基於公司營運需要，依據 ISO/IEC 27001:2022、ISO/IEC 31000:2018、ISO/IEC 31010:2019 等國際標準，及台灣政府法令規定，訂定本公司「資訊安全管理制度」，確保本公司資通訊基礎設施、資訊系統符合公司有關機密性、完整性、可用性及合法性要求，以健全本公司現有管理制度，並沿用國際標準組織所訂定之持續改善 PDCA 循環流程管理模式，整合及強化資訊安全管理體系，建立制度化、文件化及系統化之管理機制，持續監督及審查管理績效，以落實資訊安全管理及業務持續營運之理念，並達到以下之標的：

• ▪1.1 落實本公司資訊安全管理政策。
• ▪1.2 導入資訊安全管理制度。
• ▪1.3 提升本公司資訊安全管理之素養。
• ▪1.4 強化本公司資訊安全管理應變能力。
• ▪1.5 達成資訊安全管理政策量測指標。

本文件為本公司規劃、實作、管理與改善資訊安全管理制度之政策指引，適用於本公司資訊安全管理制度之規劃、實作、管理與改善作業。

3.1 資訊安全管理制度制訂

資訊安全工作小組應依據公司資訊安全管理政策與目標之要求，制訂、維護、推動、監控及改善資訊安全管理制度。本公司資訊安全管理制度要求，係以滿足本公司資訊安全管理風險之要求所訂定，資訊安全工作小組應遵循相關政策及作業規定，督導本公司同仁依規定實施各項作業流程要求。

3.2 資訊安全管理制度審查

本公司資訊安全管理制度由資訊安全管理委員會制定，並經總經理審核後發行實施。

3.3 資訊安全管理制度發行

資訊安全管理制度為本公司受控文件，發行後公司內各單位皆應遵循。受控版本得以紙本或非紙本方式發行；除資安長授權同意外，不得提供本公司以外之人員使用。紙本資訊安全管理制度持有者調離工作職務時，需將紙本資訊安全管理制度交還資訊安全委員會，辦理移交登記。紙本持有者應妥善保管、防止丟失和損壞。資訊安全管理制度有任何更動時，資訊安全委員會應及時通知手冊持有者注意內容之修訂。

3.4 資訊安全管理制度修改

有關修改手冊之建議，應以書面形式向資訊安全委員會提出，並經資安長審核、總經理核准。個別或較微小變動宜採取換頁方式並於修改頁之備註欄內註記，有關文件修改應遵循「ISMS-L2-02 文件與紀錄管理程序書」之規定辦理。

4.1 了解關注方的需求及期望

本公司主要業務為「客製化的系統軟體整合」，依 ISO/IEC 31000 確認內部及外部可能影響 ISMS 之因子，詳細管理程序描述於「ISMS-L3-01 組織全景作業說明書」。在確認本公司資訊安全管理制度之前，將依據「ISMS-L2-01 資訊安全組織管理程序書」確認下列 4.2、4.3、4.4 項目。

4.2 與 ISMS 相關的關注方

確認關注方對 ISMS 相關的要求。

4.3 決定資訊安全管理系統的範圍

本公司將依據全景分析結果將下列三項納入考量後確認資訊安全管理制度的範圍，並將其文件化記錄下來：

• ▪(1) 4.1 中所提及的內部及外部可能影響 ISMS 目的達成之因子。
• ▪(2) 4.2 中所提及的 ISMS 相關的關注方及其要求。
• ▪(3) 組織所執行的活動之間以及與其它組織的活動之間的介面和依存性。

4.4 資訊安全管理系統

依 ISO 27001 之要求事項，建立、實作、維持及持續改善資訊安全管理系統，包括所需過程及其互動。

5.1 領導與承諾

本公司由技術長擔任資訊安全長，負責資訊安全管理相關支援及資源之管控，即為 ISO/IEC 27001 標準中所謂之高階管理階層（Top Management），其在 ISMS 領導與溝通中承諾做到下面所列事項：

