資安長是什麼？設置規定、職責與資格整理
資安長（CISO，Chief Information Security Officer）是企業中綜理資訊安全政策推動與資源調度的高階主管，負責把資安風險轉成管理階層看得懂的決策。在台灣，上市櫃公司、銀行與保險業、公務機關與特定非公務機關，各有法規要求設置資安長，條件與層級不同。
多數企業的問題不是「要不要設」，而是剛上任的人該做什麼、和資訊主管怎麼分工。下面依法規原文整理設置規定、職責與資格，最後附一份上任 90 天計畫。需要協助高階主管與資安團隊的訓練規劃，可參考我們的 資安教育訓練課程。
重點整理 – 上市櫃公司依金管會令，實收資本額 100 億元以上、台灣 50 成分股或電商收入占比高者須設資安長。 – 銀行業與大型保險業須由副總經理以上兼任，每年向董事會報告。 – 資通安全管理法要求公務機關與特定非公務機關設置資通安全長。 – 法規沒有規定資安長必須持有特定證照，重點在職級與權責。
資安長是什麼？
這個職位是企業內負責資訊安全治理的最高主管，綜理資安政策推動與資源調度，並向董事會或最高管理階層報告。法規用語上，金管會稱「資訊安全長」，資通安全管理法稱「資通安全長」，英文通常寫作 CISO。
它和資安專責主管不同：前者多由副總級主管兼任，負責決策與資源；專責主管與人員負責日常執行。金管會證期局的問答集也說明，這個角色通常應由副總等一定層級以上的高階主管擔任，才有足夠職權調度資源。
哪些企業必須設置資安長？
依產業與規模，主要有四類組織依法要設置資安長，條件、層級與期限如下表。
| 組織 | 法規依據 | 設置條件與要求 |
|---|---|---|
| 上市櫃公司（第一級） | 公開發行公司建立內部控制制度處理準則第 9 條之 1、金管會 110 年 12 月 28 日令 | 實收資本額 100 億元以上、前一年底屬台灣 50 指數成分公司，或電子商務收入占比達標者：指派資安長，設專責單位（主管＋至少 2 名專責人員） |
| 上市櫃公司（第二級） | 同上 | 前述以外、近 3 年未連續虧損且每股淨值不低於面額：專責主管＋至少 1 名專責人員（不強制資安長） |
| 金控與銀行業 | 金融控股公司及銀行業內部控制及稽核制度實施辦法第 24 條 | 副總經理以上兼任資安長；專責單位隸屬總經理，不得兼辦資訊業務 |
| 保險業 | 保險業內部控制及稽核制度實施辦法第 6 條之 1 | 資產總額達 3,000 億元或網路投保保費達 5 億元：副總經理以上兼任資安長 |
| 公務機關、特定非公務機關 | 資通安全管理法第 12、23 條 | 公務機關由首長指派副首長或適當人員兼任；特定非公務機關由代表人或其指派人員擔任 |
上市櫃公司在符合條件後有 6 個月調整期；銀行與保險業依民國 115 年修正的辦法，未符合者須在 116 年 12 月 31 日前調整完成。
資安長的職責範圍
CISO 的職責是訂定資安政策與目標、調度人力與預算、監督風險管理成效，並向董事會報告。金控、銀行與保險業的辦法明定，資安長每年應向董事會報告前一年度資訊安全整體執行情形，並及時報告重大資安問題。
實務上可以歸納為五項工作：核定資安政策與年度目標、主導風險評鑑與處理優先順序、編列資安預算與人力、督導事件應變與對外通報、規劃全員與專責人員的訓練。其中風險評鑑是排優先順序的基礎，做法可參考 ISO 27001 風險評鑑；事件發生時的時限與流程，則可參考 資安事件通報 的整理。
資安長需要什麼資格？
法規沒有規定必須持有特定證照，看的是職級與權責是否足以調度資源。金管會問答集要求的是專責主管與人員的能力：公司應給予適當教育訓練，或要求取得相關資通安全職能證照。
