資訊安全政策與管理

精誠為台灣資訊服務產業指標企業，重視利害關係人權益保障，透過持續強化資訊安全與個資隱私管理、並精進運作機制及推動作為，藉此化解內外部利害關係人可能面臨的資安風險與個資侵害課題。本公司循ISO 27001資訊安全管理系統等多項ISO標準，整合跨部門、跨功能資訊能量，成立推動資訊安全與個資保護管理的「資通安全技術處」，並建立符合標準的資訊安全管理制度，負責訂定集團資訊安全政策相關辦法與作業細則，包含「精誠集團資訊安全政策」、「精誠集團資訊安全管理辦法」及相關作業細則，並確實實施各項規定與資安及個資危機事件因應預防演練及管控，規劃執行資訊安全教育訓練，以落實相關管控與防禦作為。

在客戶權益方面，公司對於資訊服務的提供、建置、管理與維運等流程，依據產品與服務性質所衍生的作業方式與服務流程，逐一因地制宜的提供完善機制及申訴程序，如：金融相關產品設有客服中心，產品與系統維護設有線上服務支援中心，提供客戶高品質的支援服務。精誠提供的服務受「資安保密協定」規範，內部訂有「電子商務個人資料處理程序」控管，2023年並未發生任何經證實違反客戶隱私之事件。

資訊安全管理架構

為確保資訊安全管理運作機制符合國際標準，精誠積極導入國際認證標準驗證，並持續通過經過第三方獨立單位查驗的資安相關ISO 認證。

資安證照

資訊安全專責管理單位

面對資訊安全推動及風險管理議題，精誠於2023年12月成立「資通安全技術處」作為資訊安全專責管理單位；「資安暨個資危機處理小組」作為風險管理委員會下設任務編組單位，負責定期向風險管理委員會匯報資安風險管理執行成效；另由「資安Taskforce委員會」提供集團事業體與關係企業關於資訊安全管理的顧問諮詢、技術服務和資安教育訓練建議。資通安全技術處除了綜理集團的資訊安全管理外，也支援已導入ISO 27001事業單位的資安暨個資事件處理。導入ISO 27001的事業單位都已組成資訊安全管理委員會，建置資訊安全風險管理架構，訂定資訊安全政策及具體管理方案。

精誠定期召開會議檢視是否發生資安事件，評估該事件對公司造成之影響與風險，提出具體改善計畫並持續追蹤改善情形。精誠在機敏的資訊服務上，每半年執行一次風險評估及相關檢討。2023年延續往年的風險評估作業，並未發現高風險項目，針對中低風險項目則交由相關單位依決定的控制調整進行處理，並列入後續的追蹤及回報作業。

緊急應變事件職責

持續協助第一線進行數位鑑識，包含現場數位證據之保全、擷取驗證、檢查分析及鑑識分析等。

• 協助第一線單位於最短時間內完成數位證據之蒐證
• 調查評估個資侵害事件範圍及其嚴重程度
• 判斷是否邀集外部顧問、數位鑑識專家協助處理

資訊安全管理機制

資安證照

資安技術與管控作為

客戶隱私權與個人資料保護

精誠由權責單位負責建立個資保護規範，包含個人資料蒐集、處理及利用等有關管理措施，每年進行個資安全事故應變演練，確保個資事件因應及處理能力。另每年進行一次個人資料保護管理審查，確保個人資料保護政策落實執行。精誠取得「BS 10012 : 2017個人資訊管理系統」(PIMS) 國際標準驗證，持續落實個人資訊管理制度並通過續審驗證。精誠提供的服務亦受「資安保密協定」規範，內部訂有「電子商務個人資料處理程序」控管，並設有客戶隱私投訴信箱，2023年並未收到與侵犯客戶隱私權有關的投訴。此外，在2023年亦未收到任何來自政府或執法機構針對客戶資料的資訊請求。

為因應各公司行業別特性之差異，本集團各子公司皆設立個人資料保護法及資通安全管理法兩大體系之法規維護客戶權益，俾利各部門落實對客戶資料之保護，妥善保管客戶資料，在符合法令及授權範圍內合法蒐集、處理及利用客戶資料，並推行個人資料保護及資訊安全管理訓練課程，2023年度全集團同仁個人資料保護宣導及測驗共計7,834人次通過，確保同仁充分了解個人資料處理及保護的重要性，以維護客戶的隱私權。

定期實施各項危機處理演練

為使發生緊急資安危機能迅速應對，資安暨個資危機處理小組設置五大面向演練，包括社交工程演練、資安演練、弱點掃描、測試機房防災演練、資訊系統復原演練，每年皆規劃1~2次演練，對象涵蓋集團台灣各子公司、測試機房、共用資訊系統等。2023年五大面向演練全數完成，並配合客戶執行供應商資安實地查核超過50場次、支援子公司ISO 27001驗證、精誠NOC ISO 27001內部稽核，及完成回覆客戶供應商稽核問卷逾700份。

【社交工程演練】為持續增進員工對郵件安全意識，每年實施兩次演練，2023年兩次社交工程演練測試結果符合「國家資通安全通報應變作業綱要」及「防範惡意電子郵件社交工程施行方案」規定，惡意郵件開啟率與連結點擊率結果均符合合格率目標(8%, 6%)，歷年演練已逐漸降減整體點擊惡意郵件情形，顯示資安意識的提升。

• 2023 上半年4,549 個測試帳號：惡意郵件開啟率8% 、惡意郵件連結點擊率 1.17%
• 2023 下半年4,770個測試帳號：惡意郵件開啟率7.21% 、惡意郵件連結點擊率 0.25%

【測試機房防災演練】測試機房演練模擬機房火災發生情形，並做出相對應變，例如模擬疏散至避難集合地點、向單位主管及消防自衛編組指揮官回報災情等。此外，每週各機房使用單位代表皆會針對消防、溫度、監視器等面向，進行機房檢核，並填具檢核紀錄至測試機房管理網站，統計安檢異常類別及據點。

2023各項演練執行成效

註1：依「國家資通安全通報應變作業綱要」及「防範惡意電子郵件社交工程施行方案」規定進行演練。

資安升級計畫

2023年持續推動「集團資安精進計畫」，執行項目包括「SSDLC建置與導入」、「外部資安評級等級提升」及「提高社交工程演練難度，測試方式從每人每次兩封不同測試樣本信件增加成三封」，以提升同仁資安意識程度。另外因應主管機關要求，2023年12月成立資安專責單位，並配置資安專責主管及資安專責人員等編制。
目前已完成規劃2024 年「社交工程演練」、「災難復原演練」、「滲透測試」、「弱點掃描」等相關資安檢測執行時程。

資訊安全教育訓練

為強化同仁資訊安全意識，2023年持續實施資訊安全相關教育訓練。

• 全集團同仁資訊安全宣導及測驗，共培訓7,818人次。
• 全集團同仁個人資料保護宣導及測驗，共培訓7,834人次。
• 全集團同仁資安通識3小時線上課程，共培訓4,339人次、累計時數13,017小時。
• 專案同仁專業資安課程9小時線上課程，共培訓149人次、累計時數1,341小時。
• 資安種子專業訓練實體課程共38堂，共培訓852人次、累計時數10,893小時。