網路安全（電子資訊與通訊系統）政策

政策宣告

1. 我們的電子通訊系統和裝置旨在促進ComponentSource集團內部的有效溝通和工作實踐，對業務成功至關重要。網路犯罪和資料竊取可能損害我們的聲譽和業務發展，並使財務資訊、敏感商業檔案、員工資料和客戶資訊等資料失去保護。本政策規定這些系統的使用者必須遵守的標準、我們監控系統使用情況的條件，以及違反這些標準時將採取的措施。
2. 我們期望所有電子和計算機設施均得到有效、專業的使用，並鼓勵所有員工培養為此所需的技能。這些設施由公司自費提供，用於自身業務目的，以幫助員工有效履行職責。每位員工都有責任確保該技術用於正當業務目的，且使用方式不會以任何形式損害公司或其員工。
3. 本政策適用於工作期間（包括遠端工作）使用公司技術的情況，也適用於在工作場所以外使用公司技術，例如從家中遠端連線、出差時使用公司膝上型電腦，以及使用智慧手機或個人數字助理（PDA）。本政策檔案應與《紀律規則》和《紀律程式》一併閱讀。如對本政策的適用有任何疑問，請聯絡技術長或財務總監。
4. 濫用網際網路或電子郵件可能使您和公司承擔法律或財務責任。例如，您可能無意中訂立合同、違反版權或許可協議、因誹謗或騷擾承擔責任，或將病毒引入系統。本政策旨在保護您和公司免於承擔此類責任。請仔細閱讀，並確保使用網際網路或電子郵件時遵守本政策的條款。
5. 當您以與ComponentSource有關聯的身份使用電子郵件或網際網路處理私人事務時，本政策同樣適用。我們可能不時修改本政策，以適應技術、法律和最佳實踐的變化。
6. 技術長負責監督和實施本政策。如對政策內容有疑問或有其他意見，請聯絡技術長。
7. 本政策不構成任何員工勞動合同的一部分，並且可能隨時修訂。

本政策適用於哪些人？

1. 本政策涵蓋各級工作人員，包括高階經理、管理人員、董事、員工、顧問、承包商、實習人員、居家工作者、兼職和固定期限員工、臨時工及派遣員工（本政策統稱為“員工”）。
2. 有權訪問我們電子通訊系統和裝置的第三方也必須遵守本政策。

本政策的範圍和目的

1. 本政策旨在保護ComponentSource的資料和基礎設施，概述管理網路安全措施的規程和指南，明確公司及個人使用的規則，以及違規所導致的紀律處分。
2. 本政策主要涉及計算機裝置（直接或透過遠端訪問）、電子郵件、網際網路（包括過度的私人搜尋和社交媒體使用，但經授權的ComponentSource公關活動除外）、電話、智慧手機、隨身碟、個人數字助理（PDA）和語音郵件的使用與濫用；同時也適用於傳真機、影印機、掃描器、閉路電視監控系統（CCTV）以及電子鑰匙扣和門禁卡的使用。
3. 所有員工均應始終遵守本政策，以保護我們的電子通訊系統和裝置免遭未經授權的訪問和損害。違反本政策可能按照《紀律程式》處理；嚴重違規可被視為嚴重不當行為，並導致即時解僱。

本政策的實施責任人

1. ComponentSource董事會（以下簡稱“董事會”）對本政策的有效執行負總體責任，但已將日常執行的責任委託給技術長。技術長還負責監督和審查本政策的執行，並提出修改建議，以儘量降低業務風險。
2. IT部門將在維護核心系統這一首要職責允許的情況下，處理本政策各項規定下的許可或協助請求，並可能規定裝置或程式的標準，以確保安全性和相容性。
3. 所有經理均有具體責任在本政策的範圍內行事，確保所有員工理解預期的行為標準，並在行為不符合要求時採取行動。
4. 所有員工都對本政策的成功實施負有責任，應花時間閱讀和理解本政策。如發現濫用我們的電子通訊系統或裝置，應向技術長或財務總監報告。有關政策內容或適用的問題應提交技術長。

