資通安全內控之實施，必須在首長充分瞭解與支持下，方能見效
呂東英
蔡旭昇
我國證券櫃檯買賣市場與集中交易市場同為證券流通市場之一環，政府自民國71
年10 月恢復債券櫃檯買賣市場，77 年2 月由台北市證券商業同業公會之櫃檯買賣
服務中心籌辦股票櫃檯買賣業務。由於交易制度未臻健全，市場始終不活絡，為
健全資本市場，提高櫃檯買賣市場之功能，財政部於民國82 年、83 年初多次召集
會議，檢討櫃檯買賣市場之建制、功能及組織型態等相關問題，遂決定規劃設立
財團法人中華民國證券櫃檯買賣中心，以公益性的財團法人組織來推動櫃檯買賣
市場之發展。
本中心秉持「以發展國民經濟，並保障投資為目的」為設立宗旨。主要提供上櫃
股票、興櫃股票及債券（含公債、公司債、金融債券及其衍生性商品）之買賣市
場。經由櫃檯買賣市場之運作，引導民間儲蓄及社會游資發展國家經濟。
本中心現設有審查部、監理部、交易部、債券部、資訊部、稽核室、管理部及內
稽小組等部門。本中心業於95 年10 月取得興櫃股票電腦議價點選系統及債券等
殖成交系統之開發、維護及操作的ISO27001 認證；在組織上，其認證範圍包括資
訊部全體人員、管理部之人事財會組及總務組的採購業務與內稽小組。
惟本文所謂資通安全範圍，除前開之ISO27001 系統與組織認證範圍外，尚包括固
定收益證券（含公司債及金融債券）交易系統、使用合法軟體、E—MAIL 信箱之使
用及辦公室安全；其中，使用使用合法軟體、E-mail 信箱之使用及人員與辦公室
安全等三項，其組織範圍及於全體同仁；至於固定收益證券交易系統之組織範圍，
則同ISO27001 認證範圍。上櫃股票交易系統亦已取得ISO27001 認證，但因其係
委託臺灣證券交易所開發、維護及操作，故不屬本文討論範圍。
•資訊資產風險管理與控制措施
一、 風險管理
（一） 資訊資產分類
包括資訊紀錄、電腦系統、人員、服務與實體設備等五種。茲說明如下：
1. 資訊紀錄
包括資料檔、資料庫、合約、系統文件、品質管理系統文件與紀錄、
資通安全管理系統文件與紀錄、使用與操作手冊與表單紀錄。
2. 電腦系統
包括電腦作業系統、應用系統、開發工具、套裝軟體及公用程式。
3. 人員
（1） 內部人員
即本中心編制內員工。
（2） 外部人員
非本中心員工，包含外部人員如警衛、清潔工、總機、司機、
工讀生、委外廠商及承包商等。
4. 服務
包括電力服務、空調服務、網路服務及通訊服務。屬支援應用系統之
基本服務。
5.實體設備
（1） 工作區
如辦公區、管制區（設有門禁管制區域）及電腦機房。
（2） 設備
A. 電腦
包括主機、伺服器、終端機、筆記型電腦與個人電腦。
B. 通訊設備
包括集線器、路由器、網路交換機、傳輸線路、數據機、PBX
交換機、傳真機與答錄機等。
C. 儲存媒體
包括磁帶櫃、磁帶機、磁帶、磁碟片、光碟片、隨身碟與識別
證IC 卡等。
D. 其他技術設備
如不斷電系統、電源供應器、空調設備、發電機與門禁設備等。
（二） 資訊資產風險評鑑
1. 資產清查
資訊部各組、管理部人事財會組與總務組採購及內稽小組應將所管理
之資訊資產，將資產分類、名稱、管理人及存放地點等資料列於表一
中。
表一 資產清冊（一）––安控前
資產
類別
資產
名稱
管理人數量 存放
地點
資產屬性與其價
值
資產價
值
機密性 完整性 可用性
債券等殖
成交系統
電腦系統 設計組 1 組 主機房
電腦機房
門禁管制
實體設備 王君 1 式 主機房
網路架構 服務 工程組 1 式 工程組
債券等殖
成交系統
主機
實體設備 工程組 1 組 主機房
主機系統
管理者
人員 李君 1 員 辦公區
程式館 電腦系統 工程組 1 式 主機
隨身碟 實體設備 工程組 若干 內外部人員
委外合約 資訊紀錄 管理部 1 式 管理部
不斷電系
統
實體設備 工程組 1 組 機電設備機
房
2. 資產評價
各資產管理人應依各資訊資產之機密性、完整性及可用性來評估各
該資產的價值，資產價值依管理者之重視程度而定，具有主觀判斷
之特性；以下各等級如其值愈高，則代表資產價值愈高。
A. 機密性
其等級分為一般、內部（敏感）及機密，分別以1、2、3 來表
示。
B.完整性
完整性指保護資產的準確性。若缺乏完整性保護，所造成資訊
資產之嚴重程度分別為低、中、高及極高，分別以1、2、3、
4 來表示。
B. 可用性
指對資訊資產基於被授權者之需要而得以存取及使用該資產
之特性，分為低、中、高及極高，分別以1、2、3、4 來表示。。
