资通安全攸关企业的营业秘密能否完善保护，合一生技制订信息安全政策，对内亦采取具体防范措施以落实资通安全。公司2021年责由信息部成立资通安全委员会，由董事长担任召集人，并设立资通安全管理代表一职，委员会下设资通安全小组及内部稽核小组，共同制定资通安全政策(以下简称本政策)暨执行计划。资通安全小组每季向资通安全管理代表报告公司资安管理现况，每年检讨资安政策。另外由稽核室成立内部稽核小组负责稽核，每年定期执行抽核资通安全政策执行情形，追踪改善计划执行成效。2022年资通安全小组设有2人，内部稽核小组设有1人，期间召开1次资通安全会议，年内并未发生重大资通安全违规事件。
资通安全组织架构
为维护公司信息资产之机密性、完整性与可用性，期藉由本政策之实施以达成下列目标：
| 资通安全政策 |
- 建立安全及可信赖之信息化作业环境，确保本公司数据、系统、设备及网络之安全，以保障本公司业务永续运作。
- 保护本公司业务服务之安全，确保信息需经授权人员才可存取信息，以确保其机密性。
- 保护本公司业务服务之安全，避免未经授权的修改，以确保其正确性与完整性。
- 建立本公司业务永续运作计划，以确保本公司信息业务服务之持续运作。
- 确保本公司各项业务服务之执行须符合政府相关法令（如：资通安全管理法、刑法、国家机密保护法、专利法、商标法、著作权法、个人资料保护法等）规范之要求。
- 为保护本公司业务相关个人资料之安全，免于因外在威胁，或内部人员不当之管理与使用，致遭受窃取、窜改、毁损、灭失、或泄漏等风险。
- 提升对信息资产之保护与管理能力，降低营运风险。
|
资安具体管理措施
| 制定管理办法 |
- 合一生技为健全资通安全管理制度，于2022年3月完成ISO 27001认证，藉由国际资安管理标准落实相关管理制度，以提升同仁资通安全意识，建立正确的计算机网络使用准则，已分别制定资政策及相关管理程序书如下：资通安全政策、资通安全组织与目标管理程序书、信息资产管理程序书、资通安全风险评鉴、实体安全、作业安全、访问控制、资通安全事件管理等21本程序书及说明书。
|
| 资通技术 |
- 公司在信息安全防护上，加强软件与硬件方面多层次防护，其中包含，账号复杂性密码验证、主机与客户端防毒、上网行为管理/恶意网站防护、防火墙阻挡、主机数据备份、数据加密、网络IP管理等。
|
| 推广与改善 |
- 健全资通安全管理机制，提升同仁资通安全观念与强化自我保护意识，每年至少办理1次资通安全管理审查会，针对年内相关资安制度与事件进行监督与管制，另每年至少举行资通安全倡导3小时以及资通安全事件通报演练1次，2022年共计2场次，计有社交工程演练说明、上市上柜资安指引等教育训练。另外2022年执行4次电子邮件社交工程演练，以提升公司人员资安意识。
|
| 加入资安联防机制 |
- 为强化主动防御策略，合一生技已于2022年9月加入TWCERT/CC资安联盟，不定期透过该平台进行网骇情资交换，期藉由该联防机制，扩大公司资安防御广度。
|
资通安全事件通报与应变流程图
2021合一生技资安教育训练统计
注：涵盖率计算 = 参与人数 / 应参与总人数
2019-2022年资通安全管理执行成效
导入ISO27001 ISMS制度说明
为展现合一生技对于资安的重视程度，与国际资安标准接轨，合一生技已于2021年第三季导入ISO 27001 Information Security Management System（ISMS）机制，并于2022年3月通过BSI稽核取证。此次导入ISO验证项目，包含系统与管理面，执行项目包含风险评估、弱点修复、安全防护、风险验证、资产清查及风险评鉴及人员教育训练等工作项目，期符合国际信息安全管理规范，维护公司信息安全。
|
效期至2025年3月1日
|
※以上内容取自ESG报告书
