為確保本公司提供電腦系統具有一致性基本系統安全防護能力，擬透過各項資訊安全評估作業，發現資安威脅與弱點，藉以實施技術面與管理面相關控制措施，以改善並提升網路與資訊系統安全防護能力。

1. 資安防護方面，本公司對外建置網路防火牆，對內建置防毒軟體，且定期進行弱點掃瞄，修補漏洞，以保護核心資訊系統。
2. 資訊安全檢測方面，每年定期針對核心系統進行弱點掃描。
3. 資訊安全宣導方面，每年舉行社交工程演練，提高員工對於釣魚網站的識別與警覺。並定期舉行資通安全講習，提昇員工資訊安全意識，降低駭客滲透之風險。
4. 資安通識教育訓練 : 每人每年上課 3 小時 依據臺灣證券交易所及相關金融資安規範，證券商之資訊安全專責人員及主管，每年應定期參加 15 小時的資訊安全專業課程訓練或職能訓練。
5. 本公司每年依資通安全事件通報應變辦法之規 定，辦理社交工程演練、資通安全事件通報及應變演練。
6. 個人資料保護 : 個人資料保護攸關客戶安全，若管理不當，除造成客戶權益受損，更對公司商譽造成嚴傷害，故屬利害關係人關注之大主題。為維護客戶資料安全、防止資料外洩，本公司對於員工執行業務時有關客戶個人資料之蒐集、處理、利用等皆有規定。對核心業務資訊設備，亦有使用權限控管之機制，以防止被不當取得客戶資料。

壹、資訊安全評估作業

資訊安全評估作業項目：

(一)資訊架構檢視

1.檢視網路架構之配置、資訊設備安全管理規則之妥適性等，以評估可能之風險，採取必要因應措施。
2.檢視單點故障最大衝擊與風險承擔能力。
3.檢視對於持續營運所採取相關措施之妥適性。

(二)網路活動檢視

1.檢視網路設備、伺服器之存取紀錄及帳號權限，識別異常紀錄與確認警示機制。
2.檢視資安設備（如：防火牆、入侵偵測、防毒軟體、資料防護等）之監控紀錄，識別異常紀錄與確認警示機制。
3.檢視網路是否存在異常連線或異常網域名稱解析伺服器(Domain Name System Server , DNS Server)查詢，並比對是否有符合網路惡意行為的特徵。

(三)網路設備、伺服器等設備檢測

1.辦理網路設備、伺服器的弱點掃描與修補作業。
2.檢測終端機及伺服器是否存在惡意程式。
3.檢測系統帳號登入密碼複雜度；檢視外部連接密碼（如檔案傳輸（File Transfer Protocol, FTP）連線、資料庫連線等）之儲存保護機制與存取控制。

(四)網站安全檢測

1.針對網站進行滲透測試。
2.針對網站進行弱點掃描、程式原始碼掃描或黑箱測試。
3.檢視網站目錄及網頁之存取權限。
4.檢視系統是否有異常的授權連線、CPU資源異常耗用及異常之資料庫存取行為等情況。

(五)安全設定檢視

1.檢視伺服器(如網域服務Active Directory)有關「密碼設定原則」與「帳號鎖定原則」設定。
2.檢視防火牆是否開啟具有安全性風險的通訊埠或非必要通訊埠，連線設定是否有安全性弱點。
3.檢視系統存取限制(如存取控制清單Access Control List)及特權帳號管理。
4.檢視作業系統、防毒軟體、辦公軟體及應用軟體等之更新設定及更新狀態。
5.檢視金鑰之儲存保護機制與存取控制。

(六)合規檢視

檢視整體電腦系統是否符合規範。

貳、資訊系統可靠性與安全性侵害之對策

一、應就提升資訊系統可靠性研擬相關對策，其內容包括：

（一）提升硬體設備之可靠性：包含預防硬體設備故障與備用硬體設備設置之對策。
（二）提昇軟體系統之可靠性：包含提升軟體開發品質與提升軟體維護品質對策。
（三）提升營運可靠性之對策。
（四）故障之早期發現與早期復原對策。
（五）災變對策

二、應就資訊安全性侵害研擬相關對策，其內容包括：

（一）資料保護：包含防止洩漏、防止破壞篡改與相對應檢測之對策。
（二）防止非法使用：包含存取權限確認、應用範圍限制、防止非法偽造、限制外部網路存取及偵測與因應之對策。
（三）防止非法程式：包含防禦、偵測與復原對策。