（3） 公司應至少每年進行一次資訊安全風險評鑑，並留存相關紀錄，營
運相關的重大風險與控管措施議題（包括新產品、新興技術和資訊
系統的風險）應納入風險評估範圍，以確保公司政策、程序和控管
措施之有效性。
（6） 公司每年應將前一年度資訊安全整體執行情形，由資訊安全長或負
責資訊安全之最高主管與董事長、總經理、稽核主管聯名出具「證
券暨期貨市場各服務事業建立內部控制制度處理準則」第二十四條
規定之內部控制制度聲明書，於會計年度終了後三個月內提報董事
會通過，並將該聲明書內容揭露於主管機關指定之申報網站。
（7） 公司應參考「建立證券商資通安全檢查機制- 分級防護應辦事項附
表」辦理資訊安全分級防護應辦事項。
（8） 公司應依其所屬資安分級辦理核心系統導入資訊安全管理系統，並
通過公正第三方之驗證，且持續維持驗證有效性。
（2） 公司應指定副總經理或高層主管人員，綜理資訊安全政策推動及資
源調度事務，並得視需要，成立跨部門之「資訊安全推行小組」；
如公司符合主管機關所訂一定條件者，應指定副總經理以上或職責
相當之人兼任資訊安全長辦理上開業務。
（3） 公司應視資訊安全管理需要及所屬資安分級，指定專人或專責單位
負責規劃與執行資訊安全工作，且資訊安全人員及主管每年應定期
參加十五小時以上資訊安全專業課程訓練或職能訓練並通過評量。
其他使用資通系統之從業人員，每年應至少接受三小時以上資訊安
全宣導課程。
（4） 公司資訊安全人力、能力及經驗，如有不足之處，得委請外界的學
者專家或民間專業組織及團體，提供資訊安全顧問諮詢服務。
（5） 資訊處理部門與業務單位之權責，應明確劃分。
（6） 公司應依其所屬資安分級要求資訊安全人員取得並維持相當資通安
全專業證照。
（2） 員工離職時應取消其識別碼，並收繳其通行證、卡及相關證件。
（3） 應定期（每年至少一次）對全公司員工辦理資訊安全宣導講習（例
如：資訊安全政策、資訊安全法令規定、資訊安全作業程序以及如
何正確使用資訊科技設施等），並留存紀錄。
（4） 員工應依職務層級進行適當的資訊安全教育訓練，每年並達內部所
定之訓練時數。
（5） 證券商應設置電腦稽核人員。（適用網際網路下單證券商，不適用
語音下單及傳統下單之證券商）
（4） 電腦設備之電源供應系統應含不斷電設備及發電機。
（5） 應訂定設備報廢作業程序，報廢前應將機密性、敏感性資料及授權
軟體予以移除、實施安全性覆寫或實體破壞，應確保報廢之電腦硬
碟及儲存媒體儲存之資料不可還原，並留存報廢紀錄。
（6） 公司應定期審查電腦機房門禁管制權限。
（i）公司應防止未經授權設備使用內部網路。
（j）應避免使用生命週期終止（End of Service,EOS／End of
Life,EOL）之軟體及網路設備，且於到期前擬定汰除計畫，並
視情況建立補償性措施。
b.網路設備之安全管理：
（a）應建立防火牆。
（b）防火牆應有專人管理。
（c）防火牆進出紀錄及其備份應至少保存三年。
（d）重要網站及伺服器系統（如網路下單系統等）應以防火牆與外
部網際網路隔離。
（e）防火牆系統之設定應經權責主管之核准。
（f）公司應每年定期檢視並維護防火牆存取控管設定，每半年檢視
DMZ 區之防火牆規則，包含評估高風險設定及六個月內無流量
之防火牆之必要性，及針對已下線資通系統於六個月內調整或
停用該規則，並留存相關檢視紀錄。
（g）公司建立網路設備規則應以最小授權及正面表列為原則。
（h）公司應至少每年檢視一次對外網路設備規則，並留存相關紀錄
c.網路傳輸及連線安全管理：