一般而言，企業挑選人選會看三種能力：懂業務與風險、能向董事會溝通、能在事件中做決策。CISSP、CISM、ISO 27001 主導稽核員等證照有助於建立專業基礎，但不是任命門檻。金控與銀行業另規定，資安專責單位人員每年至少要有 15 小時專業訓練，其他資訊人員 6 小時，一般員工 3 小時，CISO 要確保這些時數有規劃、有紀錄，課程設計可參考 資安教育訓練 的做法。
資安長與資訊主管怎麼分工？
最簡單的分法是：資訊主管負責把系統做出來、跑得穩，CISO 負責確認風險在可接受範圍內。兩者目標相同，角色互相制衡，所以銀行業辦法明定資安專責單位不得兼辦資訊業務。
中小型企業不一定能分設兩人，常見做法是由副總兼任資安長、資訊主管兼任專責主管，但要在內部控制制度寫清楚誰核定、誰執行，避免「自己檢查自己」。
資安長上任 90 天與第一年重點
新官上任最怕一開始就被專案追著跑。建議前 90 天只做三件事：了解現況、排出風險、取得董事會支持。
| 期間 | 重點工作 | 產出 |
|---|---|---|
| 第 1～30 天 | 訪談各部門主管，盤點核心系統、外包廠商與過去事件 | 現況摘要、關係人名單 |
| 第 31～60 天 | 完成第一次風險評鑑，對照適用法規（金管會令、產業辦法、個資法） | 風險清單、法規缺口 |
| 第 61～90 天 | 提出年度資安計畫、預算與人力需求，向董事會或總經理報告 | 年度計畫、核定紀錄 |
第一年則聚焦：建立事件通報流程並演練一次、完成全員訓練、處理風險清單前五項，以及在年底向董事會提出第一份年度執行報告。
關於資安長的常見誤解
- 「設了資安長，資安就是他一個人的事」：他負責治理與資源，執行仍要靠各部門與專責人員。
- 「資安長一定要是技術出身」：法規看的是職級與權責，金管會問答集舉的例子是副總等高階主管。
- 「不是上市櫃就不用管」：銀行、保險、公務機關與特定非公務機關都有各自規定；一般企業雖無強制，客戶與供應鏈稽核也常詢問資安負責人。
資安長常見問題
資安長可以由 IT 主管兼任嗎？
法規未明文禁止上市櫃公司由資訊主管兼任，但資安長應具備綜理政策與調度資源的職權；銀行業則明定資安專責單位不得兼辦資訊業務。實務上，由副總級主管兼任資安長、資訊主管負責執行，較能避免球員兼裁判。
資安長要向誰報告？
金控、銀行與保險業的資安長每年應向董事會報告前一年度執行情形，重大資安問題則要及時報告。上市櫃公司的資安組織調整，依金管會問答集須修訂內控制度並提報董事會。
一定要有證照嗎？
不一定。法規沒有要求資安長持有特定證照；專責主管與人員則建議透過訓練或職能證照確保勝任。可以搭配 資安線上課程 補足管理層的基礎認知。
資安長的英文是什麼？
資安長英文為 Chief Information Security Officer，簡稱 CISO；資訊長則是 CIO（Chief Information Officer），兩者職責不同。
剛被任命為資安長，第一週該做什麼？
先拿到三份文件：公司現行的資安政策、最近一次內部稽核報告，以及過去一年的資安事件紀錄。看完就能知道公司卡在制度、技術還是人員，再決定 90 天計畫要從哪裡開始。
想為資安長與專責團隊規劃一年的訓練與制度推動，可以 預約一次免費諮詢。
參考資料
- 資通安全管理法 – 第 12、23 條資通安全長。全國法規資料庫 · 民國 114 年 9 月 24 日修正
- 公開發行公司建立內部控制制度處理準則 – 第 9 條之 1 資訊安全長。全國法規資料庫
- 金管證審字第 11003656544 號令 – 上市櫃公司設置資安長與專責人力的條件與期限。金管會證券期貨局 · 民國 110 年 12 月 28 日
- 金融控股公司及銀行業內部控制及稽核制度實施辦法 – 第 24 條資訊安全長與訓練時數。全國法規資料庫
- 保險業內部控制及稽核制度實施辦法 – 第 6 條之 1 資訊安全長設置基準。全國法規資料庫
