加密貨幣出入金服務 資安籌備計畫

此階段主要為資安工作的開端，著重於基本框架的確立和外部專業資源的引進，為後續更深入的資安建置打下基礎。

• 1. 資安外部顧問評估與合作

  • 1.1. 資安顧問需求評估： 明確公司在資安政策、合規、技術方面需要外部顧問協助的範圍。
  • 1.2. 外部顧問選聘與合約簽署： 選擇具有 VASP 相關資安經驗或金融科技資安專長的外部顧問公司。**務必與顧問安排時間，確保其服務時程能與公司資安計畫同步。考量顧問選聘、需求溝通與合約簽訂通常需要至少一個月時間。**
  • 1.3. 初期資安狀況盤點與風險評估： 配合外部顧問對公司現有狀況進行初步資安風險識別，包括技術、流程和人員層面。

  說明： 在初期引入專業外部資安顧問能大幅加速資安體系建立，確保符合法規要求並彌補內部資源不足。

  產出： 資安顧問合作協議、初步資安風險評估報告。

• 2. 辦公室網路與設備初步安全設置

  • 2.1. 基礎網路安全： 配置辦公室網路基礎防火牆，區分內部與訪客網路。
  • 2.2. 端點設備安全： 在所有公司配發的 **Mac 筆電上預載防毒軟體並進行初步安全配置。透過 Jamf 等 MDM (Mobile Device Management) 平台進行設備註冊，實施基本的設備資產管理與安全策略推送。**
  • 2.3. 實體安全措施初步佈建： 確保辦公室**門禁系統、監視器**基礎運行，檢查**保全系統**運作正常，並確保**滅火器、煙霧偵測器**等消防設施配置到位且可使用。

  說明： 確保辦公環境的資訊與實體安全，防止內部威脅與資料外洩。MDM 的導入將大幅提升 Mac 端點的管理效率與安全性。

  產出：： 辦公室網路架構草圖、設備清單、MDM 部署計畫。

此階段在籌備階段的基礎上，更深入地建立完善的資安政策、程序與辦公室資安環境，為公司資安治理奠定堅實基礎。

• 1. 資訊安全政策與程序制定

  • 1.1. 總體資安政策： 確立公司資安願景、目標、範圍及權責。
  • 1.2. 風險管理政策與流程： 定義風險識別、評估、處理及監控方法。
  • 1.3. 存取控制政策： 規範使用者權限管理、身分驗證（如多因素驗證 MFA）和最小權限原則。
  • 1.4. 資訊資產分類與保護政策： 依機敏性對資料進行分類，並制定相應的保護措施。
  • 1.5. 資訊安全事件應變計畫 (IRP)： 建立事件偵測、分析、抑制、根除、復原及事後檢討流程。
  • 1.6. 委外服務資安管理辦法： 制定委外廠商選用、合約規範、稽核要求及終止合約時的資料處理程序。
  • 1.7. 員工資安行為準則與保密協議： 明確員工在資安方面的責任與義務，並簽署相關協議。
  • 1.8. 資料備份與復原政策： 定義備份頻率、儲存方式、復原目標時間 (RTO) 和復原點目標 (RPO)。
  • 1.9. 資訊安全政策與程序文件建立與稽核： 在外部顧問協助下，根據法規與最佳實踐，完善所有資安政策、程序和指引文件，並進行首次內部或外部稽核，確保文件符合要求並可有效執行。

  說明： 這些是公司資安治理的基礎，必須在實際營運前完成，並定期審查更新。外部顧問的參與能確保文件品質與合規性。

  產出： 各項資訊安全政策文件、程序文件、權責劃分表、初期稽核報告。

• 2. 辦公室網路與設備進階安全配置

  • 2.1. 網路架構完善與實施： 建立安全的網路區段（如 DMZ、內部網路、訪客網路），配置防火牆與入侵偵測/防禦系統 (IDS/IPS)。
  • 2.2. 端點安全防護進階： 在所有辦公設備上安裝及配置企業級**防毒軟體、端點偵測與回應 (EDR/EPP)** 解決方案。強化 Jamf 等 MDM 平台配置，實施更精細的安全策略，如加密、遠端擦除、軟體分發控制等。
  • 2.3. 資產清點與盤查： 建立完整的硬體、軟體資產清單，並定期更新。
  • 2.4. 軟體更新與補丁管理： 建立自動化或定期更新機制，確保作業系統和應用程式修補最新的安全漏洞。
  • 2.5. 文件與資料儲存安全： 導入安全的共享儲存解決方案（如加密雲端儲存或內部 NAS），並實施權限控管。
  • 2.6. 實體安全措施強化： 確保辦公室**門禁系統、監視器、保全系統**等控制措施穩定運作，並定期進行測試。**消防設施（如滅火器、煙霧偵測）**應符合法規要求，定期檢查與維護。
  • 2.7. Wi-Fi 安全配置： 採用 WPA3 或企業級 WPA2 加密，禁用不安全的加密協定，並定期更換密碼。