裝置安全和密碼

1. 員工對分配給自己或由自己使用的裝置的安全負責，不得允許任何人以不符合本政策的方式使用裝置。
2. 獲准訪問電子郵件系統或網際網路的員工須對其終端的安全負責。離開無人看管的終端或離開辦公室時，應鎖定終端或登出，以防未經授權的使用者在其不在場時訪問系統。
3. 未經事先諮詢IT部門，不得移動或擅自改動臺式電腦以及電話或計算機裝置的線纜。
4. 每位使用者的密碼必須獨一無二，並須定期更改以確保保密。密碼必須保密，不得告知他人。良好做法是選用至少8個字元的密碼，包含大小寫字母、數字及（最好還包含）符號。應記住密碼而不將其寫下；如必須記錄，應對記錄檔案保密，並在不再需要時銷燬。為避免疑義，無論因何原因終止僱傭關係，您都必須向技術長或財務總監提供密碼詳情，並歸還所有裝置、電子鑰匙扣或門禁卡。
5. 如獲配膝上型電腦或智慧手機，必須始終妥善保管，旅行時尤其如此。必須使用密碼保護這些裝置中儲存的資料，以便在丟失或被盜時保護機密資料。在ComponentSource場所以外使用裝置時，還應注意公共交通乘客等第三方可能看到檔案，並採取一切必要措施避免這種情況。

系統和資料安全

1. 不得刪除、破壞或修改可能損害我們的業務或使業務面臨風險的現有系統、程式、資訊或資料。
2. 未經技術長授權，不得從外部來源下載或安裝軟體，包括軟體程式、即時通訊程式、螢幕保護程式、照片、影片片段和音樂檔案。傳入的檔案和資料須先經IT部門病毒檢查，方可下載。也不得從網路訪問網路電臺、音影片流媒體、即時通訊和網路郵箱（如Hotmail、WhatsApp或Yahoo）、社交網站（如Facebook、Instagram、YouTube或Twitter）或類似服務。
3. 機密資料包括但不限於：
   • 未公開的財務資訊
   • 客戶、供應商、合作伙伴和股東資訊
   • 員工資訊
   • 客戶名單、銷售線索及相關資料
   • 密碼
   • 合同
   • 法律和業務記錄

   無論在內部還是向外部接收方傳輸資料，都會帶來額外的安全風險。因此，員工必須：

   1. 不得向未經授權的員工或外部人員傳輸機密資訊；
   2. 僅透過ComponentSource網路傳輸機密資料；
   3. 確保已取得資料傳輸所需的全部授權；
   4. 核實公司外部的接收方已採取適當的安全措施；
   5. 遵守ComponentSource《資料保護政策》；
   6. 如發現實際或疑似隱私洩露、駭客攻擊企圖、惡意軟體和／或詐騙，立即通知技術長。
4. 未經IT部門事先批准，不得將任何裝置或裝置連線到我們的系統，包括隨身碟、MP3播放器或類似裝置、PDA或電話。USB埠、紅外連線埠及任何其他埠的使用也在此列。同樣，未經技術長事先批准，員工不得嘗試從他人擁有的裝置訪問ComponentSource系統和賬戶，也不得將自己的公司裝置借給他人。
5. 我們會對所有經過系統的電子郵件進行病毒檢查。開啟來自未知外部來源或因任何原因顯得可疑的郵件（例如檔名以.exe或.ran結尾）時，員工必須謹慎。收到疑似病毒時，應立即通知IT部門。為有效使用系統並遵守本政策，我們保留阻止訪問郵件附件的權利，也保留不傳送任何郵件的權利。
6. 除非獲得特別授權，不得嘗試訪問網路的受限區域或受密碼保護的資訊。
7. 7. 使用膝上型電腦或具備Wi-Fi功能裝置的員工在辦公室外使用裝置時須特別警惕，並採取IT部門不時要求的防範措施，以避免帶入病毒或危及系統安全。系統包含屬於本公司業務機密的資訊和／或受資料保護法律約束的資訊。必須依照我們的《資料保護政策》，極其謹慎地處理此類資訊。