（a）網路下單畫面應採加密方式（例如：SSL ）處理。
（b）公司應每日針對核心系統之帳號登入失敗紀錄、非客戶帳號嘗
試登入紀錄等進行監控及分析，發現有帳號登入異常情事（如
密碼輸入錯誤達三次、一定時間內大量帳號登入失敗、帳戶申
請或更新憑證下載異常），應即時了解異常原因，並留存相關
（c）公司提供網路下單服務，應於網路下單登入時採多因子認證方
式（例如：固定密碼、圖形鎖、下單憑證、綁定裝置、OTP 、
生物辨識等機制），以確保為客戶本人登入。
（d）公司加密機制應優先考慮使用公開、國際機構驗證且未遭破解
之演算法。
d.多因子驗證：
公司使用多因子驗證應具下列三項之任兩項技術：
（a）公司所約定之資訊，且無第三人知悉（如固定密碼、圖形鎖或
手勢等）。
（b）客戶所持有之實體設備（如密碼產生器、密碼卡、晶片卡、電
腦、行動裝置、憑證載具等），公司應確認該設備為客戶與公
司所約定持有之設備。
（c）客戶提供給公司其所擁有之生物特徵（如指紋、臉部、虹膜、
聲音、掌紋、靜脈、簽名等），公司應直接或間接驗證該生物
e.身分認證與憑證管理
（a）網路下單證券商應訂定憑證交付程序，避免非本人取得憑證。
客戶申請或更新憑證下載，必須採用多因子（如：下單憑證、
綁定裝置、OTP 、生物辨識及 SIM 認證等）驗證方式，且與
登入帳戶時使用之因子不同，確實辨認客戶身分並留存紀錄。
（b）網路下單證券商應全面使用認證機制。
（c）公司應於伺服器端驗證客戶交易身分及使用者帳號。
（d）公司對電子交易身分之申請、交付、使用、更新與驗證應訂定
相關規範。
f.電腦病毒及惡意軟體之防範：
（a）應安裝防毒軟體，並及時更新程式及病毒碼。
（b）應定期對資通系統及資料儲存媒體進行病毒掃描（含電子郵件
（c）防毒應涵蓋個人端（含攜帶型及營業處所內供投資人共用之電
腦等）及網路伺服器端電腦。
（d）勿開啟來歷不明之電子郵件，對於電子郵件中帶有執行檔之附
件，尤應特別小心開啟。
（e）為防範電腦病毒擴散，影響電腦安全，公司應訂定電子郵件使
用安全相關規定及建立郵件過濾機制。
（f）公司應建立軟體白名單控管機制。
（g）公司應偵測釣魚網站及惡意網站連結並提醒客戶防範網路釣魚
（h）公司應每年定期辦理社交工程演練，並對誤開啟信件或連結之
人員進行教育訓練，並留存相關紀錄。
g.網路系統功能檢查：
（a）應定期檢查網路下單系統提供之功能，並留存紀錄。
（b）應就提供外部連線使用網路系統偵測網頁與程式異動、記錄並
通知相關人員處理。
h.公司提供 API 服務規範：公司提供客戶使用應用程式介面（
API ）服務之申請流程、核可標準及相關控管配套措施相關作業
，應依「證券商受理客戶使用應用程式介面（API ）服務作業規
範」辦理。
i.網際網路下單服務品質相關標準：
公司提供網際網路下單業務時，兼顧客戶服務品質，應訂定網際
網路下單服務品質相關標準，並應包含下列重點如：交易之安全
性、交易之穩定及系統可用性、提供客戶服務。
j.網路攻擊防護機制導入及安全性檢測
（a）公司應依其所屬資安分級定期對提供網際網路服務之核心系統
辦理滲透測試，並依測試結果進行改善。
（b）公司應依「證券商辦理資通系統資訊安全評估作業程序」並就
其所屬資安分級定期辦理資通安全健診作業。
（c）公司應依其所屬資安分級建立資通安全威脅偵測管理機制（應
含括事件收集、異常分析、偵測攻擊並判斷攻擊行為）
（d）公司應依其所屬資安分級建立入侵偵測及防禦機制。
（e）公司應依其所屬資安分級設置應用程式防火牆。
