10. 營運持續管理（CC-20000，半年查核）
（1） 應明確訂定（例如：電腦設備、通訊設備、電力系統、資料庫、電
      腦作業系統等備援及回復計畫）故障復原程序，並落實執行且留存
      紀錄。
（2） 故障復原程序應週期性測試，測試後應召開檢討會議，針對測試缺
      失謀求改進，並留存紀錄。
（3） 公司應每年至少執行一次營運衝擊分析，評估核心系統可容忍中斷
      時間、復原時間目標（RTO ）、資料復原點目標（RPO ），並擬訂
      營運持續計畫（含起動條件、參與人員、緊急程序、備援程序、維
      護時間表、教育訓練、職責說明、往來外單位之應變規劃及合約適
      當性等）及其必要之維護，依其所屬資安分級定期辦理業務持續運
      作演練，且視演練範圍是否涉及第三方，邀請相關廠商參與演練。
      網際網路下單證券商應依經紀業務規模市占率暨自然人客戶數比率
      分級，訂定核心系統可容忍中斷時間。
（4） 公司應依所屬資安分級建置異地備援機房，並依營運衝擊分析結果
      於異地備援機房建置對營運具重大影響之核心系統，以維持營運持
      續運作能力。（註：異地備援機房建置範圍由交易主機擴大至對營
      運具重大影響之核心系統，自 116  年 12 月底生效。）
（5） 公司應訂定資訊安全訊息通報機制（例如：正式之通報程序及資安
      事件通報聯絡人），針對與資通系統有關之資訊安全或服務異常事
      件應依「證券期貨市場資通安全事件通報應變作業注意事項」及「
      證券商通報重大資安事件之範圍申報程序及其他應遵循事項」辦理
      ，並採取適當矯正程序，留存紀錄。
（6） 公司發生個人資料之竊取、竄改、毀損、滅失、或洩漏等資安事故
      者，應立即函報證交所（或櫃檯買賣中心、券商公會）轉陳主管機
      關。
（7） 公司應明確訂定分散式阻斷服務攻擊（DDoS）防禦與應變作業程序
      ，並每年進行演練。
（8） 公司應辦理下列資安防護事宜：
      1.指定人員及部門統籌並協調聯繫各有關部門。
      2.定期評估核心營運系統及設備，對評估結果採取適當措施，並提
        報董事會，以確保營運持續及作業韌性之能力。
      3.於永續報告書、年報、財務報告或公司網站，揭露年度內公司持
        續核心營運系統及設備營運所需之資源及落實於年度預算或教育
        訓練計畫等項目。
（9） 公司應辨識風險情境，就各項風險情境當災害發生造成資訊作業異
      常或中斷時，擬定各系統之應變、減災或復原措施相關作業流程。
（10）核心系統原服務中斷時，應於可容忍時間內，由備援設備或其他方
      式取代並提供服務。
（11）證券商資訊委外作業如涉及核心資通系統與資通服務，資訊服務供
      應商應定期提供資通系統與資通服務之回復計畫，回復計畫可以災
      難復原計畫、備援演練、營運持續計畫等形式呈現。