資訊安全作為

資訊安全組織

在當前數位化的浪潮下，網路、IT 系統和數據安全的重要性日漸攀升，主管機關和利害關係人對公司資訊安全的要求和期待也與日俱增，若是公司系統品質低下，發生資料外漏事件或遭遇服務中斷事件會導致高昂的成本並造成公司的聲譽受損。有鑑於此，立積成立跨部門資訊安全管理小組，由總經理為小組召集人，資訊部門與行政管理部門負責主導及規劃，各業務相關單位配合執行;資訊安全管理小組定期召開會議檢討公司資安系統運作的執行情形，並規範每年至少 1 次向董事會報告公司資訊安全事務的執行情形，以取得來自公司最高層級的建議與指導，藉此確保公司資訊安全管理運作之有效性。資安小組於 2023 年 12 月 21 日向董事會報告公司的資安事務運作狀況，並獲得董 事會的指導與確認。

資訊安全政策

為確保本公司提供的資訊服務可穩定使用，並能有效保障員工、供應商及客戶相關資訊資產之機密性、完整性與可用性，立積定有經董事會通過之「資訊安全風險管理政策與程序」，規範公司在資訊資產盤點、資訊安全宣導、公司資料保密、資訊設備維護與備援、個人電腦安全系統維護、資訊安全事件通報之作為，藉此保障公司資訊業務的永續運作。

本公司透過資訊安全管理程序文件，確保各項系統電子資料安全性與正確性，並達到使公司營運業務持續正常運作之政策目標。 本政策涵蓋公司所有的系統資料及資訊設備，並明文規範公司的資訊安全控管作業(包含權限控管、檔案管理和防毒措施)、資料處理作業、資訊設備管理與維護作業、表單填寫作業及表單保存期限，以此確保公司系統能夠有效的進行分級管控、重要資料能夠受到妥善的保管和檢閱審核、資訊系統能夠有充分的保護和備援;此外，公司亦定期建置資料備份系統進行災難復原演練，配合資安系統建構有效資訊安全防護環境，確保企業持續營運。2022 年本公司共執行了 13 次資訊系統安全更新、6 次應用系統安全更新、6 次郵件主機系統安全更新、1 次防火牆升級、1 次內部端點掃描(健檢)和員工電腦 EDR 掃描(健檢)，透過多層次的系統更新升級與系統健檢，確保公司的資訊系統安全無虞。

2022 年資安管理規劃

1. 每年安排外部資安廠商針對公司進行一次資安健檢 / 演練(包含 電子郵件社交工程演練 / 弱點偵測)
2. 每年安排一次資料還原演練，針對重要的備份資料進行還原驗證，確保還原的資料正確無誤
3. 每年應安排至少一次系統安全更新，針對重大系統漏洞進行修補(patch)更新
4. 應建立資安通報機制，並成立資安小組，進行全面性的資安管理

立積電子資訊安全管理措施

資訊安全教育訓練

為建立同仁的資訊安全觀念，使每一位員工都成為公司資訊安全保護網的一環，立積針對每一位新進員工都進行資訊安全教育訓練，並且不定時的透過電子郵件對公司同仁進行資安宣導。資安新人教育訓練涵蓋公司資訊系統介紹、文件管理系統介紹、電子表單操作介紹、電腦及網路使用規範、USB 使用注意事項等議題，由公司資安主管向所有新進同仁進行引導說 明，以確保其能夠有效依循公司的資訊安全制度與規範。公司亦持續觀察當前社會的資訊安全現況，針對其中的高度風險議題製作資訊安全宣導，寄發給全公司同仁以避免危害事件發生，2022 年透過內部公告系統，進行多次資訊安全宣導，議題包含帳戶安全管理及釣魚詐騙信件等，藉此提高同仁的資安意識和使用email 的警覺心，並提醒同仁定期進行系統登入密碼更換;我們透過線上方式於 11 月舉行年度資安教育 訓練，向全公司同仁分享國內外資安事件及其造成的損失，提醒同仁常見的資安風險、駭客攻擊手法、社交工程及密碼管理注意事項，共有 299 人參與、累計時數共 299 小時，我們並將課程錄影留在公司的文管系統，方便同仁隨時進行線上學習與複習。

2022 年資安教育訓練規劃

1. 每年辦理 2 次資訊安全教育訓練，每次最少一小時(包含資安意識 / 社交工程)
2. 不定期對內發布相關資安通報(提供特殊的資安件分析報告)

客戶隱私

立積重視客戶的個人資料與客戶隱私，以嚴謹負責的態度蒐集並管理客戶資訊。在與客戶簽約時，我們將保密協議書列為正式合約的一部分，以正式的文件規範公司同仁及合作夥伴雙方都需確實遵循資料保密行為;在取得客戶資訊後，資料會立即建檔以電子化的形式留存，透過公司的資訊安全管理系統進行維護，並搭配帳戶權限管理機制，確保公司能夠有效控管客戶隱私資料的使用。此外，本公司設有專人及電子郵件信箱，處理有關公司消費者權益申訴之相關問題，確保消費者之申訴能夠被公平且即時的回應。2022 年，立積無發生任何違反客戶隱私之投訴事件。