（f）公司應依其所屬資安分級辦理進階持續性威脅攻擊防禦措施。
（g）核心系統身分驗證機制應防範自動化程式之登入或密碼更換嘗
試，非核心系統宜防範自動化程式之登入或密碼更換嘗試。
k.帳號登入或異常態樣通知：
公司對於客戶帳號登入時宜進行通知，如有符合以下異常態樣應
即通知客戶，並留存紀錄，避免非客戶本人登入情事：
（a）密碼輸入錯誤或帳戶被鎖定。
（b）申請或更新憑證。
（c）變更基本資料。
（d）異常來源或行為嘗試登入等
（e）密碼申請異動或補發時。
l.異常 IP 登入之監控與預警：
公司應對異常及不明來源 IP 連線進行監控分析及留存紀錄，如
有發現下列情形，應設有警示機制，並定期檢視以確認機制有效
（a）同一來源 IP 登入不同帳號達一定次數以上。
（b）同一帳號在一定時間內由不同國家登入。
（c）發現異常來源（如金融資安資訊分享與分析中心 F-ISAC 公布
之黑名單或國外 IP ）嘗試登入。
m.無線網路管理：
（a）公司設置無線網路應採用現行公開資訊已認可且無弱點之安全
（b）公司提供內部無線網路使用應限內部人員公務用或資訊服務供
應商申請核准後使用。
（2） 電腦系統及作業安全管理（CC-17020，半年查核）
a.電腦設備之管理：
為確定電腦設備維護內容，應與廠商訂有書面維護契約，做完維
護時應留存維護紀錄並由資訊單位派人會同廠商維護人員共同檢
b.電腦作業系統環境設定及使用權限設定：
（a）電腦作業系統環境設定及使用權限設定應經有關主管核示，並
由系統管理人員執行。
（b）電腦系統檔案異動前後皆有完善之備份處理措施。
（c）公司應建立系統最高權限帳號管理辦法（含作業系統及應用系
統），如需使用最高權限帳號時須取得權責主管同意，並留存
相關紀錄。
（d）公司應建立並落實個人電腦、伺服器及網路通訊設備之安全性
組態基準（如密碼長度、更新期限等）。
（e）公司透過網際網路使用帳號登入系統時，應採用多因子認證機
（f）資通系統內部時鐘應定期與基準時間源進行同步。
（g）公司應依其所屬資安分級對核心系統重要組態設定檔案及其他
具保護需求之資訊進行加密或以其他適當方式儲存。
（h）公司應依其所屬資安分級訂定對核心系統之閒置時間或可使用
期限與核心系統之使用情況及條件（如：帳號類型與功能限制
、操作時段限制、來源位址限制、連線數量及可存取資源等）
c.電腦媒體之安全管理：
（a）重要軟體及其文件、清冊應抄錄備份存於另一安全處所。
（b）重要之備份檔案及軟體若儲存於與電腦中心同一建築物內，應
鎖存於防火之房間或防火且防震之防火櫃中。
（c）存放備份資料之儲存媒體，應於其標籤上註明存放資料之名稱
及保存期限。
（d）應建立機密性及敏感性資料媒體之相關處理程序，防止資料洩
露或不當使用。
（e）應建立回存測試機制，以驗證備份之完整性及儲存環境的適當
（f）公司應依據系統特性與資料復原點目標（RPO ），考量備份頻
率、儲存媒體類型（光碟、外接硬碟、磁帶）、資料類型（虛
擬機映像檔、系統源碼、資料庫與組態設定檔等）、備份類型
（完整備份、增量備份與差異備份）、備份方式（網路同步寫
入、網路非同步寫入與離線備份）等，制定適當之資料備份機
制，如採離線備份應依備份類型建立適當的備份基準（
baseline），以確保資料可正確回存。
（g）公司制定資料備份機制時，宜考量「3-2-1 備份原則」，至少
製作三份備份；將備份分別存放在兩套獨立不同儲存設備；至
少一份放在異地保存。
d.電腦操作管理：
（a）操作人員應確實依規定操作程序執行。
