近年來上市櫃公司重大資安事件頻傳，國內有些公司已經積極應對，但有些公司仍然被動，該如何面對，許多企業仍無所適從，今年政府開始採取多項行動，希望從政策面推動國內企業在落實資安，在建立基礎時能有依循方向，金融監督管理委員會（金管會）在11月30日正式公告，發布修正「公開發行公司年報應行記載事項準則」，當中規定公司要在年報中，需針對資通安全風險管理，以及永續發展推動與執行的面向，強化資訊揭露的透明度。

事實上，在資安即國安2.0戰略下，近年政府在推動資安，開始聚焦讓每個產業都要導入資安，今年已有不少動作。例如，今年4月27、28日，證交所台灣證券交易所已正式明訂，當上市、上櫃、興櫃公司發生重大資安事件時，需發布重大訊息對外揭露。最近，新修法令規範出爐，將公司年報揭露資安作為一事，列入正式的法令要求。

金管會證期局表示，在11月30日，發布修正「公開發行公司年報應行記載事項準則」，涵蓋對象包含所有上市、上櫃、興櫃與公開發行公司，在資安管理面有三個重點：首先，就是明訂資安管理的資訊公開，讓投資人能有判斷，第二，需揭露重大資安事件的損失與影響，並要説明遇到事件時，公司是如何因應，第三，需揭露資通安全風險對公司財務業務的影響與因應措施。

這也意味著，公司從明年開始編製的年報，也就是從2021年（110年）公司年報起，將需載明上述資安管理作為。

從現行新版條款來看，在第十八條營運概況記載事項中，增訂第六款（原第六款移為第七款），就是主要對資安資通安全的要求。

該條款明訂，公司要敍述説明包括資通安全風險管理架構、資通安全政策與具體管理方案，以及投入資通安全管理的資源，這裡的資源包括人力、作為與預算，例如投入人員總數、相關會議召開次數，或是投保情形等。

同時，為落實公司對資通安全的風險揭露，公司需揭露重大資通安全事件所遭受的損失、可能影響及因應措施。當中也舉例説明，影響可包含營運或商譽的層面，對於無法估計的狀況，也要明確説明無法合理估計的事實。而在第二十條中，也有明訂公司應揭露資安風險對財物的影響與因應措施。

關於11月30日所發布的新版「公開發行公司年報應行記載事項準則」，資通安全管理的重點在第十八條營運概況記載事項中所增訂的第六款，明確要求公司年報必須揭露資安管理政策與風險管理架構，以及投入的資源，同時必須説明資安事件的因應，另在第二十條中，也要求需揭露資通安全風險對公司財務業務的影響與因應措施。

在這樣的法令之下，勢必帶動更多企業建立資安治理基礎。過去，已有一些企業展現對於資安的重視，在網站上公佈資安政策、組織架構與目標，或是在年報中的其他重要風險管理因應面向，提及相關作為。前兩年，證交所在新版公司治理評鑑指標也納入資安項目，現在，法規更是明訂企業必須在年報中公開揭露這方面的資訊，將促使所有國內上市櫃公司的資安作法，都變得更透明，同時，這些上市櫃公司所揭露的資訊，也將成為各產業其他企業的借鏡與參考。

只是，揭露程度沒有明確定義，會不會造成企業敷衍交差的情形？金管會證期局表示，以年報資訊揭露而言，實質面就是資訊公開，讓投資人判斷。要將資安作為納入年報説明，其實過去經過很長時間的討論，畢竟每個企業狀況不同，現在終於成為法令要求，儘管企業公開揭露與實際執行狀況，不一定能畫上等號，但如果企業連形式上的揭露都沒有，連基本的資安組織架構都無法説明，更何況是讓企業去落實資安治理。

另一方面，企業在ESG方面的資訊公開揭露也是重點，除了將條文從公司履行企業社會責任情形，修正為推動永續發展執行情形，對於ESG資訊的揭露，有更具體量化的內容，例如，揭露温室氣體排放、用水量、廢棄物、女性職員及高階主管佔比、職災數據等，以利公司揭露更為具體明確及量化之環境及社會議題相關內容。

整體而言，資安與ESG已是企業治理無法迴避的議題，未來政府也將提出更多行動，帶動整體產業都能跟上時代。

例如，除了上述的公司需發布重大資安事件重大訊息，在年報資訊需揭露資安管理作法，金管會在11月25日，公佈另一項法規命令修正的預告，要求上市櫃公司配置適當的資安人力，將進一步規範公司在資安治理面，需建立一定的基礎。在此當中，將依據公司規模與經營能力，做出不同要求，以第一級而言，符合資本額百億元，前一年底屬台灣50指數成分公司，或主要經營電商、人力銀行等條件的上市櫃公司，必須在2022年底之前，設置資安長並成立專責單位，預計此修正草案將在通過預告期後，也就是明年初，就會正式發佈施行。