資安管理

資安實施與防護

資安成熟度

為有效掌握各子公司整體資安防禦能力與改善方向，日月光投控持續導入資安成熟度評估機制。針對 IT/OA(資訊科技)環境，委由資誠會計師事務所(PwC)依據 NIST Cybersecurity Framework (CSF) 2.0網路安全框架，涵蓋治理、識別、保護、偵測、回應及復原六大核心功能，針對投控三大子公司全球廠區進行成熟度評估。2025年整體平均成熟度達3.92，已接近量化管理(Quantitatively Managed)等級，顯示企業已具備制度化且穩健的資訊安全管理基礎。

此外，針對OT(營運科技)環境，委由勤業眾信聯合會計師事務所(Deloitte)參照國際標準IEC 62443執行全球廠區OT資安成熟度評估，全面檢視生產與廠務系統之管理與技術控制現況。評估結果顯示，投控OT資安成熟度整體平均已接近Level 3，代表已建立標準化OT資安管理流程，並持續強化關鍵營運環境之資安韌性。

資安風險識別與管理

日月光投控每年委託第三方專業審查單位，執行資訊安全稽核、系統弱點掃描及滲透測試(Penetration Testing），以確認資訊系統與網路環境符合安全實施標準，確保資訊安全政策與客戶隱私保護措施之落實，有效防止商業機密與客戶資料外洩。所使用之工具包含 Nessus 弱點掃描、BitSight 安全評級、SecurityScorecard分析平台與紅隊演練(Red Team Assessment），用以檢視系統防禦能力與應變成熟度。此外，投控亦定期每月提供BitSight安全評級報告予各廠區參考與追蹤，強化持續改善與風險管理。

除外部稽核外，亦依據 NIST CSF 與 ISO 27001 架構，針對資訊安全管理系統（ISMS）定期進行內部自我稽核，評估風險管理、控制措施與應變流程之執行成效，並將結果提報高階主管與董事會。若遭遇突發性資安攻擊，資安管理分組將即時召開平台技術交流與應變會議，分析檢討防禦策略並建構資訊同步之完整防護網。

以公司治理角度保障公司營運風險之餘，加強同仁資安保護意識、提升組織運作能力亦為資安管理重點之一。日月光投控所有員工每年定期接受PIP資訊安全教育訓練，包括資訊安全政策、資訊安全管理架構、資訊安全控制措施等，2025年共完成153,679人次與110,890小時的課程，亦不定期進行社交工程郵件演練，加強員工對於郵件社交工程攻擊的警覺性。同時，陸續導入系統化管理機制，將資安會議參與、教育訓練、異常事件管理、機密檔案標示、防毒/軟體安全等資安相關項目透過系統化方式進行整合，並進行KPI監控與稽核，將管理的觸角從上到下深入到每一位員工、每一個端點裝置，並與員工績效進行整合，降低因違反資訊安全管制規定可能招致之處罰、法律責任與公司營運所面臨衝擊等。

提升數位韌性

日月光投控於2025年未發生重大資訊安全事件。為強化資安應變與防護能力，本公司除制定《資通安全事件通報及應變處理作業程序》，明確定義資訊安全事件的類型、等級、通報及應變機制外，亦持續執行各類資安事件演練，強化全員應變意識與處理效率。該作業程序詳訂資通安全事件的分類、應變組織之架構、事件等級判定、通報與處置程序、事件監控與收尾、後續追蹤與調查、改善措施及證據蒐集等規範，以作為全體員工統一遵循之依據。此外，日月光投控建置資訊安全管理平台系統（ASEH Information Security Management System），結合「資安情資分享」與「資安事件通報」兩大核心功能，能即時掌握內外部資安威脅，迅速完成事件回報與應處，全面提升風險可視性與資安聯防能力。因應資安風險對企業營運所帶來的高度挑戰，本公司亦導入風險管理思維，投保涵蓋日月光投控及所有從屬公司之資安保險，作為後層資安防護機制，期能於事件發生時迅速應變與控制衝擊，降低對公司本身、客戶及供應鏈可能造成的損失，並協助企業快速恢復正常營運。

為確保營運與重要業務的永續運作，避免重要資訊系統因重大災難事件而導致服務無法持續的風險，本公司每半年進行一次災難復原演練，演練計畫內容包括組織架構、範圍、時間、關鍵資訊系統、參與單位與人員任務、備援人力、演練流程、資源需求、資料備援與復原機制、風險管理及演練後檢討與改善等項目，確保公司在關鍵時刻發揮災難應變能力以災害復原機制快速回復至企業正常或可接受的營運水準，以達到重要資訊系統持續營運不中斷，此演練計劃也會持續執行維護、管理與演練，以確保備援機制的有效性。

資安情資交換

我們持續與政府單位、國內外資安組織及平台保持緊密溝通，例如：FIRST、TWCERT/CC 台灣資安聯盟、高科技資安聯盟等，透過組織溝通管道，與產業同業、供應鏈分享最新趨勢和行動方案，提升台灣產業資安防護水平。同時並加入 SEMI 半導體資安委員會，推動台灣半導體晶圓設備資安標準 SEMI E187 – Specification for Cybersecurity of Fab Equipment，透過資訊安全規範、標準與情資，我們將持續進行管理制度與技術的整合，全面發展、提升內部資安能量；同時，遵循、確保上下游供應鏈與利害關係團體對本公司的資訊安全期待，強化資安防護韌性，保障日月光投控智慧製造安全與企業永續競爭優勢。

供應鏈資安管理

因應供應鏈數位化及大量數據交換所帶來的資安風險，日月光投控持續推動供應商資訊安全評鑑制度，以提升上下游供應鏈成員之資安韌性。針對關鍵供應商，採取「現況評估、輔導改善、成果確認、循環調查」四階段管理機制，透過問卷調查、實地訪查、書面審查及技術評查等方式，協助供應商提升資訊安全管理成熟度。期望藉由建構完善之供應鏈資安管理架構，確保企業整體營運安全與韌性，並進一步提升半導體產業整體資安環境與水準。