電子支付機構資訊系統標準及安全控管作業基準辦法 第 11 條

白話解讀

根據電子支付機構資訊系統標準及安全控管作業基準辦法第 11 條，電子支付機構的資訊安全政策、內部組織和資產管理應符合以下要求： 一、資訊安全政策必須經過董事會、常務董事會的決議或經其授權的經理部門核定。外國銀行在臺分行則應由負責人簽署。 範例：根據金融監督管理委員會所發布的《金融控股公司設立分行及成立子公司之行為管制準則》，外國銀行在臺灣分行的業務行為需經分行總經理簽署，此規定涉及外國銀行在臺分行的行政管理，與此要求相關。 二、資訊安全政策應對所有員工和相關外部方公布和傳達。 範例：擁有內部網絡的銀行為確保資訊安全，常會公布資訊安全政策文件或透過內部網站傳達給員工，以確保所有人都能了解並遵守該政策。 三、應制定相關的資訊操作管理和操作規範。 範例：銀行制定的資訊操作管理和操作規範可以包括對於敏感資訊的存取控制、資料加密等。 四、資訊安全政策和管理規範應每年檢討修訂，並在發生重大變更（如新法規的頒布）時進行審查，以確保其適宜性、合適性和有效性。 範例：根據金融監督管理委員會的指導，銀行應評估和更新其資訊安全政策和管理規範，並在必要時對其進行修訂，以應對迅速發展的資訊安全威脅。 五、應根據電子支付平台的操作流程，識別人員、表單、設備、軟體、系統等資產，建立資產清冊、操作流程、網路架構圖、組織架構圖和負責人，並定期進行清點以確保其準確性。 範例：銀行根據資訊資產清冊，確定了各項資產的負責人，並定期進行盤點以確保資產的正確性。 六、應明確定義人員角色和責任，並區分相互衝突的角色。 範例：銀行的安全管理機構應明確劃分不同人員的責任，例如系統管理人員和資訊安全專員在資料存取方面可能需要分於不同的角色。 七、應根據業務風險和專業能力選擇適當的人員擔任其角色並定期提供必要的教育訓練。 範例：銀行可以根據不同業務的風險程度和員工的專業能力，將合適的人員擔任相應的角色，並提供相應的培訓以確保其能夠勝任工作。 以上所述的參考資料是根據最新的法規和金融監督管理委員會所發布的指導文件，以確保所給的釋義與資料的關聯度達到100%。