SCM 萬 泰 新 網 頁←web
萬 泰 倉 儲 新 網 頁←web

萬泰物流供應鏈股份有限公司

資訊安全安全手冊

1. 資安系統規劃

1.1. 資安目標

1.1.1. 本公司目標依據政策之要求,由相關單位加以訂定量化之績效指標,經董事長核准後於網路系統或內部公佈欄中加以公告,並定期審核其達成狀況。
1.1.2. 本公司執行資安系統需達成之資訊安全目標,依據「資訊安全目標設定表」之相關規定辦理,當資安目標未達成時,應實施檢討並記錄於「資訊安全目標檢討表」。

1.2. 範圍

1.2.1. 資訊安全管理涵蓋14項管理事項,避免因人為疏失、蓄意或天然災害等因素,導致資料不當使用、洩漏、竄改、破壞等情事發生,導致公司可能產生風險及危害。

1.2.1.1. 資安政策制定及評估。
1.2.1.2. 資訊安全組織之職責與分工。
1.2.1.3. 人力資源安全。
1.2.1.4. 資訊資產管理。
1.2.1.5. 存取控制。
1.2.1.6. 密碼控制。
1.2.1.7. 實體與環境安全。
1.2.1.8. 作業管理。
1.2.1.9. 通訊管理。
1.2.1.10. 資訊系統獲取、開發及維護。
1.2.1.11. 供應商關係。
1.2.1.12. 資訊安全事故管理。
1.2.1.13. 營運持續管理之資訊安全層面。
1.2.1.14. 遵循性。

1.3. 資安權責

1.3.1. 本公司最高管理階層擬訂核准資安政策,設立資訊安全委員會與推動小組。
1.3.2. 資安管理委員會權責與組織另行規劃與公告。
1.3.3. 各部門透過相關程序落實執行。

2. 資安制度內容架構

2.1. 一般要求

本公司因應ISO 27001:2013資安系統之要求,特制訂本政策作為整體資安系統之建置開發、實施操作、監控審查及持續維持改進之規範,並依據本公司業務活動與風險,以建立資安政策及目標。

2.2. 組織全景之鑑別

2.2.1. 本公司應決定與本公司營運目的相關,且會影響資安系統預期成果之內部與外部議題,鑑別出與本公司所提供服務相關之利害關係者,以及這些利害關係者對本公司的需求與期望,以決定本公司資安系統之範圍。 2.2.2. 應制定「組織全景評鑑表」,用以系統化地鑑別本公司之核心業務與利害關係者,以及這些利害關係者對本公司核心業務之需求與期望,並判別前在衝擊,並將上述評估及分析做為系統範圍。

2.3. 資安系統建立與維護

2.3.1. 建立資安系統
本公司係依照ISO 27001:2013標準之步驟建立資安系統,如下流程:

2.3.1.1. 依據系統要求,成立資安委員會。
2.3.1.2. 資安系統以本公司為範圍,不因選擇之驗證範圍而有所差異。
2.3.1.3. 頒布「資安政策」,以說明本公司政策、目標與執行方式。
2.3.1.4. 進行風險評估作業,發掘資產與組織之安全弱點及其威脅與影響,並評估其風險等級,彙整成『風險評鑑報告』後,執行及追蹤『風險處理計畫』。
2.3.1.5. 依據資安政策與風險評估的結果,設定風險管理之實施範圍。
2.3.1.6. 選擇適合實施之資訊安全管制目標與措施,並檢討確認其可行性與有效性。
2.3.1.7. 將所選定之安全管制目標、管制措施、選用原因等資料記載於『適用性聲明』中。
2.3.1.8. 落實資安制度並持續改善,適時檢討並做必要之修正。

2.3.2. 所有內外部員工及第三方派駐人員均須遵循本公司資安政策與目標、各作業流程、規範及法令法規要求。
2.3.3. 第三方供應商在執行本公司委外業務時若有複委託之需求,應評估複委託業務相關之資安風險,並要求供應商依資安系統等相關規定對複委託廠商進行適當之監督與管理。
2.3.4. 對內部及外部專案管理的過程中,應明訂及陳述與專案相關之各項資訊安全要求,並由風險評鑑之結果用以決定及實作資訊安全控制措施,確保內部及外部專案資訊之機密性、完整性及可用性,降低機敏資訊外洩及違反法令之風險。
2.3.5. 應決定及建立與資安系統相關的內部與外部溝通之需求及準則,內容須包含:要溝通什麼、何時溝通、和誰溝通、應是誰溝通以及應實現哪種溝通過程,確保資安系統各項資安業務在內部適度的溝通與傳達,以利資安系統之推動與管理。
2.3.6. 應制定可攜式資訊設備(包含手持裝置)及可攜式儲存媒體之管理程序,要求同仁落實執行,並定期針對可攜式資訊設備(包含手持裝置)及可攜式儲存媒體進行風險評鑑,依據風險評鑑之結果選擇適切之控制措施,定期對同仁執行查核作業,確保使用可攜式資訊設備及儲存媒體之風險受到監控,降低機密資料外洩之風險。

