資訊安全政策與管理

精誠為台灣資訊服務產業指標企業，重視利害關係人權益保障，透過持續強化資訊安全與個資隱私管理、並精進運作機制及推動作為，藉此化解內外部利害關係人可能面臨的資安風險與個資侵害課題。本公司循ISO 27001資訊安全管理系統等多項ISO標準，整合跨部門、跨功能資訊能量，成立推動資訊安全與個資保護管理的「資通安全技術處」，並建立符合標準的資訊安全管理制度，負責訂定集團資訊安全政策相關辦法與作業細則，包含「精誠集團資訊安全政策」、「精誠集團資訊安全管理辦法」及相關作業細則，並確實實施各項規定與資安及個資危機事件因應預防演練及管控，規劃執行資訊安全教育訓練，以落實相關管控與防禦作為。

在客戶權益方面，公司對於資訊服務的提供、建置、管理與維運等流程，依據產品與服務性質所衍生的作業方式與服務流程，逐一因地制宜的提供完善機制及申訴程序，如：金融相關產品設有客服中心，產品與系統維護設有線上服務支援中心，提供客戶高品質的支援服務。精誠提供的服務受「資安保密協定」規範，內部訂有「精誠集團個人資料保護管理辦法」控管，2024年並未發生任何經證實違反客戶隱私之事件。

資訊安全管理架構

為確保資訊安全管理運作機制符合國際標準，精誠積極導入國際認證標準驗證，並持續通過經過第三方獨立單位查驗的資安相關ISO 認證。

資安證照

資訊安全專責管理單位

面對資訊安全推動及風險管理議題，精誠於2023年12月成立「資通安全技術處」作為資訊安全專責管理單位；「資安暨個資危機處理小組」作為風險管理委員會下設任務編組單位，負責定期向風險管理委員會匯報資安風險管理執行成效；另由「資安Taskforce委員會」提供集團事業體與關係企業關於資訊安全管理的顧問諮詢、技術服務和資安教育訓練建議。2024年資安Taskforce委員會共召開12次專案會議。資通安全技術處除了綜理集團的資訊安全管理外，也支援已導入ISO 27001事業單位的資安暨個資事件處理。導入ISO 27001的事業單位都已組成資訊安全管理委員會，建置資訊安全風險管理架構，訂定資訊安全政策及具體管理方案。

精誠定期召開會議檢視是否發生資安事件，評估該事件對公司造成之影響與風險，提出具體改善計畫並持續追蹤改善情形。精誠在機敏的資訊服務上，每半年執行一次風險評估及相關檢討。2024年延續往年的風險評估作業，並未發現高風險項目。針對中低風險項目則交由相關單位依決定的控制調整進行處理，並列入後續的追蹤及回報作業。

緊急應變事件職責

持續協助第一線進行數位鑑識，包含現場數位證據之保全、擷取驗證、檢查分析及鑑識分析等。

• 協助第一線單位於最短時間內完成數位證據之蒐證
• 調查評估個資侵害事件範圍及其嚴重程度
• 判斷是否邀集外部顧問、數位鑑識專家協助處理

資訊安全管理機制

資安證照

資安技術與管控作為

客戶隱私權與個人資料保護

精誠由權責單位負責建立個資保護規範，包含個人資料蒐集、處理及利用等有關管理措施，每年進行個資安全事故應變演練，確保個資事件因應及處理能力。另每年進行一次個人資料保護管理審查，確保個人資料保護政策落實執行。精誠取得「BS 10012 : 2017個人資訊管理系統」(PIMS) 國際標準驗證，持續落實個人資訊管理制度並通過續審驗證。精誠內部訂有「精誠集團個人資料保護管理辦法」控管，並設有客戶隱私投訴信箱，2024年並未收到與侵犯客戶隱私權有關的投訴。此外，在2024年亦未收到任何來自政府或執法機構針對客戶資料的資訊請求。

為因應各公司行業別特性之差異，本集團各子公司皆設立個人資料保護法及資通安全管理法兩大體系之法規維護客戶權益，俾利各部門落實對客戶資料之保護，妥善保管客戶資料，在符合法令及授權範圍內合法蒐集、處理及利用客戶資料，並推行個人資料保護及資訊安全管理訓練課程，2024年度全集團同仁個人資料保護宣導及測驗共計7,834人次通過，確保同仁充分了解個人資料處理及保護的重要性，以維護客戶的隱私權。

定期實施各項危機處理演練

為使發生緊急資安危機能迅速應對，資通安全技術處設置6大面向演練，包括社交工程演練、資安演練、弱點掃描、測試機房防災演練、滲透測試、營運持續演練，每年皆規劃1-2次演練，對象涵蓋集團台灣各子公司、測試機房、共用資訊系統等。2024年6大面向演練全數完成，並配合客戶執行供應商資安實地查核超過80場次、支援子公司ISO 27001驗證、精誠NOC ISO 27001內部稽核，及完成回覆客戶供應商稽核問卷逾900份。

2024各項演練執行成效

註：依「國家資通安全通報應變作業綱要」及「防範惡意電子郵件社交工程施行方案」規定進行演練。

資安亮點成果

• 精誠外部資安評級(SecurityScorecard)等級由Level B提升至Level A。
• 精誠外部資安評級(Bitsight) 等級由Basic提升至Intermediate。
• 新增『資安公告專區』，分成以下兩類：
  • 資訊安全月報
    內容：資安宣導、智慧財產權保護、禁止安裝軟體黑名單。
  • 情資分享
    來源：TWCERT/CC台灣電腦網路危機處理暨協調中心、FISAC金融資安資訊分享及分析中心、網路新聞。
• 目前已完成規劃2025 年「社交工程演練」、「災難復原演練」、「滲透測試」、「弱點掃描」等相關資安檢測執行時程。

資訊安全教育訓練

為強化同仁資訊安全意識，2024年持續實施資訊安全相關教育訓練。

• 全集團同仁資訊安全宣導及測驗，共培訓7,876人次。
• 全集團同仁個人資料保護宣導及測驗，共培訓7,867人次。
• 全集團同仁資安通識3小時線上課程，共培訓4,682人次、累計時數14,046小時。
• 專案同仁專業資安課程9小時線上課程，共培訓350人次、累計時數3,150小時。
• 資安種子專業訓練實體課程，共培訓640人次、累計時數8,281小時。
• 全集團同仁資安基礎課程，共培訓221人次、累計時數309小時。