資訊安全基本方針

1. 目的

本方針旨在保護本公司所處理的重要資訊（客戶、承租人、屋主、往來對象的個人資料，營業秘密，以及因業務而知悉的機密等），使其免於外洩、竄改、滅失及其他威脅，並為業務的穩定持續營運訂定必要事項。

2. 適用範圍

本方針適用於本公司的董事及員工（含兼職、工讀、派遣人員），以及承接本公司業務的委外廠商；適用對象為本公司於營業活動中處理的所有資訊及資訊系統（電腦、智慧型手機、雲端服務、紙本文件、儲存媒體等）。

3. 經營者的責任與體制

本公司將資訊安全定位為經營上的重要課題，由代表董事擔任資訊安全最高負責人。最高負責人確保推行各項措施所需的體制與資源，並定期確認本方針的落實狀況。

4. 資訊安全措施的實施

本公司參照日本獨立行政法人資訊處理推進機構（IPA）《中小企業資訊安全對策指南》，實施下列措施。

（1）基本措施

• 隨時將電腦、智慧型手機等裝置的作業系統及軟體保持在最新狀態。
• 啟用防毒功能，並將病毒定義檔保持在最新狀態。
• 設定不易被猜測的密碼，條件允許時採用多因素驗證。禁止重複使用相同密碼。
• 檔案與資料夾的共用設定僅限於業務上必要的人員。
• 為因應裝置故障、誤操作、病毒感染等情形，定期備份重要資訊。
• 蒐集有關新型威脅與攻擊手法的資訊，並於公司內部共享。

（2）日常業務中的措施

• 不隨意開啟電子郵件的附件及內文中的網址，可疑郵件於開啟前先行確認。
• 為防止電子郵件與傳真誤送，寄送前確認收件對象。
• 重要資訊的傳遞採用加密、設定密碼等安全方式進行。
• 業務所使用的無線區域網路設定適當的加密方式。
• 使用網路及社群媒體時遵守既定規則，不張貼因業務而知悉的資訊。
• 載有重要資訊的文件及儲存媒體不放置於桌面，保管於可上鎖的場所；攜出時採取防竊防遺失措施。
• 不再需要的文件及儲存媒體，以無法復原的方式銷毀。
• 離座時鎖定螢幕，下班時妥善保管電腦等裝置。
• 限制無關人員進入辦公處所。
• 不於網站等處刊載不應公開的資訊。

（3）作為組織的措施

• 持續對董事及員工實施資訊安全教育與提醒。
• 明確訂定將個人所有的資訊設備用於業務時的處理方式。
• 於涉及重要資訊傳遞的交易中，在契約內訂定保密條款。
• 雲端服務等外部服務，於確認其安全性與可靠性後再行選定。
• 將資訊安全措施規則化，並明示於董事及員工。

5. 遵守法令及契約上的要求

本公司遵守《個人資料保護法》、《不動產交易業法》第45條（對業務上知悉之秘密的保密義務）、《不正競爭防止法》等相關法令與規範，以及與往來對象之間契約上的保密義務。個人資料的具體處理方式，另見隱私權政策。

6. 委外廠商的管理

將業務的全部或一部分委外時，於確認委外廠商資訊安全措施狀況的基礎上進行選定，簽訂包含保密義務的契約，並實施必要且適當的監督。

7. 事故發生時的因應

為因應資訊安全事故及疑似事故，本公司建立緊急聯絡體制與因應程序。發生事故時，以防止損害擴大為最優先，迅速向相關客戶、往來對象及主管機關通報，同時查明原因並採取防止再發生的措施。

8. 持續的檢視

本公司至少每年一次檢查本方針的落實狀況，並依業務內容的變化及新威脅的出現，修訂本方針及相關內部規則，持續加以改善。

※本方針參照日本獨立行政法人資訊處理推進機構（IPA）《中小企業資訊安全對策指南（第4版）》及其附錄《5分鐘就能做！資訊安全自我診斷》制定。