創新材料的開發者

首頁 / 創新材料的開發者 / 資安防控與客戶隱私

資安防控與客戶隱私

重大主題:客戶隱私與資訊安全

本公司業務項目為高知識與技術之產業,與本公司往來之客戶亦然,故保護客戶隱私與維持公司高度資訊安全的環境便是鞏固公司長期競爭力及永續經營重要的碁石。

影響與衝擊

【正面實際影響】

經濟:
妥善管理公司無形資產可獲客戶信賴,有助於維持合作關係。

【負面潛在影響】

經濟:
網路攻擊與駭客事件頻傳,若機密資訊洩露,將打擊公司競爭優勢,更可能面臨客戶求償或法規裁罰。

政策/策略

  • 透過八大面向管理,從源頭至末端進行全面性的規範,確保所屬之資訊與資產的機密性、完整性及可用性,使其免於遭受內、外部的蓄意或意外之威脅,並符合相關法規之要求。

目標與標的

【短期目標(2024年)】
  • 進行ISO 27001之2022年認証改版(目前為2013年版)。
  • 建立資安事件管理及追蹤平台(SIEM)。
  • 無客戶隱私洩漏與資訊安全事件引發之訴訟。
【中期目標(2025-2027年)】
  • 「電子實驗紀錄簿」持續進行。
  • 持續落實個人資料之保護、管理及客戶資料保護。
  • 無客戶隱私洩漏與資訊安全事件引發之訴訟。
【長期目標(2028年~)】
  • 建構自動化之資安聯防系統。
  • 無客戶隱私洩漏與資訊安全事件引發之訴訟。

管理評量機制

  • 遵循ISO 27001實行相關風險管理,並執行內部重要系統穩定性評估
  • 辦理重要客戶及國際資安管理認證系統的資安稽核

2023年度目標與達成

【設置副總以上層級之資安長】
  • 已達成,本公司已設立副總以上層級之資安長。
【進行ISO 27001之2022年認証改版(目前為2013年版)】
  • 尚未達成,預計2024年將由資安長帶領資訊安全小組完成改版(ISO 27001:2022版)之認證。
  • 已達成,2023年已取得。
【無客戶隱私洩漏與資訊安全事件引發之訴訟】
  • 已達成。

另2023年系統穩定率逹99.996%,且已連續通過重要客戶之資安稽核及第八年取得ISO 27001認證,經外部資安專業公司(SSC)評核台虹集團資安風險係數為A級(佳)

預防或補救措施

  • 由無形資產安全委員會定期審查公司各項資訊安全作業之有效性,進而強化或補強各項資訊作業管理機制,以防止資安風險之產生。

資安風險管理組織

隨著資訊科技、智慧製造的發展,現代化企業大量運用資訊系統,為了維護公司治理與降低營運風險,我們於2015年即成立「無形資產安全委員會」,整合法務、資訊、人資等單位主管促進跨部門橫向溝通,統籌全集團之資訊安全政策、資安風險管理架構、具體推動方案及所需投入之資源等相關規劃。

作為一間研發導向的公司,台虹科技與客戶有許多的合作交流及協同開發項目,因此妥善管控資訊安全風險、保護營業秘密,即是在落實保護客戶隱私,本公司於2022年3月進一步成立「資訊安全與知識管理處」,專責辦理台虹科技資通安全及營業秘密保護相關政策之規劃、執行及風險管理,且每年由資安長會同資安主管向董事會彙報資安議題及相關管理成效。

八大面向管理措施

資安風險存在於企業營運的每個角落,且涉及各部門日常業務,故我們100%要求員工簽署《雇佣暨服務承諾書》,入職時便充分告知保密義務相關內容,離職時則須返還在職期間持有資訊,並切實遵守保密義務。

為型塑公司內的資訊安全文化,透過每月定期宣導「機密資訊保護政策」、每年進行《台虹機密資訊保護規範年度考核》,確保台虹科技及子公司員工知悉相關規範,並鼓勵同仁利用資訊安全專線/信箱:(07)813-9989#70110/IT_security@taiflex.com.tw,即時通報潛在的資安危害。

