證交所在 2026 年 11 月 11 日發函，檢送修正後的《上市上櫃公司資通安全管控指引》與修正條文對照表；指引在 2021 年 12 月 24 日首次發布、2024 年 9 月 10 日修正過一次，這是第二次修正[1]。這次新增「人工智慧(AI)風險管理」專章，共新增 3 條（其中 2 條與 AI 有關）、修正 10 條，目的是強化上市櫃公司 AI 應用的風險管理與資安治理，並配合數位發展部 2026 年修訂的《資通安全責任等級分級辦法》[1]。條文由 41 條增為 44 條，原第十六條以後的條文，條次都往後移[2]。
這篇寫給上市櫃公司的 IT 主管、資安長與法遵人員，以及被上市櫃客戶要求「比照管控指引」的供應商：先說明指引的法源、適用對象與金管會的資安人力規定，再整理這次修正的新舊條次對照、各章重點，以及它和其他規範的關係，最後是新版的差距評估做法。各主題的實作細節，請看文中連結的專文。
指引的定位：法源、適用對象與相關強制規定
法源：內部控制制度的資安控制作業
指引第一條說明，訂定目的是協助上市、上櫃公司強化資通安全防護及管理機制，並符合《公開發行公司建立內部控制制度處理準則》第九條「使用電腦化資訊系統處理者」的相關控制作業[3]。處理準則第九條列出公司使用電腦化資訊系統時，內部控制制度至少應包括的控制作業，其中第十款是「資通安全檢查之控制」；第十三條也規定每年的年度稽核計畫至少要包含資通安全檢查[4]。金管會的處理準則問答集則說明，公司設計資通安全管理的控制作業時，可以參考這份指引[5]。換句話說，指引本身不是法律，但它是內控制度中資安控制作業的參考基準，內部稽核檢查資通安全時，很自然會拿它來對照。
適用對象與「適度採行」
指引的名稱與條文都以上市、上櫃公司為對象[3]；這次證交所函文的正本發給各上市公司，副本送櫃買中心[1]。第四十四條（修正前為第四十一條）規定，除法令與證交所、櫃買中心相關章則另有規定外，公司可以衡量產業特性、規模大小及資安風險「適度採行」[2]，證交所在函文中也重申這一點[1]。
「適度採行」不代表整份可以不看。至少有三條背後另有具拘束力的規定：第三條的資安專責主管與人員，對應金管會的資安人力命令（見下一小節）；第三十七條的重大資安事件，對應重大訊息處理程序；第四十二條的年報揭露，對應《公開發行公司年報應行記載事項準則》[3][6]。其餘條文若決定不採行或改用其他做法，建議把理由寫進風險評估並經權責主管核定，稽核時才說得清楚。
資安長與資安專責人力：金管會的分級規定
指引第三條只要求「指派適當人員」擔任資安專責主管及資安專責人員[3]，人數與時程另有規定。處理準則第九條之一規定，公開發行公司應配置適當人力資源及設備，進行資訊安全制度的規劃、監控及執行；符合一定條件者，金管會得命令指派資訊安全長，並設置資訊安全專責單位、主管及人員[4]。金管會據此在 2021 年 12 月 28 日發布金管證審字第 11003656544 號令，自 2022 年 1 月 1 日生效[7]：
- 符合任一條件的上市（櫃）公司：實收資本額達新臺幣 100 億元以上；前一年底屬臺灣 50 指數成分公司；或最近一年度經由網際網路等電子方式銷售商品或提供服務的收入占營業收入 80% 以上，或最近二年度合計占 50% 以上。這類公司應在 2022 年底前，指派綜理資訊安全政策推動及資源調度事務的人兼任資訊安全長，並設置資訊安全專責單位，配置專責主管及至少二名專責人員。
- 其他上市（櫃）公司：最近三年度稅前純益未連續虧損，且最近一年度財務報告每股淨值未低於面額者，應在 2023 年底前配置資訊安全專責主管及至少一名專責人員。
- 之後才符合條件者：自 2023 年 1 月 1 日起符合第一類條件，或自 2024 年 1 月 1 日起符合第二類條件的公司，應在符合條件起六個月內調整人力。