電子郵件禮儀和內容

1. 電子郵件是重要的業務工具，但也是一種非正式的通訊方式，應審慎而有紀律地使用。應始終考慮電子郵件是否適合某項特定溝通；透過電子郵件傳送的信函應像書信或傳真一樣專業。必須始終附上我們的標準免責宣告。含有合同條款或其修改內容、或與爭議有關的往來郵件（無論收發）的紙質副本，應儲存在相應檔案中。
2. 電子郵件與任何其他通訊形式一樣，應始終體現最高的專業標準。內容應簡明扼要，在主題欄填寫恰當的標題，並在傳送前仔細檢查拼寫和語法。點選傳送按鈕前還應再次核對收件人。誤發郵件不僅令人尷尬，還可能導致公司機密資訊意外披露。
3. 應確保每個工作日至少查收一次郵件，出差時透過遠端訪問保持聯絡；離開辦公室超過一天時，應設定外出自動回覆。應儘量在一個工作日內回覆標記為“高優先順序”的郵件。
4. 不得傳送辱罵性、淫穢、歧視性、種族主義、騷擾性、貶損性或誹謗性郵件。如果認為自己受到騷擾或欺凌，或因同事透過電子郵件傳送的材料感到被冒犯，應告知直屬經理或財務總監。
5. 電子郵件會留下可檢索的記錄，因此應始終注意郵件內容。應假定郵件可能被其他人閱讀，不得包含一旦公開就會冒犯或使任何讀者或您自己感到尷尬的內容。
6. 電子郵件與紙質檔案一樣，可能在法律程式中被披露。錯誤或不當的陳述可能引發歧視、騷擾、誹謗、違反保密義務或違約索賠。從使用者收件箱或存檔中刪除郵件，並不意味著無法為披露之目的將其恢復。應將所有郵件視為可能從主伺服器或透過專用軟體恢復。
7. 一般而言，不應：
   • 在工作中傳送或轉發不願讓第三方閱讀的私人郵件；
   • 傳送或轉發連鎖郵件、垃圾郵件、漫畫、笑話或流言；
   • 傳送無關緊要的訊息，或不必要地抄送、轉發郵件給並無實際接收需要的人，從而造成系統擁塞；
   • 未經財務總監批准，使用我們的通訊系統銷售或做廣告，或群發有關失物、贊助或慈善募捐的訊息；
   • 除非擁有或已經取得適當許可權，否則不得透過郵件同意條款、作出合同承諾或宣告。在郵件末尾鍵入的姓名與信件末尾手寫的姓名一樣，構成簽名；
   • 下載或透過郵件傳送受版權保護的網際網路文字、音樂及其他內容，除非明確知道作品權利人允許這樣做；
   • 未經特別授權，從其他員工的計算機、以假名或透過虛擬專用網路（VPN）傳送訊息；或
   • 使用明知不安全的電子郵件、網際網路或任何其他外部通訊方式傳送高度機密、敏感或個人內容。

   即使標有私人或機密字樣，也切勿假定內部或外部訊息必然保密。網際網路並非安全的通訊方式，第三方可能訪問或更改已傳送或接收的訊息。因此，不要在郵件中傳送您不願公開的資訊。只有使用內部郵遞、親手交付，或將內容放入受密碼保護的線上文件，才能確保內部通訊的保密性。

