臺灣證券交易所 法規分享知識庫

條文內容

名  稱:

建立證券商資通安全檢查機制 

Establishing Information Security Inspection Mechanisms for Securities Firms

修正日期: 民國 113 年 05 月 15 日
主題分類: 市場監理 > 證券商管理
10. 營運持續管理(CC-20000,半年查核)
(1) 應明確訂定(例如:電腦設備、通訊設備、電力系統、資料庫、電
      腦作業系統等備援及回復計畫)故障復原程序,並落實執行且留存
      紀錄。
(2) 故障復原程序應週期性測試,測試後應召開檢討會議,針對測試缺
      失謀求改進,並留存紀錄。
(3) 證券經紀商之交易主機應有備援措施,並依所屬資安分級建置異地
      備援機房。
(4) 公司應擬訂營運持續計畫(含起動條件、參與人員、緊急程序、備
      援程序、維護時間表、教育訓練、職責說明、往來外單位之應變規
      劃及合約適當性等)及其必要之維護,並擬訂關鍵性業務及其衝擊
      影響分析,評估核心系統中斷造成之衝擊程度,並依核心系統之復
      原時間目標(RTO )、資料復原點目標(RPO ),作為恢復核心系
      統、備份備援規劃及執行復原作業之依據,再依其所屬資安分級定
      期辦理業務持續運作演練。公司應視演練範圍是否涉及第三方,邀
      請相關廠商參與演練。
(5) 公司應訂定資訊安全訊息通報機制(例如:正式之通報程序及資安
      事件通報聯絡人),針對與資訊系統有關之資訊安全或服務異常事
      件應依「證券期貨市場資通安全事件通報應變作業注意事項」及「
      證券商通報重大資安事件之範圍申報程序及其他應遵循事項」辦理
      ,並採取適當矯正程序,留存紀錄。
(6) 公司發生個人資料之竊取、竄改、毀損、滅失、或洩漏等資安事故
      者,應立即函報證交所(或櫃檯買賣中心、券商公會)轉陳主管機
      關。
(7) 公司應明確訂定分散式阻斷服務攻擊(DDoS)防禦與應變作業程序
      。
(8) 公司應辦理下列資安防護事宜:
      1.指定人員及部門統籌並協調聯繫各有關部門。
      2.定期評估核心營運系統及設備,對評估結果採取適當措施,並提
        報董事會,以確保營運持續及作業韌性之能力。
      3.於永續報告書、年報、財務報告或公司網站,揭露年度內公司持
        續核心營運系統及設備營運所需之資源及落實於年度預算或教育
        訓練計畫等項目。
(9) 公司應辨識風險情境,就各項風險情境當災害發生造成資訊作業異
      常或中斷時,擬定各系統之應變、減災或復原措施相關作業流程。
(10)核心系統原服務中斷時,應於可容忍時間內,由備援設備或其他方
      式取代並提供服務。
(11)證券商資訊委外作業如涉及核心資通系統與資通服務,資訊服務供
      應商應定期提供資通系統與資通服務之回復計畫,回復計畫可以災
      難復原計畫、備援演練、營運持續計畫等形式呈現。

相關函釋:

資料來源:臺灣證券交易所 法規分享知識庫 twse-regulation.twse.com.tw