1.風險評鑑與管理（CC-11000，適用網際網路下單證券商，不適用語音下
單及傳統下單之證券商，年度查核）
（1） 應鑑別公司適用資訊安全風險範圍內之所有資訊資產以及其擁有者
。
（2） 應確定公司各作業可接受之資訊安全風險等級。
（3） 公司應至少每年進行一次資訊安全風險評鑑，並留存相關紀錄，營
運相關的重大風險與控管措施議題（包括新產品、新興技術和資訊
系統的風險）應納入風險評估範圍，以確保公司政策、程序和控管
措施之有效性。
（4） 應評估核心系統可容忍中斷時間、復原時間目標（RTO ）、資料復
原點目標（RPO ），並依經紀業務規模市占率暨自然人客戶數比率
分級，訂定核心系統可容忍中斷時間。
|