上市上櫃公司資通安全管控指引修正重點：新增AI風險管理、強化資安防護及營運持續韌性
發布日期：115年11月13日
為強化上市上櫃公司資通安全管理及因應新興科技風險，《上市上櫃公司資通安全管控指引》修正內容，進一步強化企業在營運持續、系統安全檢測、供應鏈管理、資安事件應變及人工智慧（AI）應用等面向之管理要求。
本次修正特別新增「人工智慧（AI）風險管理」專章，並納入端點偵測與應變（EDR）、零信任架構、第三方軟體元件管理等措施，提供企業強化資通安全治理之參考依據。
一、主要修正重點
1. 強化營運持續與資料備份機制
針對核心業務之營運持續管理，除訂定復原時間目標（RTO）及資料復原時間點目標（RPO）外，進一步增列：
- 建立供災難復原使用之異地備份機制。
- 採取離線備份或不可變更備份，降低勒索軟體攻擊影響。
- 定期辦理核心業務營運持續計畫演練，並檢討改善演練結果。
2. 強化系統安全檢測與第三方元件管理
新增第三方軟體、服務及函式庫等元件之安全管理要求，並強化資通系統安全檢測機制：
- 鑑別第三方軟體及元件，並宜於契約中規範供應商漏洞通報與修補責任。
- 針對核心資通系統辦理資安檢測及弱點修補。
- 增列資料庫安全檢視、定期源碼掃描及依風險程度評估辦理紅隊演練。
- 對外服務資通系統依風險評估結果，選擇適當之安全檢測項目。
3. 提升資安防護與存取控制能力
因應日益複雜之網路攻擊手法，強化企業端點防護、網路隔離及身分鑑別措施：
- 增列端點偵測與應變機制（EDR）。
- 核心系統或機敏性資料區域，宜運用微分段（Micro-segmentation）技術強化網路隔離。
- 評估於核心資通系統採取多因子鑑別（MFA）等零信任架構措施。
- 強化首次登入變更密碼及遠端存取安全管理。
4. 強化資安事件應變與演練
除既有資安事件通報及應變程序外，增列定期辦理資安事件應變處置演練之要求，以驗證應變程序有效性，提升企業面對資安事件時之應變能力。
5. 新增人工智慧（AI）風險管理專章
本次修正新增第九章「人工智慧（AI）風險管理」，針對涉及核心業務、機敏性資料或具備系統操作能力之AI應用，提出風險管理措施：
- AI使用管理： 宜訂定員工使用AI系統或服務之安全規範，管理未經授權之使用行為。
- 安全評估與測試： 導入、開發或重大變更AI系統時，依風險程度辦理安全評估或測試。
- 供應鏈風險管理： 強化AI模型及第三方元件之安全管理。
- 代理AI（Agentic
AI）管理： 限制AI可使用之資料、工具及執行權限，對重大或不可逆之自動化操作建立人工核准或其他適當控制機制。
- 監控與紀錄： 依風險程度建立操作紀錄及異常行為監控機制。
另針對僅供查詢、摘要、翻譯、教育訓練及內部草稿等低風險輔助用途，且未涉及前述高風險應用情形者，得依既有資通安全管理措施辦理。
二、企業建議因應方向
上市上櫃公司可依本次修正內容，優先檢視下列管理事項：
- 檢視資安管理制度： 盤點現行資通安全政策、管理程序及風險評估機制，確認是否涵蓋新增管理要求。
- 強化技術防護措施： 評估備份復原、EDR、MFA、系統安全檢測及弱點修補等措施之適切性。
- 完善供應鏈管理： 檢視第三方元件管理、供應商安全責任及漏洞通報機制。
- 建立AI使用規範： 盤點企業AI應用情形，依風險程度訂定使用、授權、安全評估及監控措施。
- 落實演練與持續改善： 定期檢視營運持續及資安事件應變機制，透過演練與稽核持續提升管理成效。
三、結語
本次指引修正反映企業資通安全管理逐步朝向營運韌性、主動式威脅防護、供應鏈安全及AI風險治理等面向發展。
企業可依產業特性、組織規模及資安風險，評估適當之管理與技術控制措施，並結合ISO/IEC 27001資訊安全管理系統及ISO/IEC 42001人工智慧管理系統，持續強化資通安全治理能力。
策略數位服務有限公司提供資訊安全管理制度輔導、資安風險評估、技術安全檢測及相關教育訓練服務，協助企業檢視現行管理機制，提升資通安全防護與持續改善能力。
資料來源：
《上市上櫃公司資通安全管控指引》
《上市上櫃公司資通安全管控指引修正條文對照表》（115年11月9日）
沒有留言:
張貼留言