• ▪5.1.1 確保公司所發布之資訊安全管理政策和目標，與公司的營運策略方向一致。
• ▪5.1.2 宣導符合 ISMS 要求的重要性。
• ▪5.1.3 調配人力與資源配合執行風險評鑑與進行風險處理。
• ▪5.1.4 將 ISMS 要求與公司業務流程整合，確實要求遵循系統開發資安管理程序、變更管制程序、事故處理管理程序等。
• ▪5.1.5 參與管理審查會，指導並調整管理作為，確保 ISMS 可達成預期的成果。
• ▪5.1.6 指揮與支援人力執行內、外部稽核之矯正措施，並確認改善狀況。

5.2.1 資訊安全管理政策

• ▪5.2.1.1 資訊安全長應在公司內部成立資訊安全管理委員會，負責擬定本公司之資訊安全管理政策。
• ▪5.2.1.2 本公司之資訊安全管理政策於總經理審查核可後，發佈實施。
• ▪5.2.1.3 資訊安全長（以下簡稱資安長）應確保資訊安全管理政策和目標被建立，且與公司策略方向相容。

5.2.1.4 本公司資訊安全管理政策為「基於法令規定及合約要求，提供可信賴的資訊安全管理作業環境，維護資訊系統及資料之合法利用，確保公司業務持續正常運作，達成公司資訊安全管理目標。」

5.2.1.5 資安政策的公告及異動通知：依據「ISMS-L2-01 資訊安全組織管理程序書」中針對「組織間的合作與協調」及「溝通作業」之規定，以適當的形式向員工及外部關注方（業務合作夥伴）進行公告及異動變更通知。

5.3 管理目標

本公司資訊安全工作小組每年應依據「ISMS-L2-07 資訊安全目標與績效量測管理程序書」設定該年度的資訊安全管理目標及 KPI，並依據設定的目標擬定該年度的行動方案並執行監控。

為達成本公司每年所設定資訊安全管理目標，本公司參考 ISO/IEC 27001 國際標準要求，建立公司資訊安全管理制度，對公司資訊安全管理制度實施範圍內之重要資通訊資產採取適當保護措施，以維持資通訊資產的機密性、完整性與可用性，使各項業務能順利且安全的執行，提供客戶優良服務並滿足其資訊安全管理之需求。為確保本公司資訊安全管理制度之實施能夠達成公司營運之需要，各項作業流程應根據本公司資訊安全管理目標，訂定作業流程目標。

5.3.1 資訊安全管理目標檢視重點

資訊安全工作小組應每年檢視與評估本公司之資訊安全管理目標，提出修訂建議，提請本公司資訊安全管理委員會審查核准。檢視與評估重點包括：

• ▪(1) 業務（資訊）服務機密性、完整性、可用性及合規性。
• ▪(2) 資訊安全管理事故之處理。
• ▪(3) 資訊基礎設施、資訊系統與資料備份管理。
• ▪(4) 帳號通行碼設定管理。
• ▪(5) 經媒體揭露之資通安全事故之管理。
• ▪(6) 營運持續維運計畫演練之管理。
• ▪(7) 非計畫性之營運中斷時間之管理。