經依資產管理者判定所得之資產價值如表二。
表二 資產清冊（一）續––安控前
資產
類別
資產
名稱
管理人數量 存放
地點
資產屬性與其價
值
資產價
值
機密性 完整性 可用性
債券等殖
成交系統
電腦系統 設計組 1 組 主機房 3 4 4 11
電腦機房
門禁管制
實體設備 王君 1 式 主機房 2 3 3 8
網路架構 服務 工程組 1 式 工程組 2 4 4 10
債券等殖
成交系統
主機
實體設備 工程組 1 組 主機房 2 4 4 10
主機系統
管理者
人員 李君 1 員 辦公區 3 3 3 9
程式館 電腦系統 工程組 1 式 主機 3 4 4 11
隨身碟 實體設備 工程組 若干 內外部人員 2 3 3 8
委外合約 資訊紀錄 管理部 1 式 管理部 2 2 2 6
不斷電系
統
服務 工程組 1 組 機電設備機
房
1 1 1 3
（三） 威脅�脆弱點�衝擊分析
1.威脅
如果沒有適當的控制措施，可能對組織、系統和資產資造成傷害的事
件謂之。例如水災及地震等天災或人為的疏失或蓄意的破壞。以地震
為例，如果有異地熱備援系統這控制措施，當本中心現行系統因地震
而無法運作時，異地備援系統可在1 小時內接手運作。
威脅發生的可能性分為低、中及高，分別以1、2、3 來表示。
2.脆弱點
為組織資訊安全的弱點或漏洞。它本身並不會造成傷害，而是可能允
許〝威脅〞影響資產安全的一種或多種情況。脆弱點被利用的難易度
分為低、中及高，分別以1、2、3 來表示。威脅與脆弱點如何分別，
茲舉例說明之：
A. 沒有操作手冊是脆弱點；操作人員錯誤為威脅。
B. 維護廠商進出主機房無資訊人員陪同是脆弱點；未授權存取為威
脅。
3.衝擊分析
A. 衝擊的程度
當資訊資產的威脅來源攻擊特定的脆弱點而使得資產受損、被破
壞、失能或外洩時，會對資訊資產造成不同程度的衝擊與損失。
衝擊程度可分為微弱、輕度、嚴重及癱瘓4 個等級，分別以1、2、
3、4 來表示。
B.破壞事件發生之嚴重性
破壞事件發生之嚴重性＝弱點被利用的難易度＋威脅發生的可
能性＋衝擊的程度
經依附件四∼六之標準所求得之破壞事件發生之嚴重性如表三。
表三 資產清冊（二）––安控前
資產
名稱
資產
價值
破壞事件屬性 破壞事件發
生嚴重性
風險值
弱點利用難易度 威脅發生可能性衝擊程度
債券等殖成
交系統
11 2 2 4 8
程式館 11 2 2 3 7
債券等殖成
交系統主機
10
2 2 2 6
網路架構 10 1 2 3 6
主機系統管
理者
9 2 2 2 6
隨身碟 8 2 1 3 6
電腦機房門
禁管制
6 1 2 2 5
委外合約 6 1 1 1 3
不斷電系統 3 1 1 1 3
（四） 風險值計算
風險值＝資產價值 × 破壞事件發生之嚴重性，亦即
風險值＝（機密性＋完整性＋可用性）×（弱點被利用的難易度＋威脅發
生的可能性＋衝擊的程度）
經依上述公式所求得之風險值如表四。
表四 資產清冊（二）續––安控前
資產
名稱
資產
價值
破壞事件屬性 破壞事件發
生嚴重性
風險值
弱點利用難易度 威脅發生可能性衝擊程度
債券等殖成
交系統
11 2 2 4 8 88
程式館 11 2 2 3 7 77
債券等殖成
交系統主機
10
2 2 2 6 60
網路架構 10 1 2 3 6 60
主機系統管
理者
9 2 2 2 6 54
隨身碟 8 2 1 3 6 48
電腦機房門
禁管制
6 1 2 2 5 30
委外合約 6 1 1 1 3 18
不斷電系統 3 1 1 1 3 9
（五） 風險等級分類
1. 風險級距計算
本中心風險等級分為5 級，其級距（Y）＝【風險最大理論值－風險最
小理論值＋1】 ÷ 5
由表四，本中心風險最大理論值為88，最小理論值為9，級距為16。
2. 風險等級範圍與影響情況
甲級：73∼88；非常嚴重
乙級：57∼72 ；嚴重
丙級：41∼56 ；普通
丁級：25∼40 ；輕微
戊級： 9∼24 ；可忽略
（六） 決定可接受風險等級
可接受風險等級的決定依各單位對風險的接受程度而有所不同；本中心可
接受風險等級訂為丙級、丁級及戊級；不可接受等級為甲級及乙級。
二、 建議控制措施
由表四可知，債券等殖成交系統之風險等級為甲級，程式館為乙級，此二者於
安控實施前均為不可接受風險。必須實施控制措施，
以降低風險至可接受程度。茲說明如下：
（一）債券等殖成交系統
1. 須建立獨立的網路，俾與其他交易系統有所區隔。
2. 須設有防火牆以防止外部人員存取。
