ESG

企業実務

Home 9 uPI SEMI 9 ESG 9 企業実務 9 情報セキュリティ管理計画

情報セキュリティ管理計画

サイバーセキュリティ管理

会社の情報セキュリティー管理を強化し、「情報発展はセキュリティーを基礎とし、継続的に運用し、企業秘密を保護する」という理念を確立し、顧客と会社のデータ処理の機密性、完全性、可用性を確保し、全過程で会社のデータ処理のセキュリティーを保証し、安全、安定、効率的な情報サービスを提供し、継続的に運用する。

この手順は、会社の全従業員、雇用された従業員、特殊な製造業者、第三者の従業員、および関連するすべての情報資産の安全管理に適用される。

 

操作内容は以下の通り。

1.Information Assets Security Management. 2.Network security Management.
3. Information Hard Equipment Management. 4. Software Management and Maintenance.
5. Personnel safety management and education training. 6. Security management of network, email and social media users.
7.Security management of information outsourcing service. 8.Physical and environmental safety management.
9. Business Continuity Operation Plan Management. 10.Confidentiality and audit of information data.
11.Destruction of information data. 12.Information security incidents and confidential leaks handling.

サイバーセキュリティ管理フレームワーク

  • uPIのサイバーセキュリティの責任部門は情報技術部であり、情報技術部には専任の情報セキュリティ管理責任者と専門の情報担当者がおり、内部情報セキュリティ管理手順の確立、情報セキュリティ保護の計画と実施、ポリシーの確実な実施、情報セキュリティに関する実施状況の取締役会への報告を毎年行っている（最新の報告日は2023年12月28日）。
  • uPIのサイバーセキュリティの監督部門は監査室である。監査室には監査責任者と常勤監査役がおり、各部門の情報安全とリスク管理を定期的または不定期に監査し、監査結果を関連部門の責任者と経営陣に提出し、監査報告書を周知させる役割を担っている。不備が発見された場合、被監査部門は改善計画と具体的な対策を提案しなければならない。また、内部サイバーセキュリティリスクを低減するため、定期的に改善効果を検証する。
  • 組織の運営モデルは、目標の達成と継続的な改善を確実にするために、定期的な監査と循環型管理を採用している。

 

サイバーセキュリティに関する具体的な管理策は以下の通りである。

  • すべての情報システムは、パスワードを設定し、アクセス権を設定し、コンピュータのマルウェアや挙動による被害を検出・防止し、システムの正常な運用を確保するためのセキュリティ検出・防止手順を導入する。
  • 従業員は、違法なソフトウェアや無許可の情報ソフトウェアを使用することを固く禁じられ、関連ソフトウェアのインストールは、検証権限のある上司の同意を得た上で、情報技術部が支援する。
  • 従業員、製造パートナー、および下請け業者は、当社の情報を使用して情報サービスを提供し、関連する情報ビジネスを行う者が、不正アクセス、改ざん、破壊、または不適切な開示から保護するために、当社から入手または使用する情報資産を保護する責任と義務を負うことを保証するために、関連する機密文書に署名しなければならない。
  • 重要な情報システムや機器には、適切な冗長性（バックアップ）や監視の仕組みを導入し、定期的に訓練を実施して可用性を維持すべきである。
  • 従業員のアカウント、パスワード、権限は、責任を持って保管、使用されるべきであり、規則により定期的に交換する必要がある。
  • 情報資産の定期的な棚卸し、情報セキュリティリスク評価に基づくリスク管理、各種管理策の実施。
  • 情報セキュリティインシデントへの対応方法を策定し、情報セキュリティインシデントにリアルタイムで適切に対処し、被害の拡大を回避する。
  • 情報セキュリティ上の問題や最近の情報セキュリティ・インシデントについて、社内メールを通じて全社員に断続的に広報する。
  • 新入社員は、情報システムと情報セキュリティに関する入門コースと、コース終了後のテストを修了し、当社の情報セキュリティ・ポリシーを理解していることを確認する必要があります。
  • 四半期ごとに、情報技術部は、以前の雇用主や競合他社が所有するファイルや企業秘密の不適切なダウンロードや使用がないことを確認するため、雇用後3ヶ月を経過した新入社員および現職社員のコンピュータ・チェックを実施している。

