近年來，我們在台灣社會看見資訊安全越來越受到重視，從消費者端延伸到有數位經營的公司，都無法忽視資訊安全防護機制對企業營運及消費者利益與保護的效益；甚至連政府都頒布條文欲將企業資安內控付諸實行。 台灣在去（2021）年12月28日，金管會就宣布了新版的「公開發行公司建立內部控制制度處理準則」正式開始施行，裡面包含了 36 項資安內控措施；到底什麼是「公開發行公司建立內部控制制度處理準則」內的資安內控措施？ 本文從網路資訊安全服務提供商的角度，以白話解釋如何開始金管會 36 項資安內控執行措施及相關的公司內控處理準則之資訊安全解決方案。
企業資安主管逐漸將重心放在開發建全的身份識別與存取管理實作上，重心移轉的刺激因子便是居高不下的遠端存取比例、在任何時間任何地點工作的需求，以及逐漸擴大的多重雲端環境。 范世億表示，水利局以「韌性城市」的理念，在極端氣候急降雨條件下，將保障市民生命財產列為首要目標，透過智慧防汛導入智慧城市的政策，已建構全方位立體水情監測網，現更結合AI科技趨勢，打造「智慧親水河岸」，於水位警戒時，系統主動辨識示警及通報，達到主動避災減災，守護市民安全。 〔記者歐素美／台中報導〕每年5至11月是汛期期間，加上最近受西南風影響，中部常出現局部短暫陣雨或雷雨，台中市水利局針對柳川親水河岸水環境安全，整合區域內水情感測資訊及設施，發展AI人形辨識功能，在水位高漲逾警戒時透過AI人形辨識確認人員逗留情形，自動推播提醒防汛人員前往勸導疏散，提升水岸環境安全。 資訊安全長2023 而關於吳達偉的關鍵證詞，起訴書第31頁，第24項「待證事實」也提到，永齡基金會與歷久公司簽訂網路社群管理服務契約，委託歷久公司為高虹安委員提供「網路、社群及顧問管理服務」，並按月向歷久公司支付10萬元之服務費。 Deloitte泛指Deloitte Touche Tohmatsu Limited（簡稱“DTTL”），以及其一家或多家全球會員所網絡及其相關實體（統稱為“Deloitte組織”）。
資訊安全長: 發布日期：2023-08-08 更新日期：2023-08-08
隨著資安威脅日益嚴峻，以及資安長的議題已探討多年，能讓業界先有所準備，自2021年開始，金融業的銀行、保險、證期業者率先受到規範。 先前，這些公司就被要求設置資安專責單位，現在則進一步提升至應設置資安長，所有銀行都要這麼做，而保險與證期業者則有不同條件，達到一定規模者亦需設置。 一般來說，根據IDG的2019資訊長當前情勢調查，安全長傾向於在組織上有更高的位置：在那些高階安全主管具有安全長職銜的受訪公司中，43%直接向執行長報告；但只有18%的資安長向高管報告。 而9%的受訪者表示他們資安主管向具有安全長職銜的人報告，這顯示那個職務似乎還包括IT以外的工作，最顯著的是實體安全。
- 法條適用的範圍包括銀行、壽險、證券、期貨、投信投顧、證交所、櫃買中心、期交所以及證券集中保管所等65家金融機構，最遲到2022年3月，上述65家金融機構都必須設立副總層級的資安長。
- 現今的資訊安全長 (CISO) 所需要的技能組合，和過去的網路安全主管截然不同；因為他們對企業成功經營愈來愈加重要。
- 星展銀行（台灣）8月完成合併花旗在台銷金，成全國最大外銀，但民進黨立委江永昌今（18）日表示，自合併迄今，客戶看到和遇到的全是混亂、阻礙，不僅痛批星展銀處理方式像是「無頭蒼銀」，也指控金管會神隱，呼籲金管會有權責處理，甚至在必要時啟動專案金檢，對此，金管會也表示，謝謝指正。