金管會 2024 年 10 月 7 日版的處理準則問答集補充[5]：
- 資訊安全長通常是副總等一定層級以上的高階主管，指派時要考量職級權責是否足以勝任。
- 負責資通安全事務的人就是資安專責人員，法規沒有強制公司投入「專職」人力；公司應視實際面臨的資安風險與需求，評估是否以額外投入或職務劃分的方式配置專職人力。
- 內部控制制度應明定資訊安全專責單位的功能與職責；為此調整組織架構時，要修訂內控制度並提報董事會通過。
兩類條件都不符合的公司，仍適用處理準則第九條之一「配置適當人力資源及設備」的一般規定[4]。資安長在重大訊息決策中的角色，見上市櫃公司資安事件重大訊息。
供應商為什麼也要讀
指引規範的是上市櫃公司，但有幾條會透過合約落到供應商身上：第十六條要求公司鑑別資通系統使用的第三方軟體、服務、函式庫或其他元件，並宜在契約中要求供應商主動通報安全性漏洞、於時限內提供修補；第三十三條要求在採購文件載明服務水準協議（SLA）、資安要求與對委外廠商的資安稽核權；第三十四條要求委外關係終止時，確認廠商返還、移交、刪除或銷毀履約持有的資料；第四十一條要求定期辦理內部及委外廠商的資安稽核[3]。供應商收到這類條款時，可以先對照這幾條，問清楚客戶要的是哪一項、要看什麼證據。
2026 年 11 月修正了什麼
修正條文對照表的日期是 115 年 11 月 9 日[2]。新版共十一章 44 條，修正前為十章 41 條[3][8]。變動可以分成三類[2]。
新增條文
- 第十六條（第三方元件）：鑑別資通系統使用的第三方軟體、服務、函式庫或其他元件，並宜於契約規範供應商主動通報安全性漏洞、於時限內提供修補程式或安全更新；說明欄表示參考了分級辦法防護基準中系統與服務獲得、供應鏈及弱點管理的要求[2]。供應鏈風險見供應鏈攻擊。
- 第三十八條（AI 風險管理）：使用 AI 系統或服務，若涉及核心業務、機敏性資料，或可以介接、操作、異動或觸發資通系統功能，應依業務性質及風險程度採取五項風險管理措施（見後文）[2]。
- 第三十九條（低風險 AI 用途）：只用於查詢、摘要、翻譯、教育訓練、內部草稿等低風險輔助用途，且不涉及前條情形者，依既有的資安管理措施辦理即可[2]。
內容有修正的條文（括號內為修正前條次）
- 第九條：備份機制增列供災難復原的異地備份，以及防範勒索軟體加密的離線備份或不可變更備份[2]。備份設計見備份策略：3-2-1 原則與不可變備份。
- 第十條：「核心業務持續運作計畫」改稱「營運持續計畫」，演練要包含的項目不變[2]。
- 第十五條：除了開發與維護文件，增列系統源碼的儲存與管理[2]。
- 第十七條（原第十六條）：核心資通系統的檢測從弱點掃描、滲透測試、上線前源碼掃描三項增為五項，增列定期資料庫安全檢視，源碼掃描改為「上線前及定期」，並依風險程度評估辦理紅隊演練；對外服務的資通系統，也建議依風險評估結果擇項辦理[2]。各種檢測的差別見弱點掃描、滲透測試、紅隊演練。
- 第十八條（原第十七條）：網路區隔之外，核心系統或機敏性資料區域宜進一步運用微分段技術細化隔離邊界[2]。概念見零信任架構。
- 第十九條（原第十八條）：必備的防護措施增列端點偵測與應變機制（EDR），共八項；「如有郵件伺服器者」改為「如有郵件服務者」，以反映郵件服務型態的變化[2]。EDR 與 SOC 的差別見EDR、XDR、SIEM、SOC 與 MDR。
- 第二十二條（原第二十一條）：「通行碼」改為「密碼」，增列首次登入變更密碼機制，「多重認證技術」改為「多因子鑑別等零信任架構」[2]。實作見密碼政策與密碼管理器。
- 第二十五條（原第二十四條）：遠端存取的「多重身分驗證」配合分級辦法用語改為「多因子鑑別」[2]。
