鼎新METIS雲端服務安全聲明

目前版本 : 2026/08/13 | 過往各版

---

• 1 客戶資料與資產保護
雲端服務使用者的資料是本公司的首要保護目標。本公司將確保：
• 明確識別雲端服務的使用者客戶資料以及透過服務產生的雲端服務衍生資料。
• 記錄並揭露任何本公司提供的服務功能，允許雲端服務使用者對其在雲端環境中維護的資訊和相關資產進行分類和標示。
• 在服務協議終止時，依據協議內容或雲端使用者之合理要求，執行歸還和移除使用者的雲端服務資產。
• 確保有關設備、資料儲存、檔案和記憶體的安全處理或再利用，並且能夠及時執行相關政策和程序。
• 2 存取控制與身份驗證管理
為確保雲端服務使用者的資料和服務受到保護，本公司實施的存取控制措施包含：
• 提供使用者註冊與取消註冊功能，以及這些功能的使用規範，以協助雲端服務使用者管理對於雲端服務的存取。
• 提供雲端服務使用者管理相關使用者存取權限的功能，以及這些功能的使用規範。
• 為雲端服務使用者提供足夠的身份驗證技術，例如多因素驗證功能，以驗證SaaS應用擁有者的管理員對雲端服務的管理功能。
• 對雲端服務資料、虛擬化應用程式依照存取權限執行適當邏輯隔離，以確保多租戶環境中不同客戶之間資源的分隔，以及本公司內部管理與雲端服務使用者使用資源之間的分隔。
• 提供可協助雲端服務使用者實施自身密碼保護的能力。
• 3 網路與通訊安全控制
為保障雲端服務的傳輸安全與保護，本公司實施的通訊安全機制包含：
• 使用雲端服務平台之虛擬私有雲網路進行虛擬網路規劃、設定，並透過防火牆政策、子網路與路由等網路控制機制，落實存取控管與網路分段，以確保雲端虛擬網路配置之資訊安全控制，並與既有實體網路之資訊安全政策保持一致。
• 基於雲端服務平台所提供之負載平衡機制，實施相關安全控制，以減緩分散式阻斷服務攻擊對雲端服務之影響，縮短服務受影響時間，確保服務之可用性與穩定運作。
• 透過TLS/SSL加密機制建立雲端服務與雲端服務使用者間之安全通訊通道，並依據既定之金鑰管理政策，妥善產生、保存、使用與保護相關加密金鑰，以確保資料於傳輸過程中之機密性與完整性，防止通訊遭未經授權之攔截、竊聽或竄改。
• 持續追蹤可能影響本公司雲端服務的技術漏洞管理相關資訊。
• 4 服務運營與監控透明度
為確保服務的穩定運作及監控安全，本公司實施的管理機制包含下列事項：
• 提供有關雲端服務變更的資訊，包括變更原因、計劃日期與時間、配合事項，以協助雲端服務使用者其對服務運作之影響。
• 基於雲端服務平台之既有功能與內部流程實作備份程序，視專案需求提供應用快照、資料庫備份等方案，並留存包括備份範圍、時間表、方法、保留期限、資料完整性驗證程序及備份儲存位置等相關紀錄。
• 訂定資料還原與服務復原之程序與還原時間目標，規範還原啟動條件、作業流程、責任分工及測試要求，以支援雲端服務之可用性與營運持續性，並降低服務中斷對雲端服務使用者之影響。
• 制定日誌紀錄功能，以滿足對於雲端服務活動的事件日誌要求。
• 於雲端服務使用者合理需求下，提供管理操作程序的文件或指導。
• METIS平台所使用之雲端運算資源與系統元件，採用由雲端服務平台所提供或支援之時間同步機制，以維持系統時間之一致性與正確性。
前述時間同步機制之適用方式，係依實際服務架構、部署模式及雲端服務平台之技術特性而定。


• 5 資訊安全事件管理
為有效應對和管理資訊安全事件，本公司實施的管理機制包含：
• 制定相關文件，涵蓋向雲端服務使用者報告的資訊安全事件範圍、披露程度、通知原則、通知程序，以及相關的聯繫資訊和補救措施。
• 提供雲端服務使用者資訊安全事件回報管道，以啟動本公司資安事件應變與通報流程：
  https://market.digiwincloud.com/email-consultation
• 6 法規遵循
• 本公司總公司設立於新北市新店區中興路一段222號，METIS平台係建置於國際大型公有雲服務供應商所提供之公有雲基礎設施上， 其雲端資料之主要營運與備援位置設於臺灣及新加坡之資料中心。
  本平台雲端服務之法律管轄，原則上以本公司設立所在地為準，惟雲端資料於資料中心進行處理或儲存時， 可能依適用情形，受相關資料所在地法規影響。
• 本公司於提供METIS平台雲端服務時，遵循《個人資料保護法》及其相關子法等適用之法令要求，於雲端服務使用者合理要求下， 本公司得提供前述資訊，以及本公司目前符合相關法律及合約要求之佐證資料。
• 本公司導入ISO/IEC 27001資訊安全管理系統，並依據ISO/IEC 27017雲端服務資訊安全指引，就存取控制、身分驗證、 加密傳輸、日誌紀錄及相關資訊安全控制措施，建立相對應之管理機制與作業流程。
• 7 供應鏈安全與獨立審查
• 本公司訂有資訊委外管理程序，並透過保密同意書、保密切結書、契約合同等方式確保服務供應鏈的整體安全性。
• 本公司將提供第三方審查的標準驗證文件，佐證上述聲明事項。
• 8 雲服務安全共同責任表
雲服務的安全，有賴供應商和客戶共同維護。各角色成員在各層面的責任，總結於下表，做為共同遵守的依據。