- 本公司訂有「資訊安全管理規範」，規範硬體、軟體、資料及文件、人員等需滿足C(機密性)、I(完整性)、A(可用性)、C(法律遵循性)，並以持續運作、資安挑戰、適法性三個方向作為架構資通安全治理、管理之基礎，持續精進管理措施。
- 他強調，安全必須要成為企業的基礎架構之一，也要是產品的內建元件。
- 因此，資訊安全長必須能在聽到「沒辦法」之後，繼續提出爭取支持和資金的理由。
- 資訊安全三要素之間存在互相牽制的關係，例如：過度強化機密性時，將造成完整性與可用性的降低，需要高可用性的系統則會造成機密性與完整性的降低，因此在有限資源的前提下，在資訊安全三要素中取得適當的平衡是資訊安全管理階層的重要課題。
- 相較於執行長 (CEO) 、營運長 (COO) 或財務長 (CFO) 等其他設立較久的長字級企業職位，資訊安全長 (CISO) 顯得較不成熟，但在短短幾年內卻有著顯著發展。
隨著今年9月法規修訂完成施行後，預估將有65家左右金融業者都需要完成資安長設置。 根據銀行局9月7日發布的資訊，關於「金融控股公司及銀行業內部控制及稽核制度實施辦法」的修正，是在第三十八條之一與第四十六條。 當中指出，增訂銀行業應指派副總經理以上或職責相當之人兼任資訊安全長。 企業推動資安也需要進行資安策略的擬定，主要包括三個部分，第一，建立資安策略的高度，而這也是最重要的，譬如設置資安長，成立資安執行委員會，這可以說是企業推行資安決心與共識的展現。
資訊安全長: 相關連結
有些公司的資訊安全長 (CISO) 或取得認證的資訊安全經理 (CISM) 可能需要接受廠商的專門培訓。 金管會三月時宣布金融業委外辦法大鬆綁，原本預計九月放行，提前至八月即可上... 資訊安全三要素之間存在互相牽制的關係，例如：過度強化機密性時，將造成完整性與可用性的降低，需要高可用性的系統則會造成機密性與完整性的降低，因此在有限資源的前提下，在資訊安全三要素中取得適當的平衡是資訊安全管理階層的重要課題。 事實上，在這次修法之前，金管會為了讓金融機關適應這樣的趨勢，這幾年來，持續與國內金融業者溝通，同時也循序漸進，提高國內業者對於資安專責主管的要求。
他們同樣需要了解公司的使命、說明他們的工作如何支持那個使命、向領導階層提供切實可行的洞見，並在整個組織營造以安全為重的文化。 銀行局副局長黃光熙則表示，「有38家銀行均要設」；並說明過去所有銀行業本來就要增設資安長，但每家資安長職務、職稱、組織架構不同，這次修法是統籌資安政策推動協調及資源調度，提升其對資安議題之執行能力。 安永風險顧問公司總經理萬幼筠，更以簡單一句話概括資安長在企業內部應扮演的角色，「資安長要做的事情就是企業經營。」所以，除了符合法遵要求，作為稱職的資安長，必須能夠定義資安角色與職掌功能，也要了解企業面臨的風險並連結績效指標，最後更要知道如何配合業務發展策略，投入相對應的資源。 主管機關要求公司設立資安長，主要是因為資安事件已經和公司營運脫離不了關係，這也可以從證交所於2021年4月27日修訂「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」來看。 資訊安全長2023 從處理準則的規定來看，只要公司還有獲利、還有賺錢的能力，這上千家公司都必須在2023年底前，依法設立資安專責主管（統稱資安長），以及至少一名資安專責人員；但如果是營運虧損的公司，金管會則是採取鼓勵措施，希望公司至少能夠設立一名資安專責人員。
資訊安全長: 金融機構要設資安長
