12信息安全管理办法

12信息安全管理办法文件名称：信息平安管理方法

文件编号：GL-012-2024

初版发行日期：2024.5.1

版次：01

资管制：课编

核：审

准：核新版发行日期：

分发号管制章

目的：1.

确保电脑系统能平安的正常运作，及系统数据档案文件平安使用。

2.范围：

适用于公司内部，MIS制度管理人及系统使用人员。

3.职责：

3.1董事长室

3.1.1资管课

(A)文件之制作与执行

(B)文件遗失、补分发之申请

(C)文件修改、废止之审议

3.2.2文控室

(A)文件登录与编码发行

(B)原版文件之保管

(C)文件管制作业

3.2其它相关单位

(A)文件之遵行

(B)文件遗失、补分发之申请

(C)文件修改、废止之审议

4.流程图：

无

5.信息平安管理规定：

5.1一般个人计算机管理方法：

5.1.1使用者计算机一律不准使用抽取式硬盘或刻录机。

5.1.2使用者计算机主机不准私自装设烧录器，如有工作上之必要性，须有部门主管之同意认可，且部门主管、直属主管及使用保管者须签名，以示负责。

只能使用资讯人员安装级系统，Server使用者计算机，操作系统不准为5.1.3．

的window标准板版。

5.1.4为爱护个人信息平安，计算机须设定屏幕爱护装置，同时不得私自移除设定。如参与会议、外出等长时间不使用计算机，必需注销系统或关机。

5.1.5使用者计算机防毒程序不得私自移除或是停用以避开病毒感染。

5.2电脑机房平安管理规定：

5.2.1电脑机房之平安管制由资讯管理单位人员负责。

5.2.2电脑机房人员进出需详填人员进出纪录表。

5.2.3非资讯人员，未经资讯单位主管托付许可，不得进出机房。5.3服务器平安管理规定

5.3.1非资讯人员，未经资讯单位主管托付许可，不得接触服务器。

5.3.2服务器系统变更需详填系统异动纪录表。

5.3.3服务器遇有不正常运作之现象发生时,应依紧急处理方法处理。

5.3.4系统管理人员于电脑机房动作完毕后，务必登出系统，并关闭电脑萤幕。

5.3.5系统管理人员对于服务器主机密码负有保管与保密责任，系统登入时，应避开他人窥视。

5.4作业系统账号密码规定

5.4.1帐号之密码固定长度不低于6位数，不大于12位。

5.4.2密码设定必需符合密码设定原则（参考密码设定原则5.8）。

5.4.3帐号之密码每月更换一次，并告知资讯部门主管。

5.4.4变更新密码不得与前3次旧密码相同。

若有迹象显示使用者密码遭破解时，应马上更改密码。5.4.5

5.5ERP系统管理规定

5.5.1帐号之密码固定长度为6位数。

5.5.2密码设定必需符合密码设定原则（参考密码设定原则5.8）。

5.5.3帐号之密码每月更换一次，并告知资讯部门主管。

5.5.4变更新密码不得与前3次旧密码相同。

5.5.5若有迹象显示密码遭破解时，应马上更改密码。

5.6网络设备帐号管理规定

5.6.1帐号之密码固定长度不低于6位数，不大于12位。

5.6.2密码设定必需符合密码设定原则（参考密码设定原则5.8）。

5.6.3帐号之密码每半年更换一次，并告知资讯部门主管。

5.6.4变更新密码不得与前3次旧密码相同。

5.6.5若有迹象显示密码遭破解时，应马上更改密码。

5.7使用者帐号密码规定

5.7.1ERP帐号密码规定

5.7.1.1帐号之密码固定长度不低于6位数，不大于12位。

5.7.1.2密码设定必需符合密码设定原则（参考密码设定原则5.8）。

5.7.1.3若有迹象显示密码遭破解时，应马上更改密码。

5.7.1.4密码连续错误输入3次，帐号会被锁定，使用者需通知管理员解锁。

5.7.2邮箱密码规定

位数。6帐号之密码固定长度不低于5.7.2.1

5.7.2.2密码设定必需符合密码设定原则（参考密码设定原则5.8）5.7.2.3若有迹象显示密码遭破解时，应马上更改密码。

5.7.2.4密码连续错误输入3次，帐号会被锁定，使用者需通知管理员解锁。

5.8密码设定原则：

5.8.1肯定避开的密码：

5.8.1.1严禁不设密码

5.8.1.2与帐号相同

5.8.1.3与电脑名称相同

5.8.1.4生日、身分证字号、英文姓名、电话等个人以及公司部门资讯。

5.8.1.5使用1111、1234、123456、2000、aaaa、abcdef此类简洁的组合。

5.8.1.6不要使用难记的密码，一个使用者无法记住的密码是无意义的。

5.9应当避开的密码：

5.9.2.1避开全部使用数字。

5.9.2.2避开使用字典找得到的英文单字或词语,如iloveyou、superman.