3. 須辨認系統使用者之身分。
4. 交易資料在本中心與證券商間傳輸時，必須以加密方式為之。
5. 須設有證券商使用系統會談時間（session time-out）限制之機制。
（二）程式館
1. 應用程式在程式館與測試系統或開發系統間之簽出或簽入（sign
in/out）時，須由專人負責。
2. 對存取程式館之活動必須予以記錄。
3. 須設有存取權限控管機制。
4. 在主機房內禁止使用隨身碟，以防止拷貝該程式館。
•內部稽核之實施
一、 內部稽核組織與作法
本中心內部稽核小組自95 年7 月起即隸屬董事會，目前內稽小組共有三位同仁，
包括總稽核、副組長及專員各一位。編制雖精簡（在證券暨期貨四個周邊單位
中，稽核人員佔員工人數比例不及1.5﹪者，只有本中心，其他三個單位均超過
2﹪），不過三位同仁均擔任實地查核工作，可謂充分利用人力。
本中心之稽核報告除ISO 9001 及ISO 27001 有專責督導副總負責外，均直接呈
董事長核准，每月均將上個月之稽核結果函報各監察人，各監察人亦時常指出
內控問題或稽核重點，並要求相關業務部室提出說明或改善，或指示內稽小組
加強查核。另外，按季將稽核結果提報董事會通過後，再報證期局核備。
本中心之稽核程式（audit program），不管是ISO 或非ISO 查核，均依前開風
險評鑑(risk assessment)程序所得出的結果，對風險較高者，增加其查核項目、
查核頻率及抽樣數量。
二、 稽核重點
（一） 資訊安全政策
1.資訊安全政策是否書面化？是否經總經理核准？
2.資訊安全政策是否透過各種管道，如內部網站、主管會報或教育訓練等，
傳達全體員工？
3.資訊安全政策是否定期檢討修正？
（二） 內外部組織之資訊安全
1.所有資訊安全的責任是否清楚被定義？
2.資訊安全的活動於實施前是否經來自相關部門不同職責之代表協調與溝
通？
3.是否備有特殊利害團體或主管機關（如證期局、行政院資安會報、消防隊
及資通安全外稽單位等）之聯絡名單及聯絡方式？
4.是否對新的資訊處理設施（information processing facility）訂定授權
或核准程序？
5.是否在允許客戶使用本中心資訊或資產之前，即明確告知安全需求？
6.與軟硬體及網路設備維護廠商所訂之第三方合約是否載明安全要求？
7.與第三方之合約是否訂有（如遇可歸責於他方之事由者）重議或終止條款？
此點很重要，可免除外包案或維護案遇到廠商無法如期完成或無法提供要
求品質時的解決之道。
（三） 資產管理
1.是否備有資產清冊？該清冊是否清楚定義所有資產？
2.是否所有與資訊處理設施結合之資訊及資產，均明確界定其擁有者
（owner）？
3.是否對所有與資訊處理設施結合之資訊及資產，均明確訂定其可接受的使
用規則？
4.資產是否依其價值、法規之要求及對組織之機密性與敏感性來加以分類？
5.是否依資產分類來對資產做標識？
（四）人力資源安全
1. 是否對所有應徵人員進行背景查證？
2. 新進員工是否簽訂『員工保密及服務聲明書』？聲明恪遵各項業務與資安
法規及本中心相關作業規定之安全責任和要求。
3.是否對違反資訊安全的聘僱人員訂有處罰規定？
4.抽問在職員工是否瞭解資訊安全政策與目標？
5.是否對離職員工立即取消其所有系統帳戶？是否於員工辦理離職手續
時，即收回其所擁有之識別證、門禁卡與設備鑰匙？
（五）實體與環境安全
1.進出主機房是否設有門禁刷卡管制及登記進入者姓名與事由？對於誤刷門
禁者，是否調查其原因？
2.廠商人員進出主機房除登記姓名與事由外，是否有資訊部人員陪同？
3.主機房是否設有攝錄影設備？錄影資料是否保存一定期限？錄影範圍是否
存在死角？
4.門禁刷卡設備之記憶體容量是否足夠？有無已刷卡而未儲存紀錄的情事發
生？
5.主機房內及其附近是否未堆放易燃物品？
6.是否設有偵查煙霧、液漏、溫度及電力供應的環境監控系統？對於警報是
否記載其原因及處理措施？
7.遇到台電電力中斷時，不斷電系統及發電機是否在預定時間內發揮功能？
8.電腦纜線是否受到保護而免於資料被攫取或被破壞？
9.電腦設備報廢或出售前，是否先將所儲存之敏感或機密性資料移除？
10.電腦軟硬體及通訊設備是否依維護合約進行維護？每次維護後是否填寫
維護紀錄？
11.人員進出主機房時，是否規定不得攜帶手機、隨身碟或PDA 等可拷貝或
無線傳輸資料之可攜式設備？
本文節錄自61 期季刊
財團法人中華民國證券櫃檯買賣中心 董事長 呂東英
總稽核 蔡旭

3