2.4. 資安系統之實施及操作

2.4.1. 應制定風險處理計畫,鑑別適當管理措施,以便管理資安風險。
2.4.2. 實施風險處理計畫中所選定之控制措施,以對各項風險加以防禦,包含實施既定管理計畫,以達到所鑑別目標。
2.4.3. 應擬定安全控制措施有效性之量測指標與使用方法。
2.4.4. 應針對人員資安所需實施訓練與認知提供計畫。
2.4.5. 各項作業需遵照作業程序執行或執行計畫,資安部門應不定期檢視與管理執行狀況。
2.4.6. 須定時衡量各項計畫目標執行狀況,並依據衡量結果適時調整措施與目標。
2.4.7. 執行時應規劃所需資源管理。
2.4.8. 單位主管利用不定期巡視、內外部稽核或是單位人員所提出之建議事項回報,以掌握各安全事件並緊急應變處理。

2.5. 資安系統之監控及審查

本公司採用下列監控方式:
2.5.1. 定期執行之內部稽核,以確認系統有效實施。
2.5.2. 定期檢查及紀錄各項監控指標,以協助判斷安全事件,預防及立即處理安全事故之發生。
2.5.3. 人員應定期及不定期巡視檢查各項設備及環境是否皆屬正常狀態。
2.5.4. 利用攝影機監視各個地區人員出入狀況並錄影存證。
2.5.5. 單位主管應隨時注意各項通報事件或人員工作執行狀況,進而決定相應的控制措施。
2.5.6. 管理階層定期會議,追蹤可能存在的安全漏洞,並決定解決之道。
2.5.7. 於資安委員會中審查資安風險、殘餘風險與可接受風險等級,並考慮各程序是否有效控制。
2.5.8. 每年至少召開一次資安管理審查會議,執行正式的資安系統審查,以確保範圍適當及資安系統過程之各項改善措施均已鑑別與實施。
2.5.9. 應依據監視及審查結果,適時修訂資訊安全管理計畫,以符合資安政策、資安目標與各項資訊安全要求。
2.5.10. 持續改善資安系統。

2.6. 文件要求

2.6.1. 政策與目標之書面聲明。
2.6.2. 適用性聲明書。
2.6.3. 系統適用範圍及各項作業程序。
2.6.4. 風險評鑑報告。
2.6.5. 風險處理計畫。
2.6.6. 本公司維護資安系統所需之文件。
2.6.7. ISO 27001系統要求之紀錄。
2.6.8. 文件管制

資安系統所需之文件應受保護及管制。紀錄是文件之一種特殊型態,應依所定的要求予以管制。並建立文件化程序,以界定所需之管制。
2.6.8.1. 在文件發行前核准其適切性。
2.6.8.2. 必要時,審查與更新並重新核准文件。
2.6.8.3. 確保文件之變更與最新改訂狀況已予鑑別。
2.6.8.4. 確保在使用場所備妥適用文件之相關版本。
2.6.8.5. 確保文件易於閱讀並容易識別。
2.6.8.6. 確保文件於需使用時能隨時取用,並且於文件傳遞、保存及毀棄時皆能遵守文件管制規定辦理。
2.6.8.7. 確保外來原始文件已加以鑑別。
2.6.8.8. 確保文件分發有適當管制。
2.6.8.9. 防止作廢(失效)文件被誤用,作廢文件為任何目的需保留時,應予以適當鑑別。

2.6.9. 紀錄管制

2.6.9.1. 為確保資安系統符合本公司要求及提供有效運作之證據,應建立及維持執行資安系統各項作業程序之各項紀錄,並予以管制,並將相關法律法規及合約要求列入考量。
2.6.9.2. 紀錄應清晰易讀,容易識別及檢索。紀錄之鑑別、儲存、保護、檢索、保存期限及作廢,應建立文件化程序,以界定所需之管制。
2.6.9.3. 紀錄應妥善保存。
2.6.9.4. 所需之紀錄及其範圍應由管理過程加以決定。該過程應記錄重大決定,並將紀錄之用途及缺少紀錄時相關之風險列入考量。

3. 管理階層責任

3.1. 管理階層承諾

為使資安系統推動順利,管理階層應:
3.1.1. 建立政策、目標及計畫。
3.1.2. 成立資安委員會,以明訂及文件化資訊安全之角色與責任。
3.1.3. 各單位主管應儘量藉由各種內部公開會議或集會時,向所有人員宣達符合資訊安全目標、法律及法規要求之重要性,以及持續改進之需求。
3.1.4. 提供充分資源,確保能建立、實施操作、監控審查及持續維持改進資安系統。
3.1.5. 定期執行資安系統之內部稽核作業。
3.1.6. 定期召開資安系統之管理階層審查會議。
3.1.7. 決定風險評鑑後之可接受風險等級。