8. 如收到誤投的電子郵件，應儘快退還發件人，不得以任何方式保留、複製或披露；但郵件含有上述不當材料時，應向技術長報告。

網際網路的使用

1. 訪問網站時，網站所有者可能使用Cookie、標籤或網路信標等工具來識別和監控訪客。如果網站屬於下文第10.11.2段所述型別，尤其是在訪問、下載、儲存或轉發網站上的不當材料時，此類標記可能使訪客和我們陷入尷尬境地。在某些情況下，例如材料具有色情性質，此類行為還可能構成刑事犯罪。下文第10.11段“裝置和系統的不當使用”進一步討論此問題。
2. 因此，不得訪問任何可能被視為違法、冒犯、低俗或不道德的網頁，或從網際網路下載的任何檔案（無論是文件、影象還是其他型別）。某些內容即使在英國合法，也可能因足夠低俗而落入此禁令。一般而言，如果任何人（無論是否預期會瀏覽該網頁）可能被網頁內容冒犯，或如果我們的軟體訪問該網頁或檔案的事實一旦公開可能令我們難堪，則瀏覽該內容即違反本政策。
3. 在任何情況下，即使是在個人時間，也不得使用ComponentSource系統參與任何網路聊天室、在任何網路留言板發帖，或建立部落格或Wiki並在其中記錄文字或資訊。作為例外，可能會特別批准相關員工訪問社交媒體併發帖，但僅限與推廣ComponentSource及其業務有關的目的。

系統的個人使用

1. 在滿足以下條件的前提下，我們允許偶爾使用網際網路、電子郵件和電話系統傳送私人郵件、瀏覽網際網路及撥打私人電話。個人使用是一項特許，而非權利。不得濫用或過度使用，我們保留隨時撤銷許可的權利。
2. 要繼續進行個人使用，必須滿足以下條件：
   1. 使用量必須極少，除緊急情況外，主要應在正常工作時間以外進行（即午休、上午9點之前或下午5點30分之後）；
   2. 私人郵件必須在主題欄標註“personal”；
   3. 使用不得妨礙業務或辦公室職責；
   4. 使用不得給我們帶來任何額外費用；以及
   5. 使用必須符合我們的政策，包括《平等機會政策》《反騷擾和反欺凌政策》《資料保護政策》和《紀律程式》（參見上文第10.7段“電子郵件禮儀和內容”及第10.8段“網際網路的使用”）。
3. 請注意，我們可能監控對系統的個人使用（參見下文第10.9.10段）。如發現違反本政策，可能按照《紀律程式》採取行動。如認為個人使用過度，我們保留限制或阻止訪問某些電話號碼或網站的權利。
4. 您無權安排將私人信件寄至ComponentSource。我們無法判斷特定信件是否涉及公司業務，因此收到的所有信件通常都會被開啟。即使信件標有“personal”和／或“private and confidential”，也不例外。
5. 行動電話：如獲配行動電話或車載電話，應主要用於業務通話。如果用於私人通話，我們保留要求您償還通話費用的權利。應妥善保管電話，並始終確保其安全。如果電話被盜，應立即通知直屬經理或財務總監。如兩者均不在，應採取一切合理措施，讓服務提供商停用電話。直屬經理要求時或終止僱傭關係時，應立即歸還行動電話及其配件。

系統使用情況的監控

1. 我們的系統使我們能夠監控電話、電子郵件、語音郵件、網際網路和其他通訊。出於業務原因以及履行僱主的法律義務，電話和計算機系統等公司系統的使用情況，包括任何個人使用，均可能受到持續監控。監控僅在法律允許或要求的範圍內，以及出於業務目的必要且正當的情況下進行。
2. 閉路電視系統每天24小時監控我們建築物的外部，並記錄相關資料。
3. 我們保留出於以下目的檢索訊息內容或檢查網際網路搜尋記錄的權利（此列表並不詳盡）：
   • 監控電子郵件系統或網際網路的使用是否正當並符合我們的政策；
   • 查詢丟失的訊息或恢復因計算機故障而丟失的訊息；
   • 協助調查不當行為；或
   • 履行任何法律義務。