5.3.2 作業流程目標

各作業流程之目標，在各作業流程中描述與界定，並提請資訊安全管理委員會審查核准。

5.4 組織角色、責任及權限

本公司人力資源部門應確保公司內各級人事執掌及權限，資安長應詳實查核並確認資訊安全管理相關人員之角色、執掌及權限，並確保：

• ▪(1) 確保資訊安全管理制度符合本標準的要求。
• ▪(2) 報告資訊安全管理制度績效給董事會了解。

本公司資訊安全管理之人員職務、執掌及權限，說明詳見「ISMS-L2-01 資訊安全組織管理程序書」。

6.1.1 風險與機會的處理行動（一般要求）

本公司在規劃資訊安全管理制度時，會將 4.1 中所提及的影響因子和 4.2 中提及的要求納入考量來確認需要應對的風險與機會，以：

• ▪(1) 確保資訊安全管理制度能實現預期結果。
• ▪(2) 防止或減少意外的影響。
• ▪(3) 實作持續改善。

除此之外，本公司規劃確認：

• ▪(1) 處理風險與機會的措施。
• ▪(2) 將處理措施整合與實作到資訊安全管理制度程序中。
• ▪(3) 評估這些措施的有效性。

6.1.2 資訊安全風險評鑑

本公司由資訊安全工作小組訂定風險評鑑方法「ISMS-L2-10 風險評鑑與管理程序書」，其內容應：

• ▪(1) 具有資訊安全風險準則，包括風險接受準則、執行資訊安全風險評估的準則。
• ▪(2) 可識別資訊安全風險，包括應用風險評估流程識別管理範圍內資訊喪失機密性、完整性、可用性和合法性之相關風險，並識別風險擁有者。
• ▪(3) 分析資訊安全管理風險：風險發生後可能導致的潛在影響、風險可能發生的可能性（機率）、確定風險等級。
• ▪(4) 評估資訊安全風險：將風險分析結果與風險準則進行比較，並以分析之風險優先順序來進行風險處理。

6.1.3 資訊安全風險處理

本公司之資訊安全管理風險處理流程訂定於「ISMS-L2-10 風險評鑑與管理程序書」中，包含下列各項要求：

• ▪(1) 以風險評鑑結果為依據，選擇適當的風險處理措施。
• ▪(2) 確認所有選定的風險控制措施為必要的。
• ▪(3) 風險處理計劃完成後，應與風險擁有者進行討論，並由風險擁有者確認風險處理計劃之適當性，及殘餘風險之可接受性。

6.2 資訊安全目標及達成目標之規劃

本公司依據「ISMS-L2-07 資訊安全目標與績效量測管理程序書」，於每年的管理審查會議中討論下一年度之資訊安全管理目標，並做成會議記錄，讓資訊安全管理相關人員知悉。訂定次年度之資訊安全管理目標應將下列事項納入考量：

• ▪(1) 與資訊安全管理政策一致。
• ▪(2) 可量測（如可行）。
• ▪(3) 考慮適用的資訊安全管理要求以及風險評估和風險處理結果。
• ▪(4) 與相關資訊安全管理人員溝通。
• ▪(5) 適時更新，例如組織架構變動、法令法規重大變更、公司營運領域或產品線有重大改變等時間點進行檢視，並根據檢視結果作必要之調整。

6.3 產出適用性聲明書

資訊安全工作小組應根據 ISO/IEC 27001 要求，每年審查與修訂資通安全控制措施之「ISMS-L1-02 適用性聲明書」，提請公司資訊安全管理委員會審查核准。

6.4 變更之規劃

當組織決定需要對資訊安全管理系統變更時，本公司依據「ISMS-L2-08 變更管理程序書」之規定執行變更。

7.1 資源

本公司在建立、實作、維持及持續改善資訊安全管理制度的過程中，所需的資源由需求部門主管彙整呈報資訊安全管理制度代表人審查，資安長核可，以便進行各式資源管理（包括人力、時間、費用、各式軟硬體設備、教育訓練等）。

7.2 能力

本公司依據「ISMS-L2-03 人力資源安全管理程序書」，確認：

• ▪(1) 確保人員在適當教育、訓練和經驗的基礎上能夠勝任資訊安全管理工作。
• ▪(2) 提供必要的資訊安全管理教育訓練及技術，並確保教育訓練及技術的有效性。

7.3 認知

人員在本公司的控制下從事其工作時必須有下列認知：

• ▪(1) 資訊安全管理政策。
• ▪(2) 對能有效實施資訊安全管理系統的貢獻，包括資訊安全管理效能改進後的好處。
• ▪(3) 不符合資訊安全管理制度要求的可能影響。

