資訊安全

對於科技發展所帶來的網路威脅與風險變化，持續檢視相關規範與措施之妥適性，建立完整的網路及電腦安全防護系統，每年不定期進行系統弱點掃描及修補、執行滲透測試、社交工程演練、資通安全教育訓練等，並透過導入ISO 27001資訊安全管理系統驗證及建置SOC（資訊安全監控中心），確保資安與網路風險控管的適當性及有效性。2023年總處及海外分行投入資安經費占全部資訊預算費用之比率為12.676%。

1、資訊安全管理

本行已訂定「美國地區分行網路安全評估準則」，自2016年即採用美國聯邦金融機構檢查委員會 (FFIEC) 發展之CAT (Cybersecurity Assessment Tool，網路安全評估工具) 執行評估作業。另本行已建置資安監控 (SOC) 中心，由資安處及資訊處共同維運，並每月召開會議進行報告與檢討。本行於2023年參與集團資安會議4次，集團資安會議已有聘請外部資安顧問加入，並對集團子公司之資訊管理提出專業建議。

2、資通安全管理方案

• 已建置資訊安全管理體系制度，訂有「資訊安全政策」、「資通安全防護基準要點」及資訊作業與資訊安全相關內部規範，2015年及2022年分別導入資訊安全管理系統 (ISO 27001:2013) 及營運持續管理系統 (ISO 22301:2019) 。爾後每年皆依國際組織要求，通過驗證，以強化管理系統綜效，提升並維持高度系統穩定、可用、可靠性，以應變突發資訊資安事件。另自行辦理滲透測試作業、開發物聯網預設密碼檢測平台，也積極參與金管會金融駭客入侵模擬演練。另榮獲F-ISAC舉辦金融資安攻防演練「金融場第一名」，也是金融業首家將SOC、KPI、KRI整合為「資安風險儀表板」之銀行，並於2023年參與F-ISAC舉辦會員情資分享積分競賽，榮獲F-ISAC會員情資分享表現特優機構佳績。

3、異地備援演練

為因應重大資安事件、天然災害等風險，維持核心業務運作，強化核心資料安全，本行資訊系統已建置異地備份與備援環境，定期實施本異地備援之切換，涵蓋各類系統之協同運作、內部資源之配置調度及資訊網路之調整界接等，均已納入對外服務實際運作驗證，打造營運不中斷之服務；Windows系統與海外分行系統於2023年7月22日完成實際業務運作驗證，IBM大型主機真實資料切換演練已於2023年8月27日完成，演練業務包含全部自行、跨行之電子交易及BTT分行端末系統並納入對外服務實際運作。

3、資訊安全教育訓練

• 兆豐金融集團於2023年11月15日辦理董監事資安教育訓練專設課程3小時，本行董監事皆已完訓。

• 員工資訊安全教育訓練及證照
  為使客戶安心使用兆豐銀行提供之服務，需確保員工具備資訊安全知識與提升意識，每年辦理資訊安全相關教育訓練，並透過實體、線上授課及辦理演講，讓員工每年提升資安知識以因應多變的資安議題。2023年相關教育訓練主題與內容包含「資訊安全防護實務」、「物聯網與數位轉型下的資安風險」、「ChatGPT 資安宣導」、與「ESG企業永續發展與資安治理策略」等；本行規劃員工參加資訊安全相關專業課程並鼓勵取得證照，如：iPAS資訊安全工程師初級能力鑑定、TCSE（趨勢認證資訊安全專家）及CCNA（思科認證網路工程師）等，截至2023年底本行員工共取得79張資安防護相關證照。

• 資訊安全管理機制與措施