- 第三十四條（原第三十三條）：文字精簡，對照表說明內容沒有實質修正[2]。
- 第三十五條（原第三十四條）：在資安事件應變處置及通報作業程序之外，增列「定期辦理應變處置演練以驗證其有效性」[2]。演練怎麼辦見資安桌上演練。
只調整條次、內容未修正
原第十九至二十條改為第二十至二十一條，原第二十二至二十三條改為第二十三至二十四條，原第二十五至三十條改為第二十六至三十一條，原第三十一至三十二條改為第三十二至三十三條，原第三十五至三十六條改為第三十六至三十七條，原第三十七至四十一條改為第四十至四十四條[2]。第一至八條與第十一至十四條不在對照表中，條次與內容都沒有變動[2]。內部政策、內控制度或稽核計畫若引用了條次，記得一併更新。
截至 2026 年 11 月 14 日，證交所法規分享知識庫顯示的仍是 2024 年 9 月 10 日修正的十章 41 條版本[8]；新版全文與對照表是函文附件，也放在證交所國內業務宣導網站的資通安全專區，更新日期為 115 年 11 月 11 日[1][9]。函文中沒有提到施行日期或過渡期間[1]。
逐章重點：哪些條文要先備妥證據
以下依章整理新版內容，並標出有明確頻率或產出、最容易用文件檢核的條文。
政策與組織（第一、二章，第 1–6 條）
第二條對「資通系統」與「資通服務」的定義和資安法第三條相同，另外定義了核心業務、核心資通系統與機敏性資料[3][10]。第三至六條要求成立資通安全推動組織並指派資安專責主管與人員；資安政策及目標由副總經理以上主管核定並定期檢視；訂定涵蓋各章主題的資安作業程序；所有使用資訊系統的人員每年接受資安宣導課程，負責資安的主管與人員每年接受專業訓練[3]。要備妥的證據：組織與職掌、政策核定紀錄、年度訓練名單與時數。
核心業務、盤點與風險評估（第三、四章，第 7–12 條）
公司要鑑別核心業務、應保護的機敏性資料與應遵守的法令及契約要求；訂定核心業務的 RTO 與 RPO，設置備份與備援；制定營運持續計畫並定期演練；定期盤點資通系統、建立核心系統資訊資產清冊；並定期做資安風險評估[3]。清冊與盤點做法見資產盤點與外部攻擊面管理。這幾條是後面各條的基礎：第十七條必須辦理檢測的範圍是核心資通系統，第三十八條的 AI 適用門檻也以核心業務與機敏性資料來界定[3]。
系統開發與維護（第五章，第 13–17 條）
把資安要求寫進開發及維護需求規格、定期做安全性要求測試、保存文件與源碼、鑑別第三方元件，並對核心資通系統辦理資安檢測、完成弱點修補[3]。第十七條的五項檢測中，弱點掃描、滲透測試、資料庫安全檢視與源碼掃描都寫「定期」，紅隊演練則是「依公司風險程度，評估辦理」[3]。指引沒有規定頻率，公司要自己訂出來並寫進程序。開發端常見的弱點見 OWASP Top 10。
防護與控制措施（第六章，第 18–31 條）
這是條文最多的一章，共 14 條[3]。其中項目或頻率寫得明確、最容易逐項檢核的是：
- 第十九條的八項防護：防毒軟體、網路防火牆、電子郵件過濾（有郵件服務者）、入侵偵測及防禦、應用程式防火牆（有對外服務的核心資通系統者）、進階持續性威脅攻擊防禦、EDR、資通安全威脅偵測管理機制（SOC）[3]。
- 第二十二、二十三條的密碼與帳號：密碼管理的作業規定，以及定期審查特權帳號、使用者帳號與權限，停用久未使用的帳號[3]。多因子鑑別的導入順序見 MFA 導入指南。
- 第二十四條的監控與日誌：例示失敗登入、非作業時間登入、多位使用者從同一來源 IP 登入成功等紀錄，並要求保護日誌[3]。保存做法見日誌保存。
- 第二十五條的遠端存取：VPN、VDI 等安全連線機制，加上多因子鑑別、加密連線、最小授權、完整的操作稽核軌跡、異常行為監控與漏洞更新[3]。設備面見邊界設備強化。