（b）操作日誌應詳實記載並逐日經主管核驗，操作人員不可與主管
為同一人。
（c）系統主控台所留存之紀錄，應經專人檢查訊息內容且定期送主
e.證券經紀商應配備經營業務所需、且有適足容量之電腦系統。
f.證券經紀商之電腦系統應訂定定期（每年至少一次）由內部或委
託外部專業機構評估電腦系統容量及安全措施之機制與程序，定
期對系統容量進行壓力測試，並留存紀錄。
g.檢查公司現有之網站、伺服器、網路芳鄰、路由器、交換器、作
業系統及資料庫等軟硬體設備應設定使用密碼，且避免使用預設
（如 administrator、root、sa）或簡易（如 1234 ）之帳號密
碼及未設管理者存取權限。
h.客戶申請採電子式交易型態者，公司得以一般或自訂電子方式交
付電子密碼條，應依下列說明辦理：
（a）採一般電子方式交付電子密碼條，應傳送 OTP（One Time
Password）密碼至客戶開戶留存之手機號碼，及將加密後之電
子密碼條以電子方式傳送至客戶留存之電子信箱，此流程相關
系統紀錄應留存。
（b）採自訂交付電子密碼條方式，應訂定交付電子式交易密碼之作
業程序及安全控管機制，並辨認電子式交易密碼交付對象為本
人及留存相關紀錄。
（4） 電腦稽核紀錄管理：
a.對重要系統（如主機連線系統、網路下單系統等）之稽核日誌記
錄內容應包括使用者識別碼、登入之日期時間、電腦的識別資料
或其網址等事項。
b.對上開重要系統之電腦稽核紀錄，應有專人定期檢視。
c.相關留存紀錄應確保數位證據之收集、保護與適當管理程序，至
少留存三年。
d.核心系統電腦稽核紀錄（日誌）應建立監控機制，處理失效時，
應採取適當之行動。
（5） 資料輸入管理：
a.安全性或重要性較高之資料，應由權責主管人員核可後始得執行
輸入或修改。
b.所輸入或修改之資料及其執行人員姓名、職稱皆應留存紀錄。
c.對隱密性高之重要資料（例如：密碼檔）應以亂碼後之資料形式
d.公司如屬公開發行公司者，應於內部控制制度納入「公開發行公
司網路申報公開資訊應注意事項」，並據以辦理相關申報事宜。
e.使用電子憑證ＩＣ卡或其他類型憑證晶片卡或其他憑證載具等代
表公司簽署之作業（例如：「公開資訊觀測站」、「證券商申報
單一窗口」、「公文電子交換系統」等），該等憑證載具應由專
人負責保管並設簿登記，且應訂定相關帳號、密碼保管及使用程
序，並據以執行。
f.使用代表公司憑證載具簽署之作業系統端若屬證券商應用系統者
（例如：「電子對帳單系統」），應留存電腦稽核紀錄（log ）
，其保存年限比照各作業資料應保存年限。
g.應依「個人資料保護法」，妥善處理客戶及公司內部人個人資料
h.公司應依「個人資料保護法」妥善處理公司保有之個人資料，並
定期或不定期稽核依「個人資料保護法」定義之個人資料管理情
i.前揭個人資料，其更新、更正或註銷均應報經備查，並將更新、
更正、註銷內容、作業人員及時間詳實記錄。
j.因經營業務需要而為個人資料之蒐集、處理或國際傳輸及利用，
應訂定「與軟硬體廠商機密維護及損害賠償等雙方權責劃分」。
k.應留存個人資料使用稽核軌跡（如登入帳號、系統功能、時間、
系統名稱、查詢指令或結果）或辨識機制，以利個人資料外洩時
得以追蹤個人資料使用狀況。
（6） 資料輸出管理：
a.報表是否按時產生並分送各使用單位。
b.機密性、敏感性之報表列印或瀏覽是否有適當之管制程序。
c.投資人於公司網站查詢個人資料應具有加密傳輸機制（例如：
SSL ）。
d.電子式及非電子式交易型態以電子郵件執行成交回報之傳輸，公