裝置和系統的不當使用

1. 網際網路、電話和其他電子系統的訪問許可權僅用於正當業務目的。附帶的個人使用只有在完全遵守我們的規則、政策和程式（包括本政策、《平等機會政策》《反騷擾和反欺凌政策》《資料保護政策》及《紀律程式》）時才被允許。參見上文第9.9段“系統的個人使用”。
2. 濫用或過度使用電話或電子郵件系統，或違反本政策不當使用網際網路，將按照《紀律程式》處理。在某些情況下，濫用網際網路可能構成刑事犯罪。特別是參與網路賭博或連鎖郵件，或建立、瀏覽、訪問、傳輸或下載下列材料而濫用電子郵件系統或不當使用網際網路，均構成嚴重不當行為（此列表並不詳盡）：
   • 色情材料（即具有露骨性描寫或引發性興奮的文字、圖片、電影和影片片段）；
   • 冒犯性、淫穢或犯罪材料，或可能使我們或客戶難堪的材料；
   • 關於任何個人或組織的虛假誹謗性陳述；
   • 歧視性、冒犯性、貶損性或可能令他人難堪的材料；
   • 您無權訪問的有關我們、任何員工或客戶的機密資訊；
   • 可能使您或我們承擔任何刑事或民事責任的其他陳述；或
   • 侵犯版權的材料。
3. 任何此類行為都將受到非常嚴肅的對待，並很可能導致即時解僱。
4. 如發現濫用的證據，我們可能根據《紀律程式》進行更詳細的調查，包括由指定調查人員及參與紀律程式的證人或經理檢視監控記錄並獲悉相關內容。如有必要，相關資訊可提交警方用於刑事調查。

本政策的監控和審查

1. 技術長與財務總監共同負責定期審查本政策，確保其符合法律要求並反映最佳實踐。
2. 財務總監負責確保可能參與本政策下管理或調查工作的人員擁有或接受適當的培訓和／或指導，以履行這些職責。
3. 歡迎員工聯絡技術長或財務總監，對本政策提出意見和改進建議。

災難恢復計劃

1. 技術長（CTO）負責為公司業務制定、實施和維護適當的災難恢復計劃，即在自然災害或人為行為、錯誤引發的災難後，恢復對公司IT基礎設施的訪問及其功能，確保重大中斷事件發生後，關鍵業務職能儘快恢復執行。
2. 維護工作需要將資料和IT基礎設施適當複製並備份至特定恢復點，以便重新掌控因感染、入侵或任何其他原因而無法執行的系統並恢復其功能。
3. CTO定期開展災難恢復測試，幫助發現公司災難恢復計劃中的弱點或缺口，並確保現有戰略流程能在事故發生時有效恢復關鍵系統和資料，使公司重新掌控其IT系統。
4. 網路安全已日益成為災難恢復對威脅處理至關重要的領域。威脅形式包括網路釣魚、駭客攻擊、勒索軟體、惡意軟體、服務中斷或拒絕服務，以及內部人員攻擊。ComponentSource已制定《網路攻擊響應程式》，作為其災難恢復計劃不可分割的一部分。該程式涉及檢測、評估和應對威脅系統及資料機密性、完整性或可用性的網路攻擊，旨在確保所有此類事故得到迅速、合法、透明的處理，儘量減少對業務、客戶和資料主體的損害。

網路攻擊響應程式

1. 本程式適用於有權訪問ComponentSource IT系統、網路、雲平臺或資料（包括個人資料）的所有員工、承包商和第三方。
2. 除了業務和商業影響，網路攻擊還可能觸發多項適用法律法規下的義務，例如歐盟和英國《通用資料保護條例》（GDPR）、計算機濫用法律、反洗錢法律、加利福尼亞州消費者隱私法（CCPA），以及包括英國擴充套件條款在內的歐盟—美國資料隱私框架（DPF）。
3. ComponentSource將維持強有力的防禦措施，以儘量降低網路攻擊風險，包括網路防火牆、入侵檢測系統、補丁及漏洞管理計劃、多因素身份驗證、定期滲透測試以及員工安全意識培訓。
4. 及時發現並準確報告潛在網路攻擊，對限制損害至關重要。所有員工、承包商或代表公司工作的其他人員，必須警惕系統、網路或使用者的異常行為跡象，並立即向CIO報告任何可疑指標。可能的網路攻擊跡象包括系統和網路行為異常、系統突然或無故關閉、崩潰或重啟、網路流量異常增高（尤其在正常工作時間以外）、未經授權的配置更改或防火牆設定被禁用、檔案被鎖定或無法訪問且出現陌生副檔名，以及日誌或系統配置被莫名刪除或更改。

   其他跡象可能包括多次登入失敗、從意外地理位置登入、建立意外的新賬戶、未經請求或可疑的電子郵件、網站內容被篡改、客戶報告彈出視窗或重定向、資料無故刪除，以及持續的效能下降、過熱、資源使用量激增或未經授權的裝置連線到公司系統。