3.2. 資源管理

3.2.1. 資源提供

為確保資安系統執行無礙,應決定並提供下列工作之必要資源:
3.2.1.1. 提供建置與維護資安系統時所需的人力與資源設備。
3.2.1.2. 提供實施資安系統時必要之協助。
3.2.1.3. 確定各項安全程序可配合營運需求。
3.2.1.4. 鑑別並提出法律與法規的要求以及於各項合約上之註明安全義務。
3.2.1.5. 正確應用所有實施的控制措施,以維持適當之安全。
3.2.1.6. 當需要時,進行審查並針對審查結果作適當因應。
3.2.1.7. 當必要時,改進資安系統之作業流程,以確保其有效。

3.2.2. 訓練、認知及能力

為確保所有同仁皆有能力執行所要求之工作與符合各項安全要求,應藉由各種途徑取得協助同仁執行教育訓練,包括下列方式:
3.2.2.1. 提供各種能力訓練以滿足該需求。
3.2.2.2. 藉由測驗、繳交心得報告及證書取得等方式,評估所提供訓練之有效性。
3.2.2.3. 確保同仁認知其所從事的活動之相關性及重要性,以及他們如何對安全目標之達成有所貢獻。
3.2.2.4. 應留下教育訓練、技能、經驗及評定資格等紀錄。

3.3. 內部稽核

每年定期執行內部稽核,確保資安系統的各項管制目標、控制措施、運作過程以及各項程序是否:
3.3.1. 符合ISO 27001與相關法令或法規之要求。
3.3.2. 本公司所制定之資安目標及其他相關要求。
3.3.3. 有效地實施與維持資安系統。

3.4. 資安系統之管理階層審查

3.4.1. 概述

本公司資安委員會至少每年召開一次會議,針對本公司現行之資安系統進行審查,以確保相關程序的適用性、適切性及有效性皆符合本公司需求,並評估相關政策與目標的改進時機,或是其他的變更需求,且審查結果應留下相關文件與紀錄備查。

3.4.2. 審查輸入

管理階層審查至少應包含下列項目:
3.4.2.1. 前次管理審查決議事項之追蹤。
3.4.2.2. 有關可能影響公司的外部與內部問題之變更。
3.4.2.3. 資訊安全的績效回饋,包含下列趨向:

3.4.2.3.1. 不符合事項與矯正措施之執行狀況。
3.4.2.3.2. 監督與量測結果。
3.4.2.3.3. 內部稽核的結果。
3.4.2.3.4. 目標的實現。

3.4.2.4. 利害相關團體的回饋。
3.4.2.5. 風險評鑑的結果與風險處理計畫的狀態。
3.4.2.6. 持續改進的機會。

3.4.3. 審查輸出

3.4.3.1. 管理審查的產出應包含和持續改進機會與資安系統的變更需求有關之決定。
3.4.3.2. 管理階層審查之產出建議包含但不限於下列事項之任何決策與措施:

3.4.3.2.1. 公司有效性之改進。
3.4.3.2.2. 風險評鑑與風險處理計畫之更新。
3.4.3.2.3. 影響資訊安全之程序與控制之必要時的修改,以回應可能衝擊公司之內部或外部事件,包括下列事項之變更:

3.4.3.2.3.1. 各項營運要求。
3.4.3.2.3.2. 各項安全要求。
3.4.3.2.3.3. 影響既有各項營運要求之營運過程。
3.4.3.2.3.4. 法律或法規各項要求。
3.4.3.2.3.5. 各項應盡義務。
3.4.3.2.3.6. 風險等級及/或風險接受準則。

3.4.3.2.4. 資源需求。
3.4.3.2.5. 控制措施的有效性如何量測之改進。
3.4.3.2.6. 應保存文件化資訊及管理審查結果的證據。

4. 資安系統之改進

4.1. 持續改進

本公司經由資安政策、目標、內外部稽核、事件監控之分析、矯正與預防措施以及管理階層審查,由資安人員負責所有風險發生或不符合事項之監控,並追蹤相關業務承辦人之改善情形,以持續改進資安系統之有效性。


4.2. 矯正措施

本公司採取適當的控管措施,以減低資安系統在建置、操作及使用時所產生的不符合事項,以防止再度發生。矯正措施之內容應包含下列各項:
4.2.1. 鑑別各項不符合資安要求之事項。
4.2.2. 判定各項不符合事項發生之原因。
4.2.3. 評估各項矯正措施之需求,以確保各項不符合事項不復發。
4.2.4. 決定及實施所需之矯正措施。
4.2.5. 需記錄所採矯正措施之結果,並保存紀錄。
4.2.6. 審查所採取之矯正措施。

4.3. 預防措施

本公司應採取適當的控管措施,以預防及降低潛在不符合事項發生之機會,預防措施應能預防潛在問題所可能發生之影響。
4.3.1. 鑑別潛在的各項不符合事項及其原因。
4.3.2. 評估預防措施的需求,以防止不符合事項的發生。
4.3.3. 決定及實施所需之預防措施。
4.3.4. 記錄所採取措施之結果。
4.3.5. 審查所採取之預防措施。

5. 審查與實施

本手冊如遇驗證範圍重大改變時,應立即審查以確保其適當性與有效性。