- 第二十八條的漏洞修補：留意安全漏洞通告、即時修補高風險漏洞，並定期評估修補設備、系統元件、資料庫系統與軟體的漏洞[3]。排序方法見修補優先順序。
- 第三十一條的社交工程演練：每年辦理電子郵件社交工程演練，對誤開啟信件或連結的人員施以教育訓練並留存紀錄[3]。設計與指標見社交工程演練。
其餘條文涵蓋機敏性資料防護、到職與離職管理及保密協議、公眾場地告示牌與電子看板的管理、機房管理、設備回收與汰除，以及人員裝置的使用規範[3]。
委外與事件應變（第七、八章，第 32–37 條）
委外的三條見前文「供應商為什麼也要讀」。事件應變方面，第三十五條的應變處置及通報作業程序要包含事件影響及損害評估、內外部通報流程、通知其他受影響機關的方式與通報窗口，可以參考 TWCERT/CC 的「企業資安事件應變處理指南」，並要定期演練；第三十六條要求加入產業 ISAC 或 TWCERT/CC 等情資分享組織[3]。證交所在函文中也鼓勵上市公司申請成為 TWCERT/CC 會員，不需付費[1]。事件剛發生時怎麼處置，見疑似遭入侵的前 24 小時。
AI 風險管理（第九章，第 38–39 條）
第三十八條的五項措施[3]：
- 衡量採行數位發展部「人工智慧風險分類框架」，或所屬產業中央目的事業主管機關發布的 AI 指引。
- 宜訂定員工使用 AI 系統或服務的安全規範，並對未經授權的使用採取管理措施。
- 導入、開發或重大變更 AI 系統時，依風險程度做安全評估或測試，定期檢視模型運作狀況，並落實 AI 模型與第三方元件的供應鏈風險管理。
- 使用能規劃步驟、呼叫工具、跨系統存取資料的代理 AI（Agentic AI），要限制用途、資料、工具、目的地與執行權限；對核心業務、機敏性資料或資通系統有重大影響或不可逆的自動化操作，要有人工核准、安全護欄或其他控制機制。
- 依風險程度建立監控與紀錄機制，以追溯重要操作、行為偏離與異常事件。
對照表列出的參考文件包括數位發展部「人工智慧風險分類框架」、金管會「金融業運用人工智慧（AI）指引」與「金融業運用代理AI安全諮詢文件」、經濟部產業發展署「製造業AI導入指引」、ISO/IEC 42001:2023、NIST AI RMF 1.0 與生成式 AI 剖繪（Generative AI Profile，NIST AI 600-1），以及 COSO 的生成式 AI 內部控制文件[2]。判斷重點在第三十八條的門檻：員工用 AI 翻譯一段公開資料，屬於第三十九條的低風險用途；把含個資的客戶資料貼進去，或讓 AI 代理呼叫內部系統的 API，就落入第三十八條。生成式 AI 的資料外洩與提示注入等風險，見生成式 AI 資安。
持續精進與附則（第十、十一章，第 40–44 條）
資通安全推動組織定期向董事會或管理階層報告執行情形；定期辦理內部及委外廠商的資安稽核，並追蹤改善；在年報揭露資安資訊；評估取得第三方驗證；以及第四十四條的適度採行[3]。
和重大訊息、年報、ISO 27001／SOC 2 及資安法的關係
- 重大訊息：第三十七條只寫發生符合重大訊息處理程序規範的重大資安事件時「應依相關規定辦理」[3]；判斷標準、申報時限與內容要件在證交所與櫃買中心的重大訊息處理程序，整理見上市櫃公司資安事件重大訊息。
- 年報：第四十二條要求年報敘明資安政策、具體管理方案、投入資源，以及重大資安事件的損失、可能影響與因應措施[3]。這本來就是《公開發行公司年報應行記載事項準則》第十八條的應記載事項：要敘明資通安全風險管理架構、資通安全政策、具體管理方案與投入的資源，並列明最近年度及截至年報刊印日止，因重大資安事件遭受的損失、可能影響與因應措施，無法合理估計者要說明理由[6]。同準則第二十條的風險事項，也要分析科技改變（包括資通安全風險）對公司財務業務的影響與因應措施[6]。