5. 如員工、承包商或代表公司工作的其他人員懷疑發生網路攻擊，必須停止使用公司系統，並且未經CIO明確事先授權和指示，不得自行調查。應保全而不刪除任何證據，並儘可能擷取螢幕截圖。

   
   報告疑似網路攻擊時，應明確描述觀察到的情況、發生日期和時間、受影響的系統和／或應用程式和／或資料，以及使用者最近執行的任何操作（例如下載、開啟的電子郵件、訪問的網站）。

   如認為事故帶來運營或監管風險，還應向DPM報告。

6. 識別到已確認或疑似網路攻擊後，響應程式如下：
   1. 按以下標準將事故分為低、中、高或嚴重：

      等級	說明	典型示例
      低	輕微或區域性中斷，迅速得到控制，未發生資料洩露	區域性惡意軟體、單次網路釣魚企圖
      中	可能暴露資料或影響運營的中斷，需要進一步分析	憑據洩露、未經授權訪問非個人資料
      高	已確認或疑似資料洩露、勒索軟體感染或重大運營中斷	全系統惡意軟體爆發、資料滲入、拒絕服務攻擊
      嚴重	影響關鍵系統、造成大規模資料丟失或產生國家層面監管影響的重大事故	災難性服務中斷、已確認對個人構成高風險的個人資料洩露

   2. 對於評為“中”或以上的事故，CIO將啟動遏制措施，可能包括將受影響系統或裝置與網路隔離、撤銷已洩露的憑據、封鎖已知惡意IP地址或域名、在懷疑發生入侵時禁用遠端訪問或整合，並確保在遏制階段不銷燬任何證據。
   3. 開展初步調查，確定事件時間線、受影響系統、涉及資料的性質和敏感程度等，並收集證據以及日誌、映象和其他資料的副本，按照事故的唯一參考編號安全儲存。
   4. 向包括CFO和CEO在內的適當高層管理人員升級報告。高層管理人員將在必要時徵詢法律意見，確定是否需要向英國資訊專員辦公室、執法機關或合同規定的其他物件發出外部通知。如發生個人資料洩露，DPM將評估該事故，並在公司《資料洩露登記冊》中記錄。如個人資料主體的權利面臨高風險，DPM將按照歐盟和英國GDPR的要求，不得無故拖延地通知受影響的資料主體。所有外部報告均須記錄參考編號、提交日期和負責人。
   5. 完成遏制和調查後，CIO將管理清除階段，確保刪除所有惡意程式碼、後門和未經授權的賬戶。

      
      恢復階段將透過核實系統完整性和安裝補丁、從乾淨且經過驗證的備份恢復、在重新連線網路前進行驗證測試以確認系統安全，以及在指定的事故後期間（例如30天）持續監控是否復發，恢復正常運營。

   6. CIO將召集事故後審查會議，評估響應及溝通的有效性，識別程式或技術缺口，商定改進措施及職責分工，並按需更新相關政策和培訓。
   7. 有關任何網路攻擊或調查的資訊均屬嚴格保密，披露僅限獲授權人員以及必要時的監管機構和執法機關。未經授權在內部或外部分享事故詳情，將作為紀律問題處理。
   8. 下表列出針對各項網路安全事故應按情況建立和維護的記錄：

