公司治理情形 - 三能集團控股股份有限公司

公司治理運作情形
公司治理主管
資訊安全

本屆董事會任期：2020年6月19日至2023年6月18日，迄今已開會18次

職稱	姓名	實際出(列)席次數(B)	委託出席次數	實際出(列)席%(B/A)
董事長	張瑞榮	18	0	100%
董事	謝順和	18	0	100%
董事	陳來春	15	3	83%
董事	蔡豐隆	18	0	100%
董事	張瑞卿	17	1	94%
董事	張志豪	18	0	100%
獨立董事	陳水金	18	0	100%
獨立董事	吳朝福	18	0	100%
獨立董事	黃辰彥	18	0	100%

董事進修情形

職稱	姓名	2022年度進修總時數	進修是否符合規定
董事長	張瑞榮	6.0	V
董事	謝順和	6.0	V
董事	陳來春	6.0	V
董事	蔡豐隆	8.0	V
董事	張瑞卿	6.0	V
董事	張志豪	7.0	V
獨立董事	陳水金	24.0	V
獨立董事	吳朝福	6.0	V
獨立董事	黃辰彥	7.0	V

詳細進修資訊可至公開資訊觀測站查詢

公司治理運作情形

宣導及教育訓練

本公司誠信經營專責單位係由執行長室負責，負責協助董事會及管理階層制定及監督執行誠信經營政策與防範方案，確保誠信經營守則之落實，該單位於2022年11月9日向董事會報告其2022年執行情形。

本年度已於2022年針對全體董事及經營團隊舉辦「誠信經營守則及內線交易」教育訓練，參與人數共14人，其課程內容包含：誠信經營守則及內線交易基本介紹、誠信經營守則、內線交易/歸入權相關法規等，並於課後提供簡報檔案給需要之董事及經理人參考。

除此之外，本公司亦建立完整檢舉制度及檢舉人身分及內容之保密及獎勵措施，並隨時注意國內外誠信經營相關規範之發展，以提升公司誠信經營之落實成效。

日期	主題	課程時數	參與人數
11/9	誠信經營守則及內線交易	1	14

智慧財產權

本公司定期於將智慧財產相關事項提報至董事會報告，最近一次提報日期為2022年 11 月 9 日。

三能集團取得專利清單與成果：

截至2022年10月31日止，集團專利申請件數共184件，其中已通過之「發明」專利14件、「新型」專利118件，「外觀設計」專利12件，共計 144件；審核及申請中之「發明」專利16件、「新型」專利24件，共計40件。
台灣：已取得專利26件，審核中專利12件。
中國：已取得專利112件，審核及申請中專利22件。
日本：已取得專利6件，審核中專利22件。
越南：審核中專利1件。

本公司已於2021年8月董事會通過設置「公司治理與企業社會責任」專責單位，並任命本公司財務經理擔任公司治理主管。直接向執行長報告公司治理相關事務，包括依法辦理董事會、審計委員會、薪酬委員會及股東會會議相關事宜；協助董事就任及持續進修；提供董事執行業務所需資料；以及協助董事遵循法令等。

本公司公司治理主管學經歷及進修資訊如下：

陳劉羽財務經理
學歷：國立政治大學會計研究所碩士	經歷：勤業眾信聯合會計師事務所副理桃園國際機場股份有限公司稽核三能集團控股股份有限公司經理
專業：通過中華民國會計師高考	經歷：勤業眾信聯合會計師事務所副理桃園國際機場股份有限公司稽核三能集團控股股份有限公司經理

日期	主辦單位	課程名稱	時數	總時數
2021/9/1	金融監督管理委員會	第十三屆臺北公司治理論壇	6.0	21.0
2021/10/13	財團法人中華民國證券暨期貨市場發展基金會	110年度內部人股權交易法律遵循宣導說明會	3.0
2021/11/12	財團法人中華民國證券暨期貨市場發展基金會	110年度防範內線交易宣導會	3.0
2021/12/7	臺灣證券交易所	2021國泰永續金融暨氣候變遷高峰論壇	6.0
2021/12/17	財團法人中華民國證券暨期貨市場發展基金會	上市櫃公司-如何運用期貨商品避險交易與企業永續經營研討會	3.0

公司治理運作

	說明	時間
董事進修	每年視公司營運方向、經濟情勢或專業能力等需求安排不同課程
公司治理評鑑	評鑑結果：21% ~ 35%	2021年
董事績效考核	2021年董事出席率達96%	2022/03/22
其他重要事項	若有重大法令變更時，將會寄發通知	不定期
	本公司設有投資風險決策委員會，定期召開會議並向董事會報告	半年/次
	資訊安全管理制度報告	2022/03/22
	智慧財產權執行成果報告	2022/11/09
	風險管理政策執行成果報告	2022/12/21
	利害關係人溝通情形成果報告	2022/12/21