本公司已具體藉由八大面向管理措施降低資安風險,同時達到保護客戶隱私之目標,2022年全年度無發生任何重大的網路攻擊或事件,亦未發現實際或潛在對公司營運產生重大不利影響之問題。

文件管理

  • 建立DMP文件管理平台及進行文件分級管理。
  • 建立機密文件回收及文件銷毁流程並進行追蹤及管理。

風險管理

  • 資訊機房風險評鑑及定期弱點掃描。
  • 定期資通安全相關系統災難演習及演練。

資訊作業安全

  • 強制密碼設定規則及建立EDR端點防駭軟體。
  • 建置遠近端備份/備援服務。

裝置安全

  • 設置設備安全防護機制(例如系統加密),監控網路及資訊存取安全。

供應商資訊安全

  • 要求各單位落實與供應商簽訂NDA保密協定。
  • 針對供應商每年不定期進行稽核或者訪察;透過供應商稽核(問卷)或者線上工具(Security Score Card)來了解供應商資安防治成效,避免供應商因資安事件造成供應鏈中斷之問題。

場域安全

  • 進行入廠來賓/訪客之電腦管制,進行生產線及實驗室3C產品、私人手機及隨身碟之管制。
  • 設立辦公區/管制區分區管理機制、電腦機房之門禁管制及監控異常事項,檢討與持續改善。

人力資源安全

  • 本公司及子公司人員皆簽署「機密資訊保護規則」,簽署率100%。
  • 實施全體員工之資通安全教育訓練及宣導資訊安全需知。
  • 每月1日定期宣導「機密資訊保護政策」,提升全體員工資安意識。

資安評鑑

  • 連續通過資訊安全管理系統ISO 27001認證及評核。
  • 通過重要客戶之資訊安全稽核及改善措施。
  • 內部查核及自我評鑑,持續定期弱點及威脅分析並呈報高階主管核示。

持續改善作業安全

本公司自2016起,導入資訊安全管理系統(ISO 27001:2013版),已連續八年通過外部單位驗證,為公司築起最佳資安防線,預計2024年將由資安長帶領資訊安全小組完成改版(ISO 27001:2022版)之認證,透過遵循有效的資安管理系統,確保公司的各項資訊系統與數位資產,均能在具備機密性、完整性及可用性的環境下持續運作。

無形資產安全委員會已建立具有預測和應對能力的資訊安全管理架構,定期以循環式檢核、查驗、追蹤、實行的PDCA流程,審查公司各項資訊安全作業之有效性,持續強化各項資訊作業管理機制,確保公司的資料與智慧財產得到妥善的保護,防止營業秘密被有心人士竊取,藉以鞏固競爭優勢,進而促進客戶、股東和員工的利益最大化。

台虹科技2021年曾有一起離職員工涉犯營業秘密刑事案件,2022年業經檢察官偵查終結起訴,2024年起已移由智慧財產暨商業法院刑事庭審理,本公司檢視該案違規情節,調整管理措施如下:

  • 針對該離職員工違反公司機密政策管理規定,以個人設備翻拍公司機密資訊部分:除加強資訊設備攜帶管理宣導、稽核外,並要求員工如有發現違規行為應立即向上級主管、法務及資安單位進行通報。
  • 針對該離職員工以主管身分不當獲取他部門機密資訊部分:加強資料夾、系統權限控管強度,針對員工職務轉換時,確實進行交接、異常行為查核流程。同時,請相關主管加強宣導 Need-to-know 原則,並要求員工如有發現違規行為應立即向上級主管、法務及資安單位進行通報。
本網站使用cookies以提昇您的使用體驗及統計網路流量相關資料。繼續使用本網站表示您同意我們使用cookies。我們的隱私及Cookies政策提供更多關於cookies使用及停用的相關資訊。 我接受