資訊安全政策

目的

為確保台灣微網科技股份有限公司（以下簡稱「本公司」）之資訊資產在機密性（Confidentiality）、完整性（Integrity）及可用性（Availability）方面獲得適當保護，並依據 ISO/IEC 27001:2022 建立、實施、維護及持續改善資訊安全管理系統（ISMS），特訂定本資訊安全政策。

適用範圍

本公司就微電網能源管理系統、邊緣控制器軟體、軟體加值訂閱服務及相關軟硬體整合服務之研發、建置、維運與技術支援活動所涉及之資訊安全管理。

政策聲明

本公司承諾依循 ISO/IEC 27001:2022 要求建置並維護 ISMS，落實風險導向之管理方法，確保資訊安全目標達成。

本公司將建立並維持必要之資訊安全組織與資源配置，明確定義角色、責任與權限，確保政策與控制措施得以有效運作。

本公司將遵循適用之法令、法規、契約與其他要求（含客戶、供應商與委外契約義務），確保資訊安全管理之合規性。

本公司將建立風險評鑑與風險處置流程，針對資訊資產、威脅、脆弱性與衝擊進行評估，選擇並實施適用之控制措施（含適用性聲明 SOA）。

本公司將強化存取控制、身分驗證與權限管理，採取最小權限與職務分離原則，並定期檢討權限。

本公司將落實資產管理與資料保護，包含資料分類分級、標示、儲存、傳輸、備份、留存與銷毀等管理要求。

本公司將建立事件通報與處置機制，對資訊安全事件進行識別、通報、調查、矯正與預防，並保留必要紀錄。

本公司將規劃營運持續與復原能力，確保關鍵資訊與服務於中斷時可被適當維持與復原。

本公司將對人員實施資訊安全教育訓練與宣導，提高安全意識，並針對違反政策之行為依規定處理。

本公司將定期執行內部稽核與管理審查，衡量 ISMS 有效性與績效指標，並持續改善。

資訊安全目標與量測

本公司依營運需求與風險評鑑結果訂定資訊安全目標，並建立可量測之指標與監測機制（例如：事件處理時效、帳號清查、備份成功率、弱點修補時程、教育訓練達成率等），以確保 ISMS 之有效性。目標與指標至少每年或於重大變更時檢討。

角色、責任與權限

本公司至少應明確下列責任（可依組織規模合併職務）：

資訊安全委員會：核定資訊安全政策與目標，提供資源並支持 ISMS 推動。

資訊安全推行小組：規劃與推動 ISMS，監督控制措施落實，彙整績效並向管理階層報告。

稽核小組 : 依年度稽核計畫執行 ISMS 內部稽核，確認各部門控制措施落實情形，追蹤不符合事項矯正改善，並保持稽核獨立性

各部門主管：確保所轄流程符合政策與程序，配合風險處置與改善。

全體人員（含約聘/外包/實習）：遵循本政策與相關規範，保護公司與客戶資訊，並依程序通報事件。

溝通與文件化資訊

本政策與 ISMS 相關文件化資訊應以適當方式對內部人員與必要之外部利害關係人進行溝通，並依文件與紀錄管制規定進行版次管理、保存與調閱。

違反處理與持續改善

如發現違反本政策、相關程序或法規要求之情形，應依矯正措施程序進行原因分析、矯正、預防與追蹤驗證。本公司將透過監測量測、稽核、管理審查與事件管理等結果，持續改善 ISMS。

檢討與更新

本政策至少每年由管理階層檢討一次，或於下列情形發生時立即檢討：重大組織變更、營運或系統重大變更、重大資訊安全事件、法規或契約要求變更。

核定

本政策經最高管理階層核定後公布施行。