金融控股公司及銀行業內部控制及稽核制度實施辦法第 四 節 資訊安全制度

1. 金融控股公司及銀行業應設置隸屬於總經理之資訊安全專責單位，不得兼辦資訊或其他與職務有利益衝突之業務，並配置適當人力資源及設備，並指派副總經理以上或職責相當之人擔任資訊安全長，綜理資訊安全政策推動及資源調度事務。但主管機關對信用合作社及票券金融公司另有規定者，依其規定。
2. 金融控股公司及銀行業資訊安全長每年應向董（理）事會報告前一年度資訊安全整體執行情形，並及時報告重大資安問題。
3. 金融控股公司及銀行業資訊安全專責單位人員，每年至少應接受十五小時以上資訊安全專業課程訓練或職能訓練；其他資訊從業人員則每年至少應接受六小時之以上資訊安全專業課程訓練或職能訓練。銀行業總機構、國內外營業單位、財務保管單位及其他管理單位之人員，每年至少須接受三小時以上資訊安全宣導課程。
4. 中華民國銀行商業同業公會全國聯合會、有限責任中華民國信用合作社聯合社及中華民國票券金融商業同業公會應訂定並定期檢討資訊安全自律規範。

資訊安全專責單位應辦理事項至少包括： 一、負責資訊安全制度之規劃、管理及執行，以控管資訊安全風險。 二、督導各單位落實資訊安全制度，並確保資通系統、服務及資訊之機密性、完整性與可用性。 三、建立資通安全防護、資通安全情資之評估因應與資通安全事件通報及應變相關機制。 四、每年應將前一年度資訊安全整體執行情形納入第八條第一項內部控制制度執行情形評估。