- ISO 27001 與 SOC 2：第四十三條要求評估導入 ISO 27001、CNS 27001 等資訊安全管理系統標準，或其他同等以上的標準並取得第三方驗證、持續維持有效性，或評估取得 AICPA 的 SOC 2 Type 2[3]。條文用的是「評估」，並沒有要求一定要取得，但評估過程與結論最好留下紀錄。兩者的性質與選擇方式，見 ISO 27001 與 CNS 27001 導入與 SOC 2、ISO 27001 與資安問卷。
- 資通安全管理法：資安法的規範對象是公務機關與特定非公務機關，後者指關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制之事業、團體或機構[10]。多數上市櫃公司不屬於這些類型，不直接受資安法拘束；但若屬特定非公務機關（例如被指定為關鍵基礎設施提供者），就要同時遵守資安法與這份指引。這次修正有多條在說明中參考了 2026 年 1 月 7 日修正的《資通安全責任等級分級辦法》的應辦事項與防護基準[2][11]，已依分級辦法建置控制措施的公司，差距會比較小。資安法的義務見資通安全管理法重點整理。
- 個人資料保護：指引把個人資料列為機敏性資料的例子[3]，個資外洩的通知義務另見個資法重點整理。
新版差距評估怎麼做
- 以新版 44 條建立對照清單：每條記錄新舊條次、是否採行與理由（依第四十四條的產業特性、規模與資安風險）、現況、證據文件、負責人與完成期限。
- 先處理變動的 13 條：新增的第十六、三十八、三十九條，以及修正的第九、十、十五、十七、十八、十九、二十二、二十五、三十四、三十五條[2]。其中第十、二十五、三十四條主要是用語調整，多半只要更新文件。
- 盤點 AI 使用：列出公司正在用的 AI 服務、自行開發的模型與 AI 代理，標出哪些涉及核心業務、機敏性資料，或能介接、操作資通系統；這些適用第三十八條，其餘依第三十九條納入既有管理[3]。
- 補齊第三方元件清單與合約條款：自行開發或委外開發的系統，整理使用的開源與商用元件；委外與採購合約加入漏洞主動通報與修補時限的條款[3]。
- 檢查備份與檢測計畫：確認核心業務有異地備份，以及離線或不可變更的備份；檢測計畫補上資料庫安全檢視與定期源碼掃描，並把紅隊演練的評估結論寫下來[3]。
- 安排應變演練：第三十五條的應變處置演練可以和第十條的營運持續演練一起規劃，但紀錄上要看得出各自驗證了哪一套程序。
- 更新內控與稽核計畫：修訂引用舊條次的內部文件，把差距評估結果納入年度稽核計畫的資通安全檢查項目[4]，並依第四十條向董事會或管理階層報告[3]。
行動清單
- 下載新版指引與修正條文對照表，確認內部引用的不是法規分享知識庫上的 2024 年版本。
- 依金管會命令確認公司屬於哪一類資安人力要求，核對資訊安全長、專責主管與專責人員的指派紀錄。
- 用新版 44 條做一次差距評估，對不採行或改用其他做法的條文寫下理由，並經權責主管核定。
- 盤點 AI 服務與 AI 代理，訂定員工使用規範，替能操作系統的代理設定權限限制、人工核准與紀錄。
- 建立第三方元件清單，更新委外與採購合約的漏洞通報、修補時限與稽核權條款。
- 補齊異地備份與離線（或不可變更）備份，並更新檢測項目與頻率。
- 排定今年的電子郵件社交工程演練與資安事件應變演練，留存紀錄。
- 確認年報的資安揭露與重大訊息決策流程，和指引第三十七、四十二條一致。
- 評估 ISO 27001／CNS 27001 驗證或 SOC 2 Type 2 的必要性，把結論寫成文件。
- 內部人力不足以做第一次差距評估時，可以考慮資安健檢服務；平時可訂閱通報掌握規範與漏洞動態。