已制定書面資訊安全政策，並經管理層核准。

資訊安全職責已在組織內部正式分配。

該政策會依照既定週期進行檢討與更新。

資訊安全目標與業務風險息息相關，而非被視為獨立的 IT 議題。

僱傭合約或同等協議中已包含保密義務。

新進員工在入職期間會接受資訊安全意識培訓。

會為所有可接觸敏感資訊的員工提供定期複訓。

當員工離職或職務變動時，已有一套明確的流程來撤銷其存取權限。

資訊資產（資料、系統、裝置）的清單已建立並保持最新狀態。

資產會根據敏感程度進行分類（例如：公開、內部、機密、極機密）。

處理及標示機密資訊的規則已明文記載並予以遵循。

可移除媒體與行動裝置均受既定處理規則規範。

對建築物及敏感區域的進出實施管控（通行證、訪客登記、陪同規定）。

伺服器機房和資料中心的進出管制與一般辦公室的進出管制是分開的。

已定義並遵守「桌面整潔」與「螢幕清空」的規範。

關鍵基礎設施已針對環境風險（火災、水患、停電）採取因應措施。

使用者存取遵循「最小權限」與「需知」原則。

存取權限會依照既定時程進行審查，並在不再需要時立即撤銷。

遠端存取及特權帳戶會使用多因素驗證。

依據既定標準，對靜態及傳輸中的敏感資料實施加密。

修補程式管理與漏洞處理遵循已記錄的流程。

供應商與分包商協議中已包含資訊安全要求。

在入職前，會對有權存取敏感資訊的第三方進行評估。

已建立流程，用以持續監控供應商是否符合約定的安全要求。

已建立書面程序，用於通報及處理資訊安全事件。

已定義事件應變的職責與升級流程，且相關人員均已知悉。

關鍵系統與流程已制定業務連續性與災難復原計畫。

業務連續性計畫會依照既定週期進行測試或演練。

已建立符合適用隱私權法規（例如 GDPR）的資料保護框架。

個人資料的處理已記錄在案，包括法律依據及保存期限。

已建立處理資料當事人請求及個人資料外洩事件的流程。

已針對國際間的個人資料傳輸實施保障措施 （例如：標準合約條款）。