6.實體與環境安全（CC-16000，半年查核）
（1） 電腦機房應有門禁管制（例如：刷卡）。
（2） 機房應有防火設施，並應定期檢驗。
（3） 另應將地震、水災等天然災害因素列入考量。
（4） 電腦設備之電源供應系統應含不斷電設備及發電機。
（5） 應訂定設備報廢作業程序，報廢前應將機密性、敏感性資料及授權
      軟體予以移除或實施安全性覆寫。

8.存取控制（CC-18000，每月查核）
（1） 公司應訂定資訊系統存取控制相關規定，並以書面、電子或其他方
      式告知員工遵守。
（2） 權限管理：
      a.對於程式的存取使用，應有詳細的書面管制說明。
      b.人員異動時應及時更新其使用權限。
      c.對於程式及檔案之存取使用，應按權限區分。
      d.委外人員電腦通行使用權利應經適當控管; 委外期間結束後，應
        立即收回該項權利。
      e.對於進駐於公司內之委外作業人員應納入公司安全管理，如欲使
        用內部網路資源時，應有安全管制措施（如透過轉接方式或另建
        網路者，宜與內部網路作實體隔離）。
      f.應定期（至少每半年一次）審查並檢討久未使用之使用者權限（
        使用者為客戶者除外）。
（3） 密碼管理：
      a.使用者第一次使用系統時，應更新初始密碼後方可繼續作業。
      b.密碼應以亂碼方式儲存。
      c.對於使用者忘記密碼之處理，應有嚴格的身分確認程序，方可再
        次使用系統。
      d.初始密碼應隨機產生，並與使用者身分無關。
      e.密碼輸入錯誤次數達三次者，應予中斷連線。
      f.除輸入介面僅可輸入數字外（例如：語音按鍵下單），公司應使
        用優質密碼設定（長度 6  個字元（含）以上，且具有文數字或
        符號），並加強宣導客戶定期更新使用者密碼以不超過三個月為
        宜。除客戶外，公司其他使用者之密碼應至少每三個月變更一次
        。
      g.檢查公司現有之網站、伺服器、網路芳鄰、路由器、交換器、作
        業系統及資料庫等軟硬體設備應設定使用密碼，且避免使用預設
        （如 administrator、root、sa）或簡易（如 1234 ）之帳號密
        碼及未設管理者存取權限。
（4） 電腦稽核紀錄管理：
      a.對重要系統（如主機連線系統、網路下單系統等）之稽核日誌記
        錄內容應包括使用者識別碼、登入之日期時間、電腦的識別資料
        或其網址等事項。
      b.對上開重要系統之電腦稽核紀錄，應有專人定期檢視。
（5） 資料輸入管理：
      a.安全性或重要性較高之資料，應由權責主管人員核可後始得執行
        輸入或修改。
      b.所輸入或修改之資料及其執行人員姓名、職稱皆應留存紀錄。
      c.對隱密性高之重要資料（例如：密碼檔）應以亂碼後之資料形式
        存放。
      d.公司如屬公開發行公司者，應於內部控制制度納入「公開發行公
        司網路申報公開資訊應注意事項」，並據以辦理相關申報事宜。
      e.使用電子憑證 IC 卡或其他類型憑證晶片卡或其他憑證載具等代
        表公司簽署之作業（例如：「公開資訊觀測站」、「證券商申報
        單一窗口」、「公文電子交換系統」等），該等憑證載具應由專
        人負責保管並設簿登記，且應訂定相關帳號、密碼保管及使用程
        序，並據以執行。
      f.使用代表公司憑證載具簽署之作業系統端若屬證券商應用系統者
        （例如：「電子對帳單系統」），應留存電腦稽核紀錄（log ）
        ，其保存年限比照各作業資料應保存年限。
      g.為業務需要以電腦所處理或蒐集之個人資料，應依「電腦處理個
        人資料保護法」之規定向主管機關登記。
      h.應依「電腦處理個人資料保護法」，妥善處理客戶資料。
      i.公司應定期或不定期稽核依電腦處理個人資料保護法定義之個人
        資料檔案管理情形。
      j.前揭個人資料檔案之資料，其更新、更正或註銷均應報經核准，
        並將更新、更正、註銷內容、作業人員及時間詳實記錄。
（6） 資料輸出管理：
      a.報表是否按時產生並分送各使用單位。
      b.機密性、敏感性之報表列印或瀏覽是否有適當之管制程序。

9.系統開發及維護（CC-19000，半年查核）
（1） 應用系統在規劃分析時應將資訊安全需求納入分析及規格。
（2） 輸入資料是否有作檢查，以確認其正確性。
（3） 應使用具有合法版權之軟體。
（4） 委外作業應簽訂契約，委外作業契約內容應包含資訊安全協定與對
      委外廠商資安稽核權等條款。
（5） 已完成之程式因故需維護時，應依據經過正式核准之程序辦理。
（6） 各項文件與手冊應經適當維護與控制。
（7） 應用系統之維護應指派專人負責。
（8） 應用系統異動管理：
      a.正式作業與測試作業之程式、資料、工作控制指令等檔案應分開
        存放。
      b.程式經修改其相關文件應及時更新。
（9） 公司應定期（至少每半年乙次）辦理資訊系統弱點掃描作業，針對
      所辨識出之潛在系統弱點，宜評估其相關風險或安裝修補程式，並
      留存紀錄（適用網際網路下單證券商，不適用語音下單及傳統下單
      之證券商）。