7.4 溝通

本公司依據「ISMS-L2-01 資訊安全組織管理程序書」中針對「組織間的合作與協調」及「溝通作業」所規定之時機、需求、內容、負責人員進行內部及外部溝通，並在溝通完成後，確認溝通之有效性。

7.5 資訊文件化

7.5.1 一般：本公司的資訊安全管理制度文件化包括：

• ▪(1) ISO/IEC 27001:2022 標準中所要求的文件化資訊。
• ▪(2) 所有被文件化的資訊均為資訊安全管理制度必要之文件。

7.5.2 創稿及更新：

• ▪(1) 本公司所有文件均依據「ISMS-L2-02 文件與紀錄管理程序書」進行。
• ▪(2) 無論何時何地需要，它都是可用且適用的。
• ▪(3) 確保其內容的完整性。
• ▪(4) 所使用的版本都是最新的。
• ▪(5) 所有文件都應依其機敏性被分類，且給予適當的保護。只有具有權限的人員才可取得受管控之文件。
• ▪(6) 文件的分發、存取、使用、儲存、保存、修改及刪除的管理。
• ▪(7) 為了規劃及施作本公司資訊安全管理制度，必要時得引用外來文件，如引用外來文件時應妥適的識別及管制。

8.1 運作的規劃和控制

本公司依據下列各項來規劃、施作及控制各項程序來建立資訊安全管理制度：

• ▪(1) 資訊安全管理要求。
• ▪(2) 資訊安全管理目標。
• ▪(3) 資訊安全管理風險管控措施。
• ▪(4) 資訊安全管理風險處理計劃。

本公司將訂定各種必要文件以規劃、建立、實作、監控及持續改善資訊安全管理制度，並確保這些文件化之程序足以實現既定的資訊安全管理目標。本公司依據「ISMS-L2-08 變更管理程序書」，管制已規劃的變更，審查非預期變更的後果，必要時採取措施減少負面影響。當委外處理發生時，本公司依據「ISMS-L2-16 委外安全管理程序書」進行，確保所有的委外作業都在本公司的控制之下執行。

8.2 資訊風險評估作業

本公司依據「ISMS-L2-10 風險評鑑與管理程序書」中所規定的時間或狀態來執行資訊安全管理風險評估，並依管理程序規定留存所有必要記錄。

8.3 資訊安全風險處理

本公司依據「ISMS-L2-10 風險評鑑與管理程序書」規定實作資訊安全風險處理計劃，並依管理程序規定留存所有必要記錄。

9.1 監控、量測、分析及評估

本公司依據「ISMS-L2-07 資訊安全目標與績效量測管理程序書」進行資訊安全管理制度績效評估，該管理程序中應詳細說明：

• ▪(1) 哪些是需要監視和測量，包括資訊安全管理流程和控制措施。
• ▪(2) 監視、測量、分析和評估的方法，應確保結果有效。
• ▪(3) 什麼時候應執行監視和測量。
• ▪(4) 誰應實施監視和測量。
• ▪(5) 什麼時候應對監視和測量的結果進行分析和評估。

9.2 內部稽核

本公司依據「ISMS-L2-04 資訊安全內部稽核管理程序書」進行內部稽核，提供資訊以確定資訊安全管理制度是否：

• ▪(1) 符合本公司資訊安全管理制度的要求，以及 ISO/IEC 27001:2022 標準的要求。
• ▪(2) 有效的實施和維持。

9.3 管理審查

本公司依據「ISMS-L2-05 管理審查管理程序書」進行管理審查。

10.1 不符合事項及矯正措施

當發生不符合時，本公司將依據「ISMS-L2-06 持續改善管理程序書」針對不符合事項分析根因，進行矯正，避免不符合事項之再發生。

10.2 持續改善

本公司將依據「ISMS-L2-06 持續改善管理程序書」持續改進資訊安全管理制度的適用性及有效性。