資安長長年以來是國外的熱門職缺，但臺灣企業因為產業規模較小，加上對於資安防護意識較為薄弱，除了外商公司之外，本土企業少有資安長（CISO）的職缺。 Papadopoulos補充說，企業關注的是策略上的優先要務，而不是回應進來的資訊，因此成為當今資訊安全長普遍且值得注意的挑戰。 傑出的資訊安全長會在以下各方面表現優異：透過簡明且文件收錄完整的策略或優先要務清單運作；促使最重要的利害關係人同意並分攤優先要務該盡的責任，使它們能由外部驅動，而不只是資訊安全長本身的優先要務；以及花時間和其他的資訊安全長展開同行間的對話，專注於本身最重要的問題，而不是回應其他人的最重要問題。 Glover補充說，資訊安全長需要確認可以獲得支持的企業領域，以及基於信任、同理心和目的明確，才能努力建立協作關係。 今(18)日國際媒體報導全球第五大貨櫃船公司赫伯羅德正在考慮參與對韓國最大航運公司韓新遠洋(HMM)的收購競標，對此擁有韓國中央大學國際貿易研究所博士學位的高雄科技大學教授楊鈺池指出，經他請教韓國海運政策有名的韓鍾吉教授，韓教授認為韓國政府過去花那麼多納稅人的錢來救HMM，不可能讓這家公司賣給外商。 資訊安全長 在一起永續科技公司在全國商業總會舉辦的第五屆品牌金舶獎的服務創新組中獲獎，該公司董長薛煒立目前正在積極推廣彩繪太陽能板，建議政府在公有地區廣設彩繪太陽能板，除了美觀、解決反光與折射問題，還可由企業投資設立，將取得的綠電轉換成碳權，解決企業面臨的歐盟碳稅問題。
保險局長施瓊華指出，為提升保險業對資安議題的執行能力，並簡化保險業出具聲明書的作業程序近期修正法規。 新法規規定，資產1兆元以上的保險公司須指派「副總經理以上或職責相當之人」兼任「資訊安全長」。 其中，有8家保險公司符合規定，其中已設有資安長的包括：國壽、富邦人壽、全球人壽，其他5家：南山、新光、中國、台灣、三商美邦人壽，須在「保險業內部控制及稽核制度實施辦法」修正條文生效後起六個月內調整。 櫃買中心表示，配合「公開發行公司建立內部控制制度處理準則」第9條之1之修正，要求符合一定條件公司應指派綜理資訊安全政策推動及資源調度事務之人兼任資訊安全長，及設置資訊安全專責單位、主管及人員。 Ans：從第五點開始，從內、外、上、下四個層面的資通訊環境皆須採零信任思維，重新檢視，納入資安自律規範，並詳細計畫、記錄、嚴密監控管理與稽核。
資訊安全長: 資訊安全人員
金管會27日指出，為推動「金融資安行動方案」，銀行、保險、證券期貨等符合條件的金融機構都要指派「副總經理以上或職責相當之人」兼任資訊安全長，也就是38家銀行、8家保險公司、13家券商、2家期貨商、4家投信都要設資安長，金融機構必須在法規發布後六個月內完成設置。 為進一步推動「金融資安行動方案」，金管會指出，將修正「金融控股公司及銀行業內部控制及稽核制度實施辦法」，增訂銀行業應指派副總經理以上或職責相當之人兼任資訊安全長，以統籌資安政策推動協調及資源調度，提升其對資安議題的執行能力。 金管會銀行局表示，自5月27日預告修正草案後，9月7日說明已完成預告程序，預計9月底前就會正式發布施行。
至於證期局與銀行局，這兩個單位也回覆我們，他們表示，這次修法已經完成預告程序，將於近期發布後施行，正式發布時間將在這幾日內或9月底前。 此外，他們在9月7日也再次公布相關修訂內容，說明本次修法即將施行。 經我們洽詢各局之後，目前看來，保險局作業進度最快，他們已修法完成並正式發布施行。
資訊安全長: 台灣變被駭之島？議員憂高雄資安處理量能差北、桃一截