資訊安全目的

為落實資訊安全與公司系統資料之管理維護，特成立資訊安全組織，負責建立與監督集團與各子公司之資訊安全政策與目標、推動及執行規劃各項資訊安全管理事項、落實稽核與溝通協調工作、建立員工資訊安全意識並確保集團資訊環境正常運作，同時運用「規劃、執行、檢查、行動」(Plan-Do-Check-Act, PDCA)持續改進模式運作，透過定期管理、宣導及教育訓練培養同仁良好資訊安全意識，以降低資訊所面臨的各種風險與威脅，提升資安防衛能力。

資訊安全組織架構與職責

組織架構

2. 組織權責

資訊安全委員會：

資訊安全管理制度與相關管理辦法審查
資訊安全政策擬定
資訊安全事項工作與資源之跨單位協調
資訊資產使用監督
資安設備與技術應用之研議與確認
資安事件應變處理的監督與檢討
不定期召開資安管理會議，對各項實施狀況與問題改善狀況進行確認
定期向董事會報告資安治理與稽核狀況。

資安稽核組

查核有關制度推動執行狀況
落實集團與各子公司內部稽核計劃與執行
異常與改善建議事項執行狀況追蹤

資安推動組

落實推動執行資安相關活動
協同制定資安相關規範及辦法
對資訊安全委員會之決議與改善事項，在各子公司落實執行與追蹤
對資安稽核單位之稽核改善建議，監督其改善是否落實

資安事件應變組

於資安或危機發生時，執行緊急應變措施至資安或危機事件結案
查明資安或危機事件之成因，並提出改善與預防建議方案

資安管理組

制定資安管理相關規範辦法
規劃推動資安相關活動
建立災害應變機制與復原方案
執行資安缺失改善事項
規劃資安設備與技術應用
執行資安委員會交辦事項
定期舉辦管理審查會議回報資安委員會委員

資訊安全政策與管理機制

為強化公司資訊安全管理，確保各項資訊資產設備、資訊的機密性、完整性及可用性，滿足各項業務運作需求，並符合相關法令、法規要求，使其免於遭受內、外部蓄意或意外之危害，故制訂資訊安全政策，供全體員工與外部合作廠商客戶遵循。

資訊安全政策目標

確保三能集團及子公司電腦資訊業務所管理及使用之資訊資產與系統之持續運作環境，免於遭受內部或外部之人為或意外之破壞，保護資料隱私，並防止資料外洩或遺失，以維持資訊服務穩定使用。

資訊安全管理機制

依據ISO/IEC 27001:2013國際標準，制定符合且適當的資訊安全管理系統(ISMS)，涵蓋資訊相關的管理環節，包括政策、組織、機房設施、災害復原、人員安全、實體環境、網路安全、資料備份與回復、存取控制、資訊系統開發及維護、資安事件管理等機制。

資訊安全控制措施

依據ISO/IEC27001:2013國際標準，導入ISMS資訊安全管理系統。
成立資訊安全組織，並釐清相關權責，以便於各項作業執行時能各司其職、完成作業。
建立並維護網路相關安全性作業，包含防火牆控管、遠端連線安全設定 (VPN)、入侵偵測防禦機制等，以降低遭到外部駭客入侵的風險。
辧公所使用之個人電腦皆安裝防毒軟體，並定期更新病毒，同時配合垃圾郵件防禦系統以降低駭客政擊之風險及勒索病毒之危害。
定期舉辦社交工程演練及資訊安全宣導教育訓練，提升員工資訊安全意識。
定期檔案及系統權限覆核，以避免各部門授權異常、資料外漏之風險。
員工及委外廠商需簽定保密協議，以確保該員之保密責任及義務，防止不當之資訊存取、破壞或揭露。
定期針對關鍵系統進行災害復原演練，以提升災害發生之應變回復能力。
建立資訊安全事件通報標準機制，以適當進行後續處理，同時將事件完整記錄，以做後續之相關檢討。
定期舉辦管理審查會議，針對資安規範審視、資安事件、稽核執行、關注方回饋及需持續改善之議題向資安委員們報告。

2021年度資訊安全執行情形

2021年01月：完成建置災害復原演練標準化-關鍵系統執行頻率規劃。
2021年04月：完成File Server(檔案伺服器)存取軌跡稽核系統評估，以檢測檔案使用之頻率及狀況，以降低資料損失之風險。
2021年07月：完成導入次世代端點防護(防毒防駭)。
2021年09月：社交工程演練系統導入啟動。
2021年10月：依ISO 27001標準，導入ISMS資訊安全系統規範開始建置。
2021年12月：完成社交工程演練執行(包含臺灣、無錫、日本、印尼子公司)。
2021年12月：完成Easy Flow簽核系統災害復原演練。
2021年12月：完成Log4j(CVE-2021-44228)漏洞影響之公司產品清查，並將有影響之產品(VMware)更新至新版本。