安全層面	鼎新METIS平台 (PaaS服務供應商/PII處理者)	SaaS應用擁有者 (雲端服務客戶/PII控制者)	一般使用者 (雲端服務使用者/PII當事人)
共同角色與職責	記錄並溝通其資訊安全能力、角色和職責，以及SaaS應用擁有者需要實施和管理的資訊安全角色和職責。	根據其雲端服務的使用情況，定義或擴展其現有政策和程序。應確認與雲端服務供應商協商分配到的資訊安全角色和職責，並確認能夠履行。	了解他們在使用雲端服務中的角色和職責。遵守由SaaS應用擁有者定義的服務使用標準和程序。
資產責任/服務終止	提供有關在終止使用雲端服務協議時，歸還和移除任何客戶資產的安排資訊，並在協議中明確規定且及時執行。應確保及時安排設備、資料儲存、檔案、記憶體的安全處置或再利用。	要求提供一份關於終止服務流程的文件化說明，其中涵蓋歸還、移除和刪除所有資產副本的程序，並記錄終止服務的時間表。應確保其資產在終止協議後及時移除或歸還。	無
資訊安全政策	提供適用於雲端服務設計和實施的基準資訊安全要求。	確保雲端運算的資訊安全政策與組織的資訊安全風險可接受程度保持一致。	遵守鼎新METIS用戶使用協議和鼎新隱私政策。
虛擬化隔離與強化	客戶資料、虛擬化應用程式施行適當邏輯隔離，以分隔多租戶資源。確認METIS平台的內部管理與SaaS應用擁有者使用的資源分隔。	在配置虛擬機器時，僅開放需要的埠、協定和服務，並具備反惡意軟體、日誌記錄。負責其部署的應用程式（SaaS）的漏洞修補和組態管理。	無
存取控制	提供使用者註冊和取消註冊功能，以及提供管理SaaS應用擁有者的一般使用者存取權限的功能，並提供這些功能的使用規範。為平台管理員提供多因素驗證機制。	負責應用程式層級的使用者的帳號生命週期、通行碼強度，以及應用層存取權限的配置和定期審查。驗證雲端服務供應商分配機密驗證資訊（如密碼）的管理程序是否符合其要求。	負責保護通行碼的機密性。依據業務作業所需之最小權限與最小資料範圍原則存取資料。
密碼學控制措施	向SaaS應用擁有者提供有關其使用密碼學保護處理資訊的情況的資訊。實施TLS/SSL加密機制，以保障資料（含PII）傳輸安全。	實施足夠強度的密碼控制以降低已識別的風險。採用應用程式數據（尤其是PII數據）在資料庫或儲存空間內的加密方案（如欄位級加密），並管理其自有的加密金鑰。	無
管理員的運作安全	向需要它的客戶提供關於關鍵運作和程序的文件。	記錄關鍵運作的程序，例如：虛擬化設備的安裝、更改和刪除；備份和恢復。	無
日誌記錄與監控	應提供使SaaS應用擁有者能夠監控與其相關的雲端服務運作的特定方面的能力。應提供日誌功能，記錄平台層的活動，並確保日誌的安全保護。	具備監控其使用的雲端服務運作的特定方面的能力。應負責定義和實施應用程式層的事件日誌記錄要求，並定期檢核PII系統存取紀錄。	無
變更管理	應向客戶提供有關可能對雲端服務產生不利影響的雲端服務變更資訊。	變更管理流程應考慮雲端服務供應商所做的任何變更的影響。	無
應用開發安全	應揭露關於本部門METIS平台安全開發程序和實踐使用的資訊。METIS平台開發人員遵循Angular 和Java 安全編碼規範。	負責其SaaS 應用程式的安全開發或使用。在系統開發週期初始階段，應將PII檔案的安全需求納入考量。	禁止對鼎新METIS系統進行漏洞掃描、滲透測試等可能造成鼎新METIS損失的行為。
資訊安全事件管理	倘發生資安事件，應及時通知SaaS應用擁有者和一般使用者，並同時採取必要措施。	驗證事件管理職責的分配是否滿足客戶的要求。向METIS平台報告其檢測到的資訊安全事件。	通報資通安全事件和任何已鑑別出的弱點。若發現服務系統或相關系統的資訊安全漏洞需及時通知鼎新METIS。
法規遵循	告知客戶管理雲端服務的法律管轄區。本公司設立於新北市新店區中興路一段222號，其法律管轄區為臺灣。	要求提供證據，證明雲端服務供應商符合客戶業務所需的相關法規和標準。識別與雲端服務聯合營運相關的主管機關。	無

• 9 聲明調整與適用差異說明
• 本雲端安全聲明係依現行雲端服務架構與管理機制所制定，旨在說明本公司於提供雲端服務時所採行之資訊安全管理原則與相關控制措施。
• 本公司得因應法規要求、技術演進、雲端架構調整、服務內容變更或不同雲端服務類型之差異，適時調整本聲明所述之資訊安全管理措施。
• 本聲明所揭露之控制措施，應以實際提供之服務內容、系統架構、部署模式及版本為準，相關措施之適用範圍、實施方式及時程，得依實際營運需求與技術條件分階段實施或調整。