本公司於110年針對公司營運類資產如維修資訊系統、網路設備等資訊設備，投保硬體設備電子保險，透過保全監控、門禁管制作業避免設備被竊或惡意損毀情事發生。 金管會表示，修正草案將依行政程序法規定並於近日內公告，為廣納多方意見以期修正方向臻於周延，除了刊登行政院公報外，也將於金管會網站刊登該草案之總說明及修正條文對照表，各界如有任何意見，請於公告翌日起60日內，至金管會「本會主管法規整合查詢系統」網站之「法規草案預告論壇」網頁內陳述意見。 雲端安全著重於在雲端環境中打造及託管應用程式，並確保第三方雲端應用程式的使用安全。 一般而言，國際資訊系統安全認證協會之類的非營利組織可提供業界廣泛接受的安全證照。 這類證照包括 CompTIA Security+ 以及資訊系統安全認證專家 (CISSP) 等等。
- 郭佳君指出，券商符合條件必須設的有13家，其中，富邦、華南永昌證券兩家已經設有資安長，其餘11家都要在法規發布以後六個月內設置，法規預估2021年8月可發布，所以最晚2022年第一季內調整完成就可以。
- 依照實際需求給予實體適當的權限，一般建議採最小權限（Least privilege），意即僅給予實際作業所需要的權限，避免過度授權可能造成的資訊暴露或洩漏。
- 金管會進一步指出，聯徵中心將透過雙方合約方式，建立對金融科技業者的事前輔導審查，及事後查核等管理機制，確保金融科技業者符合個資保護及資訊安全風險控管能力。
- Southard表示她建立這個職務是要確保資安部門可以盡快反應，還要能夠協調所有能帶來成效的各種任務。
- 他表示資安主管希望應用程式安全性工程師，具備對DevOps全面性的瞭解、DevOps管道工具的認識、與開發團隊共同作業的能力(或實際這麼做的經驗)、健全的網路應用風險認知，以及當然要有資安方面合格身份。
- 根據北檢起訴書的第14頁證據清單，吳達偉於調查局及偵查中之證述，提及「高虹安另外需要助理，請其幫忙找到陳姓助理（證人），並透過歷久公司付薪資給陳姓助理，歷久公司再跟永齡基金會請款」。
資訊安全這一術語，與電腦資安和資訊保障（information assurance）等術語經常被不正確地互相替換使用。 這些領域經常相互關聯，並且擁有一些共同的目標：保護資訊的機密性、完整性、可用性；然而，它們之間仍然有一些微妙的區別。 資訊安全長2023 對於強制金融機關設立資安長一事，金管會去年8月公布金融資安行動方案之時，已經列入計畫要推動，後續也研議修法一事。 他表示，人資主管希望員工具備雲端平台作業的經驗，理想上這個人要有特定平台訓練或認證。 Southard知道多數資安團隊裡──包括她自已的，都有專人處理弱點。
資訊安全長: 公司治理情形
20世紀末以及21世紀初見證通信、電腦硬體和軟體以及資料加密領域的巨大發展。 小巧、功能強大、價格低廉的計算裝置使得對電子資料的加工處理能為小公司和家庭使用者所負擔和掌握。 資訊安全長2023 在網際網路上快速增長的電子資料處理和電子商務應用，以及不斷出現的國際恐怖主義事件，增加了對更好地保護電腦及其儲存、加工和傳輸的資訊的需求。
至於，第二級的上市櫃公司，則必須要在2023年底前設立資安專責主管，以及至少1名資安專責人員，總計有1,321家企業；其他266家第三級上市櫃公司，鼓勵企業配置至少1名資安專責人員。 蔡麗玲進一步指出，第二階段則是其餘上市櫃公司（約1,367家）除最近3年稅前純益連續虧損或最近1年度每股淨值低於面額者外，應在2023年底前配置資訊安全主管及資訊安全人員。 至於第三級，則為為第一級以外的上市櫃公司，最近 3 年度稅前純益有連續虧損，或最近年度每股淨值低於面額。 金管會對第三級沒有強制要求，不過仍鼓勵這些公司可設置至少 1 名資安專責人員。
