編章節內容

名  稱:

證券暨期貨市場各服務事業網路安全防護參考指引 

修正日期: 民國 113 年 04 月 19 日
主題分類: 資訊作業
   第 四 章 網路連線安全
第 13 條
(網路連線安全憑證)
一、組織應確保 SSL/TLS  憑證之有效性及合法性,以維持網路連線之安
    全性。
二、組織如提供網路下單服務,應訂定憑證交付程序,避免非本人取得憑
    證,並搭配與登入雙因子之不同因子(例如: OTP、SIM 認證)驗證
    機制交付憑證,及全面使用認證機制。
第 14 條
(網路傳輸與連線安全管理)
一、組織在不影響營運狀況下應使用較安全的加密連線提供內/外服務。
二、組織如使用網路專線與合作第三方機構網路連線,應架設防火牆,關
    閉非約定之埠號以確保組織內部網域安全。
三、證券期貨業者如提供網際網路下單服務,畫面應採加密方式處理。
四、如有國際傳輸機敏資料時,組織應建立加密傳輸機制,當涉及客戶資
    訊,傳輸前應取得當事人授權且不違反主管機關對國際傳輸之限制,
    並留存完整稽核紀錄。
第 15 條
(遠端連線)
一、組織應訂定遠端連線管理辦法,建立使用限制、組態需求、連線需求
    及文件化,並建立安全的遠距連線機制,包含:採多因子身分驗證機
    制(員工帳號密碼、動態密碼、一次性帳密)、加密連線、採最小授
    權原則、留存完整使用者操作稽核軌跡、監控與警示異常操作行為、
    執行安全性漏洞更新等安控措施,並留存相關紀錄由權責主管定期覆
    核。
二、組織須限制僅能由組織內人員登入連線,設備操作軌跡應保有完整紀
    錄,並依據職掌作業時間訂定可開放連線時段相關規範。
三、組織須透過安全的連線機制來阻擋惡意或未經授權之連線,並以最小
    權限原則設定規則及關閉非必要之埠號,並應監控網路流量及異常警
    告及中斷連線機制。
四、組織須以最小授權原則,對使用者進行存取系統權限之差異化管理,
    僅能有執行業務之必要功能權限,關閉非必要之系統功能授權。