资通安全管理 - M31 Technology Corporation

资通安全管理

资通安全风险管理架构及风险评估皆由本公司資訊安全委員會作业。

本公司已于2025年1月取得ISO/IEC 27001:2022信息安全管理系统认证(证书序号TW25/00000036)

资通安全风险管理架构

信息安全委员会由总经理担任主任委员，并指派信息中心主管为执行秘书，统筹信息安全相关事宜。信息安全委会会成员由本公司高阶主管、风险管理部门、业务部门等单位主管或代表担任，协助信息安全相关作业的进行。

信息安全委员会委员将负责研议信息安全政策及审查信息安全相关规范，并将决策交由相关部门来执行。信息安全委员会执行秘书将协调信息安全执行小组与紧急处理小组执行信息安全相关作业，负责对信息安全状态进行预警、监控并对信息安全状况与事件进行处置，以及监督信息安全目标之执行与达成状况。

资通安全政策

持续改善与强化本公司信息安全管理，确保所属之资讯资产的机密性、完整性及可用性，并符合相关法令、法规与契约之要求，建立与维护安全、可信赖、及业务持续运作之资讯环境，使其免于遭受内、外部的蓄意或意外之威胁，保障信息资产安全。

M31以ISO系统PDCA (Plan → Do → Check → Action)管理循环模式来确保其资安风险目标之正确性与行动方案之有效性，并在合理可行的代价之下，尽量消除未来的不确定资安风险因素，确保公司资讯安全管理目标之达成与持续改善。

资通安全目标

确保本公司信息作业均符合相关法令规定要求。
确保全体人员了解其信息安全责任，保护信息资产，减少发生信息安全事件之风險。
确保本公司信息资产之机密性，落实存取控制，信息资产需经授权方可访问。
确保本公司信息作业管理之完整性与资料正确性，避免未经授权之修改。
确保本公司信息作业之持续运作，符合营运服务水平要求。

ISO 27001 证书

ISO 27001稽核报告

具体管理方案与投入资通安全管理之资源

本公司对于信息安全控管相当重视，在信息安全保护所实行之具体作法主要以五个方面进行资通安全管理：

员工管理

公司于员工任用时，与受雇员工签订「聘雇合约书」，于合约中约定，受雇员工在受雇期间之所有的创作及发明，其知识产权应归属于公司。同时，亦与受雇员工签订详尽的「保密合约」，不論聘雇合约期间或终止后，受雇员工对任职期间所接触到之所有商业信息、技术、制程、程序、流程、设计或其他任何可用于设计、销售或经营之公司机密信息，皆应尽保密之责，如有违反契约之行为，公司得依照工作规则给予惩处，并视情节重大情形，追诉其民刑事责任。公司利用各样会议不定期对员工进行倡导，包含营业机密保护、门禁管制规则、对外信息揭露原则等等，务使员工建立正确的观念并且养成好的工作习惯。

装置控管

公司计算机设备皆需安装防病毒软件并由系统判定符合规范之计算机才给与网络连接权限。非经公司许可之计算机设备严禁接入公司网络，如有未经许可之设备接入系统将自动进行网络封锁，以避免不符规范之计算机装置影响公司内部网络与设备。

权限管理

公司同仁登入个人计算机需通过双因素身分验证(系统账号密码 + OTP一次性密码)，以避免账号被窃取冒用的情况发生。各研发项目皆有严格权限控管，项目成员需提出窗体申请，经主管同意后由信息管理人员设定访问权限，并且每半年进行一次访问权限复核，以确保权限管理之正确性。

资料管理

公司研发相关数据皆存放于专业型储存设备中，具有高可用性的备援能力，项目研发数据皆有权限控管，仅允许授权成员进行存取。公司研发数据有完整的定期备份机制，并采取异地存放，以确保灾难发生时的复原（Disaster Recovery）能力。

输出管理

产品交货给客户时需完成申请作业，经相关主管、业务承办人员同意后，由系统将数据加密后直接上传到公司提供予客户下载之专属空间，不经任何人工操作的介入，且此专属空间仅允许客户提供之特定IP设备联机，联机开放时间以一个月为限。

类型	项目	防范目的	投入资通安全管理资源说明
员工管理	信息安全倡导	预防降低中毒机率	新进人员资安倡导定期对员工进行国内外重大资安异常事件案例分享。
装置控制	防病毒软件非信任装置阻挡	预防中毒	资安系统采购与建置系统判定符合规范之计算机才给与网络连接权限。如有未经许可之设备接入系统将进行网络封锁。
权限管理	双因素身分验证专案权限控管	避免账号冒用	双因子认证系统建置同仁登入个人计算机需通过双因素身分验证(系统账号密码 + OTP一次性密码)，以避免账号被窃取冒用的情况发生。内部研发管理系统开发各研发项目皆有严格权限控管，项目成员需提出窗体申请，经主管同意后由信息管理人员设定访问权限。
资料管理	专业型储存设备本地备援架构异地数据备份	避免数据丢失	专业型储存设备采购具有高可用性的备援能力，项目研发数据皆有权限控管，仅允许授权成员进行存取。专业型被软软件采购公司研发数据有完整的定期备份机制。采取异地存放，以确保灾难发生时的复原能力。
输出管理	系统自动化抛转专属加密空间	避免数据外泄	内部出货管理系统开发产品交货给客户时，需申请表单，经相关主管、业务承办人员同意后，由系统将数据加密后直接上传到公司提供予客户下载之专属空间，不经任何人工操作的介入。专属空间仅允许客户提供之特定IP设备联机，联机开放时间以一个月为限。

资通安全管理执行概况

于2024年8月6日报告董事会本年度之执行重点如下：

项目	执行细节	执行成效
Internet 防火墙更新	原先旧的Internet防火墙稳定性不佳，已影响包含邮件收发与客户数据传输交换，且资安防护功能较为基础，考虑营运稳定性以及日益严峻的资安环境，计划进行汰换升级。新防火墙提供较细腻的应用程序分类与管控，并有着较强大的硬件规格可提升整体网络处理流量的效能。	提升整体营运环境稳定度，并提供更强大的网络流量处理效能与更严谨的网络应用程序分类与管控，目前无重大资安事件。
端点资安管控软件导入	为加强对于笔记本电脑的管控，经测试后导入端点防护软件，区分用户部门设定不同的安全原则，在设备离开公司网络后仍可确保，装置有一定的安全防护能力，并降低数据外泄之风险。	提升笔记本电脑的安全防护能力，软件布署率100%。
电子邮件系统防御能力提升	在原本的邮件防护系统上加购 ADM进阶防御模块，运用云端沙盒技术，仿真产出静态特征，拦截附件及档案夹带零时差(Zero-day)恶意软件、APT攻击工具，提升整体邮件的防护能力。	提升钓鱼邮件的拦阻能力，目前无重大资安事件。
社交工程演练	于2023 Q4执行社交功能演练，共发送邮件290封，全体员工通过率为91%，于演练过后寄送社交工程邮件应对说明公告，并于公司内部网站首页倡导信息安全政策，以提升全体同仁的资安意识。	提升同仁对于钓鱼邮件的应对能力，目前无重大资安事件。