  說明： 確保辦公環境的資訊安全，防止內部威脅與資料外洩，是所有資安工作的基礎。MDM 的導入將大幅提升 Mac 端點的管理效率與安全性。

  產出：： 辦公室網路架構圖、資產清單、端點安全配置報告、安全備份計畫。

此階段主要與產品開發進度高度相關，確保產品從設計到上線都符合資安規範。

• 1. 產品安全設計審查 (Security by Design)

  • 與委外開發團隊密切合作，從產品設計初期就導入資安考量，例如：**最小權限原則、資料分類與加密、強固的認證授權機制、安全的 API 設計、錯誤處理與日誌記錄、組態管理**等。
  • 進行潛在**威脅建模 (Threat Modeling)**，識別和分析潛在的攻擊途徑和漏洞。
  • 制定產品安全需求規範，確保所有功能開發都將資安納入考量。

  說明： 在開發初期修正資安問題成本最低，效果最好。這應是一個迭代的過程。

  產出： 威脅建模報告、產品安全設計規範、安全需求清單。

• 2. 安全程式碼開發規範與審查

  • 要求委外開發團隊遵循業界標準的安全程式碼開發規範（例如：**OWASP Top 10** 指導原則、CWE）。
  • 定期進行**程式碼安全審查 (Code Review)**，並考慮引入自動化靜態應用安全測試 (SAST) 工具，以在開發早期發現漏洞。
  • 對開發環境進行安全配置，確保開發工具和儲存庫的安全性。

  說明： 確保程式碼層面沒有常見的資安漏洞。開發人員的安全意識與技能至關重要。

  產出： 安全程式碼開發規範、SAST 掃描報告、程式碼審查報告。

• 3. 弱點掃描與滲透測試

  • 在產品開發的不同階段（特別是測試環境），委託第三方專業資安公司進行**弱點掃描 (Vulnerability Scan)**，識別已知漏洞。
  • 在產品上線前，**務必**委託第三方專業資安公司進行**滲透測試 (Penetration Testing)**，模擬真實駭客攻擊以發現潛在漏洞和業務邏輯缺陷。
  • 要求委外廠商或內部團隊解決所有發現的弱點與漏洞，並進行複測確認修復效果。

  說明： 這是確保產品安全性的關鍵步驟，也是許多法規要求的項目。應涵蓋應用程式層、網路層及基礎設施層。

  產出：： 弱點掃描報告、滲透測試報告、漏洞修復證明與報告。

• 4. KYC/AML 系統與流程設計

  • 確保您的**客戶身分驗證 (KYC)** 和**反洗錢 (AML)** 系統及相關流程符合台灣法規要求（如洗錢防制法、資恐防制法）。
  • 對 KYC/AML 系統進行資安設計審查，確保其資料處理、儲存和傳輸的安全性，防止資料外洩和身份詐欺。
  • 建立內部 KYC/AML 風險評估和監控機制。

  說明： VASP 核心合規要求之一，與資安密不可分。此部分需與合規及法務團隊緊密合作。

  產出：： KYC/AML 系統設計文件、流程圖、合規性評估報告。

• 5. 營運與維運安全 (SecOps)

  • 規劃產品上線後的資安監控機制：包括**日誌管理與分析 (SIEM)**、入侵偵測系統 (IDS/IPS)、應用程式防火牆 (WAF) 的部署與配置。
  • 建立完善的事件響應流程與團隊，明確職責和溝通管道。
  • 若產品部署於雲端，需評估雲端服務供應商 (CSP) 的資安合規性與責任分擔模型，並確保雲端環境的**安全組態管理**。
  • 制定定期安全稽核與演練計畫（如應變計畫演練）。

  說明： 資安是持續性的工作，上線後的維運安全同樣重要。應建立持續監控與改善的機制。

  產出： 資安監控計畫、事件響應計畫、雲端安全組態報告。

此階段主要針對台灣 VASP 登記與未來可能的合規要求進行準備。

• 1. 內部控制與內部稽核機制建立

  • 建立符合金管會要求的內部控制制度，包括資安控管、營運控管、財務控管等。
  • 規劃內部稽核職能，定期檢查各項制度的執行情況。

  說明：： 這是取得 VASP 資格的必要條件。

• 2. 資安長/資安專責人員到位

  • 依規定聘任具備資安專業的資安長或資安專責人員。
  • 明確其職責與權限。

  說明：： 符合法規要求的人力配置。

• 3. 台灣 VASP 登記申請文件準備

  • 彙整所有上述階段產出的資安政策、報告、證明文件，以利符合 VASP 登記所需的資安相關證明資料。
  • 與法務、合規團隊協作，確保所有文件完整且符合要求。

  說明：： 這是取得營運資格的最終目標。

• 4. ISO 27001 資訊安全管理系統認證

  • **務必規劃並取得 ISO 27001 資訊安全管理系統認證。** 這是國際上公認的資安管理標準，能證明公司具備完善的資安管理體系。對於台灣 VASP 規範以及建立業界信任度至關重要。應與外部顧問密切配合，進行 Gap Analysis、文件準備、導入、內部稽核及外部認證稽核。

  說明：： ISO 27001 不僅是合規性的展現，更是建立公司資安文化和國際競爭力的基石。儘早規劃，因為其導入與認證過程需要較長時間。