司對姓名、帳號及信用帳號等機敏資訊，應依「機敏資訊類型及
隱匿之具體作法原則」辦理。
（9） 公司應定期（至少每半年乙次）辦理資通系統弱點掃描作業，針對
所辨識出之潛在系統弱點，應評估其相關風險或安裝修補程式，並
留存紀錄（適用網際網路下單證券商，不適用語音下單及傳統下單
之證券商）。
（10）程式源碼安全規範（適用網際網路下單證券商，不適用語音下單及
傳統下單之證券商）：
a.程式應避免含有惡意程式等資訊安全漏洞。
b.程式應使用適當且有效之完整性驗證機制，以確保其完整性。
c.程式於引用之函式庫有更新時，應備妥對應之更新版本。
d.程式應針對使用者輸入之字串，進行安全檢查並提供相關注入攻
擊防護機制。
e.委外開發之行動應用程式如涉及機敏性資料傳送（如：客戶帳號
密碼或交易資料等）應自行或委外檢視驗證傳遞對象是否適當並
留存相關紀錄。
f.公司應依上開安全事項檢驗程式源碼並符合安全事項之要求；無
法取得程式源碼時，應要求程式提供者符合上開前五項安全事項
（a、b、c、d、e ）之佐證。
（11）行動應用程式安全管理（適用網際網路下單證券商，不適用語音下
單及傳統下單之證券商）：
a.行動應用程式發布：
（a）行動應用程式應於可信任來源之行動應用程式商店或網站發布
，且應於發布時說明欲存取之敏感性資料、行動裝置資源及宣
告之權限用途。
（b）應於官網上提供行動應用程式之名稱、版本與下載位置。
（c）應建立偽冒行動應用程式偵測機制，以維護客戶權益。
（d）應於發布前檢視行動應用程式所需權限應與提供服務相當，首
次發布或權限變動應經資安、法遵單位同意，並留有紀錄，以
利綜合評估是否符合個人資料保護法之告知義務」。
b.敏感性資料保護：
（a）行動應用程式傳送及儲存敏感性資料時應透過憑證、雜湊（
Hash）或加密等機制以確保資料傳送及儲存安全，並於使用時
應進行適當去識別化，相關存取日誌應予以保護以防止未經授
（b）啟動行動應用程式時，如偵測行動裝置疑似遭破解（如 root
、jailbreak、USB debugging 等），應提示使用者注意風險
c.行動應用程式檢測：
（a）涉及投資人使用之行動應用程式於初次上架前及每年應委由經
財團法人全國認證基金會（TAF ）認證合格之第三方檢測實驗
室進行並完成通過資安檢測，檢測範圍以目的事業主管機關委
託執行單位「行動應用資安聯盟」公布之行動應用程式基本資
安檢測基準項目進行檢測。如通過實驗室檢測後一年內有更新
上架之需要，應於每次上架前就重大更新項目進行委外或自行
檢測；所謂重大更新項目為與「下單交易」、「帳務查詢」、
「身份辨識」及「客戶權益有重大相關項目」有關之功能異動
。檢測範圍以 OWASP MOBILE TOP 10 之標準為依據，並留存
相關檢測紀錄。
（b）公司對第三方檢測實驗室所提交之檢測報告，應建立覆核機制
，以確保檢測項目及內容一致，並留存覆核紀錄。
（12）核心系統應針對風險評估使用者頁面僅顯示簡短錯誤訊息及代碼，
不包含詳細之錯誤訊息。
（13）提供網際網路下單服務之核心系統上架前及系統更新時應執行「源
碼掃描」安全檢測。
（14）與資訊公司異業合作平台，應無提供或介接未經金融監督管理委員
會許可之證券期貨業者所提供之證券期貨業務（如證券期貨業務有
關之開戶及下單功能）
（4） 公司應執行營運衝擊分析，評估核心系統可容忍中斷時間、復原時
間目標（RTO ）、資料復原點目標（RPO ），並擬訂營運持續計畫
（含起動條件、參與人員、緊急程序、備援程序、維護時間表、教
