資訊安全具體管理方案
依公司資訊安全政策，制定「資訊安全管理辦法」，從各層面進行資訊安全管理及風險評估，以期降低資訊安全風險，具體管理方法如下：
一、人員管理
對資訊相關職務及工作進行安全性評估，各資訊系統妥善分工，各及業務主管應督導所屬員工資訊安全作業防範不法及不當行為，處理重要或機密資料檔案人員應簽訂保密切結書。
二、資訊安全教育訓練
（一）一般員工每年至少接受3小時資訊安全訓練。
（二）資訊安全管理人員，每年至少接受15小時資訊安全管理訓練。
（三）每月至少一次對員工進行資安宣導。
三、電腦系統安全管理
（一）各系統主機定期進行資訊安全風險等級評估，依評估結果進行漏洞修補及風險改善。
（二）員工使用之個人電腦定期進行作業系統安全性更新並安裝防毒軟體及導入端點防護工具，避免員工電腦被駭。
（三）進行社交工程演練，避免員工遭受社交郵件詐騙，電腦感染加密病毒或惡意程式，讓駭客入侵內網進行破壞。
四、網路安全管理
（一）公司對外網路服務除安裝防火牆進行保護，另外也架設入侵防禦系統(IPS)，偵測防火牆無法阻擋之不當連線及惡意攻擊活動。
（二）訂定新興科技網路及資訊安全管控辦法，規範公司網路環境建置、雲端服務提供與使用以及社群媒體與行動裝置的使用方式，避免不當的設定或使用造成資安漏洞。
（三）導入DDoS防禦機制，避免公司對外頻寬或主機遭受大量連線攻擊，癱瘓網路或造成主機資源用盡無法提供服務。
（四）導入應用程式防火牆(WAF)，保護網路下單系統，避免遭受各種WEB攻擊。
五、系統及資料存取控制
（一）公司內網路磁碟機分享，應設定密碼保護，避免非相關人檢視或取用。
（二）重要與機密資料檔案指定專人保管並定期進行備份，資料存放於實體安全區域，例如機房或保險櫃。
（三）人員離職即取消其各項電腦使用權限。
（四）電腦或儲存媒體報廢，先將其內資料確實刪除。
（五）個人資料存取皆留存軌跡紀錄。
六、應用系統開發及維護安全管理
（一）系統開發各階段將資訊安全納入考量。
（二）系統上線前先進行原碼檢測，確認程式碼未含後門、漏洞或惡意程式，於測試環境測試無誤後才正式上線。
（三）程式上線或換版先經審核，並由專人負責處理。
（四）行動應用程式上線或重大改版前先請專業機構進行行動應用程式資安檢測，合規後才進行上線或換版，上線後每年進行行動應用程式資安檢測一次。
七、資訊資產安全管理
訂定資訊設備管理及使用辦法，規範各項資訊設備及網路的使用及管理方式，避免不當使用造成資安風險。
八、實體及環境安全管理
（一）重要資訊設備皆放置於資訊機房，訂定資訊機房管理辦法，對機房安全進行管理。
（二）資訊機房皆設門禁管理，避免非授權人員隨意進出。
（三）使用印表機、事務機等影印、列印文件必須立即將資料取走，避免資料外洩。
九、個人資料保護
（一）訂定個人資料檔案安全維護計畫及業務終止後個人資料處理方法，要求各部門依業務屬性及個資管理方式訂定各自之個人資料檔案安全維護辦法。
（二）個資保護範圍包含所有客戶以及員工之個人資料，各部門皆指派專人負責保管個資，各部門主管為該部門個資權責單位主管。
（三）各單位每年辦理一次個資盤點與個資自評，並將個資自評結果呈報董事會。
（四）每年辦理一次個資保護教育訓練，提高員工個資保護意識及能力。
十、業務永續運作計畫之規劃與執行
（一）訂定資訊業務持續運作管理辦法，以維持各資訊系統能夠永續運作。
（二）重要核心系統皆建置異地備援環境，並每半年進行一次備援演練，確保業務能夠持續運作。
十一、資安事件通報與情資收集
（一）訂定資訊安全事故管理辦法，要求同仁發現資安事故，應立即向上級或資安人員通報。
（二）加入資安協防組織，不定期接收資安情資，依情資檢視公司是否有相關風險進而進行修補改善。
十二、資訊業務委外管理
訂定資訊設備委外廠商管理辦法，要求委外廠商執行委外業務應遵守本公司資安政策，共同維護本公司之資訊安全。
十三、於董事會呈報資訊安全整體執行情形
每年3月前將前一年度資訊安全政體執行情形呈報董事會，讓公司治理階層了解本公司資訊安全執行所遇到之資訊安全問題，以及面臨之資訊安全風險以供公司治理及資訊安全預算審批參考。