资通安全攸关企业的营业秘密能否完善保护，本公司制定信息安全政策，对内亦采取具体防范措施以落实资通安全：由信息部成立资通安全小组，制定资通安全政策暨执行计划，并推动落实与检讨改善，每季向资通安全管理代表报告资通管理现况；另外由稽核室成立内部稽核小组负责稽核，每年定期执行两次抽核资通安全政策执行情形，追踪改善计划执行成效。2024年资通安全小组设有2人，内部审计小组设有1人，期间召开1次资通安全会议，且未发生重大资通安全违规事件，并于2024年11月11日向风险管理委员会及董事会报告运作情形。
|
资通安全为合一的重大风险议题之一，由董事长为资通安全管理委员会召集人，授权资讯长为管理代表，推动资通安全管理及运作、重要资讯保护措施、灾害演练与执行计划等。若有特殊事件或措施，将提报风险管理委员会执行相关计划。
于2021年规划导入ISO 27001 Information Security Management System（ISMS），确认导入验证范围后将进行落差分析与修正，包含系统与管理面，执行项目包含风险评估、弱点修复、安全防护、风险验证、资产清查及风险评鉴及人员教育训练等工作项目，并完成相关文件建置，并已于2022年3月2日由国际验证公司BSI核发通过认证证书，证书效期至2025年3月1日止。 |
|
资通安全组织架构
| 制定管理办法 |
| 合一生技为健全资通安全管理制度，于2022年3月完成ISO 27001认证，借由国际资安管理标准落实相关管理制度，以提升同仁资通安全意识，建立正确的电脑网路使用准则，已分别制定资政策及相关管理程序书如下：资通安全政策、资通安全组织与目标管理程序书、资讯资产管理程序书、资通安全风险评鉴、实体安全、作业安全、存取控制、资通安全事件管理等22本程序书及说明书。 |
| 资讯技术 |
| 公司在资通安全防护上，建立软体与硬体多层次防护，包含帐号复杂性密码验证、主机与用户端防毒、上网行为管理、恶意网站防护、防火墙阻挡、主机资料备份、资料加密、网路IP管理等。 |
| 推广与改善 |
| 健全资通安全管理机制，提升同仁资通安全观念与强化自我保护意识，每年至少办理1次资通安全管理审查会，针对年内相关资安制度与事件进行监督与管制，另每年至少举行资通安全宣导3小时以及资通安全事件通报演练1次，2022年共计2场次，计有社交工程演练说明、上市上柜资安指引等教育训练。另外2023年执行4次电子邮件社交工程演练，员工遭钓鱼成功机率为9.13%，以提升公司人员资安意识。 |
| 加入资安联防机制 |
| 为强化主动防御策略，合一生技于2022年9月加入TWCERT/CC资安联盟，不定期透过该平台进行网骇情资交换，期借由该联防机制，扩大公司资安防御广度。 |
资通安全事件通报与应变流程图
2023年资安教育训练统计
注1：ISO 27001主导稽核员认证的证照效期为三年，2022年共2人受训，2023年共1人受训。2023年IT部门ISO 27001主导稽核员取证率为100%。
注2：全体员工/高风险员工或特定部门，以课程当月总人数计。
信息安全管理成效表
※以上内容取自ESG报告书