5.9.2.3避开连号或挨次，更不要重覆键盘字母,如qwertyui、nopqrs、987654。

5.9.2.4密码别写在你工作位置的任何地方，如桌面、萤幕、键盘背

面抽屉里等。

5.10.3较佳的密码原则：

5.10.3.1密码越长越好,最短也应当在六个字以上。

5.10.3.2密码没有任何明显含义。

5.10.3.3密码要能记得住，一个连使用者都无法记住的密码是无意义的。

5.10.3.4一个不易被破解的密码应至少要有:

一个大写英文字母或以上。-

-一个小写英文字母或以上。

-一个数字或以上。

-一个特别符号或以上(如标点符号或是@#|>这类符号)。

5.11.4一些密码设定小技巧：

5.11.4.1可以让l=1or!or|，O=0，S=5，A=4，q=9。

5.11.4.2以中文输入法按键来当成密码，例如密码的注音输入为

5j4up。

5.11.4.3以英文的一句谚语或一段歌词，取每个英文字字首当成密码。.

5.11.4.4以两个英文字或数字穿插，例如:abcd+1234=a1b2c3d4，不过两段数字的穿插是没有意义的。

5.11.4.5自行变化原则，可以把上面的综合起来使用，也可以自订

原则如镜像方式、藏头去尾方式。

5.12资料平安管制：资料平安等级划分–依资料平安之重要性,兹

划分为三种等级.

5.12.1一般：无平安之虞，可供全体员工阅览之资料。

5.12.1.1储存于主机内之公司资料共用区。

5.12.1.2发送于全体的电子邮件。

5.12.2管制：不主动公开，亦不得散布，唯仍允许申请阅览之资料。

5.12.2.1电脑帐号申请单–非经处、部级以上主管同意,不得阅览之。

5.12.2.2系统权限变更需求表单–非经处、部级以上主管同意,不得阅览之。

5.12.2.3软硬体使用申请书–非经处、部级以上主管同意,不得阅览之。各部门共用区。仅部门自己有掌握权。5.12.2.4

5.12.3机密：非经相关单位处、部级以上主管及个人之一级主管同意，不得阅览、复制及列印之资料。

5.12.3.1储存于主机内之全部资料。

5.12.3.2ERP主机内之全部资料：

-ERP之资料一律列为机密等级，使用者仅得就自己本身之作业权限，透过

ERP系统来存取资料。

-使用者之作业权限分为新增、修改、删除、查询与列印。

-使用者之作业权限需填写申请单，经处、部级以上主管核可,并会签相关部门后，方可新增、修改及异动。

-负责ERP资料修正之资讯管理单位人员，依资料变更需求进行资料修正，应遵守资料变更流程。

5.17移动设备(笔记型电脑)平安管制：移动设备依财产属性之划分

–公司财产，员工私有，客户厂商自有三种类别。

5.17.1公司财产之移动设备：

5.17.1.1一律列入控管，并且必需经资讯管理单位人员强制安装防毒管控软体，协作相关软硬体使用规定，以维护公司资讯平安。

5.17.1.2单人专用之移动设备，使用人应负保管之责谨慎使用。

5.17.1.3部门共用之移动设备，经使用完毕后，应先将设备软硬体恢复至借用前状态，再交回所属单位保管人保管，以利后续人员使用。

5.17.2.员工私有之移动设备：

(121有正值合理需求时，系统使用者得填写私有移动设备使用申请书5.17.2.1

私有移动设备使用申请(附件2))，依规定进行申请，经程序申请核

准后，方可带进公司使用。

5.17.2.2经最高主管授权同意后，且必需于公司连网使用存取共用资源者，根据

5.17.11条规定进行处理.

5.17.3客户厂商自有之移动设备：

5.17.3.1因公务往来客户及厂商到厂内若提出访用网际网路的需求时，在不透通公司内部网路及兼顾公司资讯平安为原则，可供应线路予以使用。得通知资讯管理单位人员以旁路方式帮助进行连网设定。

5.17.3.2若要接入公司内部网路使用时，必需经资讯管理主管授权同意后，资讯单位人员方可帮助进行连网设定。

5.18资料输出设备平安管制：

资料输出设备包含各种内接式或USB连接之烧录器及卸除式存放装置…等能复制拷贝资料之输出设备。

5.18.1于公司内部电脑使用资料输出设备一律列入控管，并由资讯管理单位人员进行防毒管控。

5.18.2公司部级以下全部人员在公司内部电脑使用资料输出设备一

律禁止使用，若有特别需求必需使用，则需经公司最高主管授权同意后，由资讯管理单位人员进行使用设定，方可使用。

5.19信息平安培训管理方法

5.19.1新进员工培训管理：

每月底，依据人事供应合格新进人员名单，使用《信息平安管理方法》《计，进行信息平安制度培训，使系统使用者能够了解岗位信息算机

管理方法》

平安职责，熟识与其相关的各项信息平安制度，具备工作所需的信息平安学问和职能。

5.19.2在岗员工培训管理：

每年依据在职人员名单，