1 目的

⼤同醫護(以下簡稱本公司)為強化資訊安全管理，確保所屬之資訊資產的機密性、完整性及可⽤性，以提供本公司之資訊業務持續運作之資訊環境，並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅，特定此政策規範。

2 適用範圍

2.1 本公司所有單位及委外單位。

2.2 範圍訂定應考量：

2.2.1 背景環境、內外部議題

2.2.2 利害相關者（含法律、法規、合約）要求

2.2.3 單位所執行之活動間的界面及相依性

相關驗證範圍及利害團體關注事項之鑑別結果，展現於「IS-04-015-003資訊安全管理系統範圍」，並由公司主管核定。

2.3 資訊安全管理涵蓋14項管理事項，避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，對本公司未來各種可能之風險及危害。管理事項如下：

2.3.1 資訊安全政策。

2.3.2 資訊安全之組織。

2.3.3 人力資源安全。

2.3.4 資產管理。

2.3.5 存取控制安全。

2.3.6 密碼學

2.3.7 實體及環境安全。

2.3.8 運作安全

2.3.9 通訊安全。

2.3.10 系統獲取、開發與維護。

2.3.11 供應者關係

2.3.12 資訊安全事故管理。

2.3.13 營運持續管理之資訊安全層面。

2.3.14 遵循性。

3 定義

3.1 資訊資產：係指為維持本公司各項業務正常運作之硬體、軟體、資訊、人員及環境。

3.2 營運持續運作之資訊環境：係指為維持本公司各項業務正常運作所需之電腦作業環境。

4 目標

4.1 維護本公司資訊資產之機密性、完整性與可用性，並保障使用者資料隱私。藉由全體同仁共同努力來達成下列目標：

4.1.1 保護本公司業務活動資訊，避免未經授權的存取，確保其機密性。

4.1.2 保護本公司業務活動資訊，避免未經授權的修改，確保其正確完整。

4.1.3 建立跨部門之資訊安全組織，制訂、推動、實施及評估改進資訊安全管理事項，確保本公司具備可供業務持續運作之資訊環境。

4.1.4 辦理資訊安全教育訓練，推廣員工資訊安全之意識與強化其對相關責任之認知。

4.1.5 執行資訊安全風險評估機制，提升資訊安全管理之有效性與即時性。

4.1.6 實施資訊安全內部稽核制度，確保資訊安全管理之落實執行。

4.1.7 本公司之業務活動執行須符合相關法令或法規之要求。

5 責任

5.1 本公司的資訊安全管理委員會建立及審查此政策。

5.2 資訊安全組織成員透過適當的標準和程序以實施此政策。

5.3 本公司全體人員和委外服務廠商均須依照相關安全管理程序以維護資訊安全政策。

5.4 所有人員有責任報告資訊安全事件和任何已鑑別出之弱點。

5.5 任何危及資訊安全之行為，將視情節輕重追究其民事、刑事及行政責任或依本公司之相關規定進行懲處。

6 管理指標

為評量資訊安全管理目標達成情形，特訂定資訊安全管理指標如下：

6.1 凡本公司機密業務資訊或個人資料，須達全年零外洩，以確保本公司相關業務之機密性。

6.2 凡本公司業務相關資訊之完整性，須達100%，以確保本公司相關業務之完整性。

6.3 確保本公司資訊服務可用性之要求如下：

6.3.1 機房維運服務達全年上班時間95%以上。

6.3.2 關鍵業務系統服務達全年上線時間95%以上。

6.4 為確保本公司資訊安全措施或規範符合現行法令、法規之要求，每年至少需執行乙次內部稽核，每季至少需執行乙次內部有效性檢查，不得有違反法律之要求，以確保本公司相關業務之適法性。

7 審查

7.1 本政策應至少每年審查乙次，以反映政府法令、技術及業務等最新發展現況，以確保本公司永續運作及資訊安全實務作業能力。

8 實施

8.1 資訊安全政策配合管理審查會議進行資訊安全政策審核。

8.2 本政策經「資訊安全管理委員會」進行審核後實施，修訂時亦同。