育訓練、職責說明、往來外單位之應變規劃及合約適當性等）及其
必要之維護，依其所屬資安分級定期辦理業務持續運作演練，且視
演練範圍是否涉及第三方，邀請相關廠商參與演練。網路下單證券
商應依經紀業務規模市占率暨自然人客戶數比率分級，訂定核心系
統可容忍中斷時間。
（5） 公司應訂定資訊安全訊息通報機制（例如：正式之通報程序及資安
事件通報聯絡人），針對與資通系統有關之資訊安全或服務異常事
件應依「證券期貨市場資通安全事件通報應變作業注意事項」及「
證券商通報重大資安事件之範圍申報程序及其他應遵循事項」辦理
，並採取適當矯正程序，留存紀錄。
（6） 公司發生個人資料之竊取、竄改、毀損、滅失、或洩漏等資安事故
者，應立即函報證交所（或櫃檯買賣中心、券商公會）轉陳主管機
（7） 公司應明確訂定分散式阻斷服務攻擊（DDoS）防禦與應變作業程序
（8） 公司應辦理下列資安防護事宜：
1.指定人員及部門統籌並協調聯繫各有關部門。
2.定期評估核心營運系統及設備，對評估結果採取適當措施，並提
報董事會，以確保營運持續及作業韌性之能力。
3.於永續報告書、年報、財務報告或公司網站，揭露年度內公司持
續核心營運系統及設備營運所需之資源及落實於年度預算或教育
訓練計畫等項目。
（9） 公司應辨識風險情境，就各項風險情境當災害發生造成資訊作業異
常或中斷時，擬定各系統之應變、減災或復原措施相關作業流程。
（10）核心系統原服務中斷時，應於可容忍時間內，由備援設備或其他方
式取代並提供服務。
（11）證券商資訊委外作業如涉及核心資通系統與資通服務，資訊服務供
應商應定期提供資通系統與資通服務之回復計畫，回復計畫可以災
難復原計畫、備援演練、營運持續計畫等形式呈現。
g.公司應定時更新 VPN 連線和其他遠端連結系統之安控措施。
h.公司應對客戶隱私、資料及紀錄之安全性建立保護措施。
i.公司應加強宣導資訊安全，教育遠距辦公員工應對網路風險保持
警覺等資訊安全機制。
（6） 深度偽造（Deepfake）
a.使用影像視訊方式進行身分驗證時應強化驗證並搭配其他驗證因
子（如上傳身分證件、手機簡訊 OTP）。
b.應定期辦理涵蓋深度偽造認知及防範議題之資訊安全教育訓練。
（7） 人工智慧（AI）：
a.使用人工智慧技術應列有清冊並加以維護，且應遵循資通安全、
個人資料保護、智慧財產權等金融法規及其他法律規範與相關資
訊使用規定。
b.使用人工智慧技術與客戶直接互動時，應告知該互動或服務係利
用人工智慧技術自動完成，或揭露其適用人群、場景或用途。
h.應定期檢查網站內對外提供之資訊，對具機密性、敏感性之資訊內
容，應立即移除；並應遵守證券商推介客戶買賣有價證券作業辦法
規定，且不得以公司名義將屬於證券投資顧問事業範圍之資訊代為
i.證券商若於網站平台上進行推介，應設有密碼以控管得閱覽個股研
究報告之客戶；且客戶應與證券商簽訂推介契約（國內機構投資人
及外國機構投資人得免簽）。
14. 主機共置（Co_Location ）服務管理（CC-23000，適用使用主機共置
服務之證券商，月或半年查核）
（1） 設備等資產進出主機共置機房，應於「主機共置用戶服務系統」進
行申請，並配合清點及留存紀錄（半年查核）。
（2） 配合定期盤點主機共置機房之資訊資產，且應包含軟體、硬體、場
地及資料等類別（半年查核）。
（3） 公司放置於主機共置機房之軟體、硬體設備應依「建立證券商資通
安全檢查機制」規定，具備完善之資訊安全防護措施並落實執行（
月或半年查核）。