2023年の実施状況と予想されるプロジェクト：

System Implementation and System Security

Purpose
  • Company and its Subsidiaries Continuity Operation Policy and Risk Management.
  • Prevention of hackers and damages from virus intrusions.
  • Protection company’s network for smoothly operations.
Execution items
  • ISO 27001 System Verification.
  • Effectiveness of the network security risk assessment platform, SecurityScorecardDC.
  • Firewall replacement for the Japanese subsidiary.
  • Audit operations of DC account auditing system.
  • EDR (Endpoint Detection and Response) proactive endpoint intrusion detection.
  • Antivirus software endpoint protection.
Implementation Status
  • In January 2024, we successfully passed the ISO 27001 external verification by SGS and received the certification, marking the Company's commitment and efforts in information security management.
  • The Company achieved a score of 95 on SecurityScorecard, indicating a strong network security posture, reflecting our efforts in cybersecurity protection and risk management.
  • The Japan branch replaced the Layer 7 firewall to enhance application layer detection, threat protection, and traffic management. This upgrade simplifies operations and maintenance, strengthens system security, reduces risks, and improves system stability and operational efficiency.
  • 13 external privileged account probing attempts were detected, with zero cybersecurity incidents occurring due to privileged account probing.
  • Antivirus software detected 547 instances of computer viruses, and the EDR zero-trust protection system identified 128 medium-risk or higher incidents. However, there were zero cybersecurity incidents caused by system infections on client devices.
  • There were zero interruptions due to hackers and virus intrusions to the company’s information equipment and system.

Security management of email

Purpose
  • Protect the company’s and its Subsidiaries’ trade secrets from being leaked via email.
  • Prevent external threat emails from causing damage to the company's operations.
execute project
  • Exchange Upgrade
  • Use the MAILDLP system to continuously audit and review outbound company emails.
  • Implement an email threat protection system to guard against traditional threats and virus-infected emails.
  • Utilize advanced email protection mechanisms (ADM Email Protection System) to protect against non-traditional threats such as malicious attachments and business email compromise (BEC) threats.
Implementation Status
  • Upgrading to Exchange 2019 has enhanced security, performance, and availability, providing a modernized user experience, strengthened mobile support, improved compliance features, simplified management processes, and overall increased efficiency and stability of the email system.
  • No significant incidents of company confidential information being leaked through outbound emails have been identified.
  • The email threat protection system identified 2,677 threat emails and 260 virus-infected emails, with zero cybersecurity incidents caused by threat emails.
  • The ADM email protection system identified 6 business email compromise (BEC) emails, with zero cybersecurity incidents caused by business email scams.

Disaster recovery and emergency procedures

Purpose
  • Optimize and improve the existing backup mechanism of R&D data.
  • Conduct risk controls for critical systems for the purpose of strengthening company’s continuity operation strategy.
execute project
  • File server system backup.
  • Conduct AD virtual server disaster recovery drills.
  • Perform recovery drills for the company's critical EFGP system.
Implementation Status
  • File Server Backup: This year, we will use Robocopy to synchronize data from the new file server to the old server, enhancing the system's backup capabilities, ensuring data security, and reducing disaster recovery time.
  • The IT department successfully completed the AD server recovery drill within 6 hours, effectively ensuring business continuity and strengthening disaster response capabilities.
  • The IT department successfully completed the EFGP system recovery drill within 8 hours, improving system stability and reducing the potential risk of business disruption.

Information security protection and information exchanged

Purpose
  • Enhance overall cybersecurity awareness among employees, including those of subsidiaries.
  • Prevent cybersecurity incidents through external threat intelligence sharing.
Project
  • Conduct regular cybersecurity awareness campaigns and audits.
  • Regularly receive and confirm: ASUS Group cybersecurity collaboration and Taiwan cybersecurity incident reports.
Implementation Status
  • A total of four cybersecurity awareness sessions were held, covering topics such as cybersecurity policies, regulations, awareness, and phishing prevention.
  • 13 new employees cybersecurity training sessions were conducted, along with quarterly computer audits.
  • Three ASUS Group cybersecurity seminars were attended.
  • Regularly received critical cybersecurity intelligence from TWCERT/CC.

期待されるプロジェクト

  • ISO 27001検証
  • 会社の情報システムのセキュリティを継続的に強化する。
  • 情報コミュニケーション・ケースと情報セキュリティ・ポリシーの策定
  • セキュリティ脆弱性の侵入とスキャン
  • Exchange アップグレード
  • ファイル・サーバー・システムのDRバックアップ