1. 政策目的

鑑於資訊安全乃維繫各項服務安全運作之基礎，為確保以柔資訊股份有限公司（以下簡稱本公司）具備共識落實資訊安全的使命，特訂定資訊安全政策（以下簡稱本文件），做為本公司資訊安全管理系統的最高指導原則。

2.政策目標

本公司資訊安全目標為確保核心系統管理業務(意即ISO27001驗證範圍內之資訊系統與相關管理活動)之機密性（Confidentiality）、完整性 （Integrity）、可用性（Availability）。並依各階層與職能定義及量測資訊安全績效之量化指標，以確認資訊安全管理系統實施狀況及是否達成資訊安全目標。

2.1 機密性:應避免本公司任何機密/敏感資訊未經授權的存取。
2.2 完整性:應確保本公司核心系統或重要資料之正確性。
2.3 可用性:應確保本公司核心系統備份與備援機制的可靠度。

3. 適用範圍

本政策適用於本公司所有資訊系統、數據庫、應用程序以及處理或儲存個人資料的相關業務單位。所有員工、合作夥伴及第三方服務供應商均須遵守本資訊安全政策。

4. 組織與權責

本公司已建立並實施符合國際標準的資訊安全管理系統（ISMS），以識別、管理和減輕與資訊安全相關的風險。該系統定期進行審查和更新，確保其有效性和合規性。

5. 實施原則

資訊安全管理系統之實施應依據規劃（Plan）、執行（Do）、查核（Check）及持續改善（Action）循環模式，以週而復始、循序漸進的精神，確保資訊安全之有效性及持續性。

6. 審查與評估

我們已建立嚴密的存取控制機制，確保僅有經授權的員工和合作夥伴可訪問公司內部系統及數據。每位使用者均需經身份驗證並進行權限管理，所有訪問行為將被記錄並定期審核。

6.1 本文件應至少每年評估審查一次，考量法令法規、科技變化、關注方期望、業務活動、內部管理與資源等最新現況，確保資訊安全實務作業之有效性。
6.2 本文件應依據審查結果進行修訂，並經總經理/資安管理委員會受指派人員發佈後始生效。
6.3 本文件訂定或修訂後應以適當方式（例：E-Mail或網站公告或紙本印出）告知利害關係人，如：所屬員工、供應商、客戶、外部稽核人員等。

7. 系統維護與更新

本公司資訊系統及軟體會定期進行安全更新及維護，以應對最新的安全威脅。我們會進行例行漏洞掃描，並根據需求立即修補潛在的安全漏洞。

8. 資訊安全事件管理

我們設有資訊安全事件應對機制，如發生安全事件，將立即啟動應急處理流程，迅速查明原因，並採取必要的補救措施，減少事件影響。同時，我們會依據《個資法》的要求，於法定期限內通知受影響的資料主體。

9. 員工與合作夥伴資訊安全培訓

為強化員工及合作夥伴的資訊安全意識，本公司定期開展資訊安全培訓，涵蓋最新的資安趨勢、資料保護法規及本公司的資安政策。所有員工需熟悉並遵守資訊安全的相關規定。

10. 外部審核與合規

為確保資訊安全政策的有效性與合規性，本公司定期接受外部資訊安全審核，並會根據審核結果進行改進。我們的資訊安全管理體系已通過ISO 27001國際標準認證，並符合台灣相關法規。

11. 持續改善與風險管理

本公司承諾將持續進行風險評估與政策改善，並及時採取措施應對不斷變化的安全威脅。我們將定期審視資訊安全風險，並調整政策以應對新的挑戰。

12. 參考文件

本公司ISO27001一階至四階文件。