      記錄型別	目的／說明	最低保留期限	負責團隊／角色	銷燬或審查方法
      事故報告和通知	透過《網路攻擊報告程式》提交的初始和後續報告，包括內部警報以及向監管機構、保險公司或執法機關發出的外部通知。	結案或最後一次聯絡後6年。	例如CIO或DPM	保留期滿後安全銷燬或匿名化；如程式仍在進行則延長。
      事故響應報告和個案檔案	網路或資料安全事故的完整檔案。	事故發生或結案之日起6年。	例如DPM	保留期滿後安全銷燬或匿名化；如法律行動仍在進行則繼續保留。
      遏制和恢復日誌	即時遏制、隔離及恢復措施的記錄（如網路分段、憑據重置和補丁安裝）。	事故結案後6年。	例如CIO	審查後安全刪除；如需分析或後續處理則延長。
      調查和分析筆記	記錄攻擊途徑、範圍和影響的取證調查材料、時間線及分析人員筆記。	6年	例如CIO	保留期滿後安全銷燬或匿名化。
      取證資料和證據映象	為潛在法律或監管用途保留的磁碟映象、資料包捕獲、惡意軟體樣本及其他證據資料。	6年或所有事項結束時，以較長者為準。	例如DPM	在證據保管鏈監督下進行加密擦除，並記錄銷燬情況。
      事故登記冊	記錄所有事故、分級、行動、決定及結果的主日誌。	永久記錄（無限期保留或10年後歸檔）。	例如DPM	安全歸檔儲存；每5年定期審查。
      對外通訊（客戶、監管機構、保險公司、執法機關）	與事故有關的正式通知、往來信函及新聞宣告。	6年。	例如DPM	保留期滿後安全銷燬；如程式仍在進行則延長。
      第三方通訊和合同	供應商及合作伙伴往來信函、服務級別協議（SLA），以及補救或取證服務商的檔案。	事故解決或合同終止後6年。	例如法律顧問	保留期滿後安全刪除或匿名化。
      事故後審查報告和改進計劃	結案後的經驗教訓檔案、審查會議紀要和糾正行動跟蹤記錄。	6年。	例如DPM	保留期滿後安全刪除或匿名化；將摘要歸檔，保留審計軌跡。
      審計和合規報告（安全、技術、治理）	確認控制措施有效性或整改情況的獨立或內部審計報告。	報告日期起6年。	例如DPM	保留期滿後安全銷燬或匿名化。
      系統和網路日誌	用於證明系統活動、入侵檢測及取證重建的日誌。	至少12個月（調查期間延長）。	例如CIO	審查並結案後安全刪除或匿名化。
      訪問控制和身份驗證日誌	用於核實責任歸屬的使用者登入、許可權更改和訪問嘗試記錄。	12個月。	例如CIO	安全刪除或匿名化；如分析需要則延長。
      備份和恢復日誌	確認備份成功、完整性及恢復測試的記錄。	根據系統重要程度保留6–12個月。	例如CIO	按計劃輪換後安全刪除或覆蓋。
      網路安全培訓和意識記錄	所有員工和承包商完成培訓及意識提升計劃的證據。	僱傭期間另加6年。	例如CFO	保留期滿後安全銷燬；涉及法律或紀律案件則延長。
      紀律處分和員工調查記錄（網路安全相關）	針對濫用、疏忽或違反政策行為開展的員工調查。	僱傭期間另加6年。	例如CFO	保留期滿後安全銷燬或匿名化；如案件仍在進行則延長。
      安全意識測試和網路釣魚模擬	衡量員工網路安全意識和應對能力的測試結果。	3年。	例如CFO、DPM、CIO	保留期滿後安全刪除或匿名化。
      模擬結果	事故響應模擬或準備演練的記錄。	3年。	例如CIO	保留期滿後安全刪除；保留摘要作為培訓記錄。
      保險索賠和往來信函	因網路事故產生的通知、索賠表格和與保險公司的通訊。	索賠結案後6年。	例如法律顧問	保留期滿後安全銷燬；如爭議持續則延長。
      財務和制裁核查（SAMLA 2018）	批准付款（例如勒索軟體贖金或供應商費用）前完成制裁和反洗錢（AML）核查的證據。	6年。	例如法律顧問	保留期滿後安全銷燬；保留審計確認記錄。
      《2000年反恐法》／《2002年犯罪所得法》報告	根據反恐或犯罪所得法律提交的可疑活動報告或與NCA的通訊記錄。	提交或結案後6年。	例如法律顧問	安全歸檔；保留期滿並獲NCA許可後銷燬。
      法律建議和意見	在事故響應期間取得的外部或內部法律建議。	結案後6年。	例如法律顧問	保留期滿後安全銷燬；以安全訪問方式保留受法律特權保護的副本

CSCSP 10/2025