金融監督管理委員會　裁處書
受文者：如正副本
發文日期：中華民國110年3月4日
發文字號：金管證券罰字第1100360648號
受處分人：康和綜合證券股份有限公司
營利事業統一編號：略
地址：略
代表人或管理人姓名：略
地址：略
主旨：受處分人違反證券商管理規則第2條第2項規定，爰依證券交易法第66條第1款規定，對受處分人予以警告處分，並依證券交易法第178條之1第1項第4款規定核處新臺幣144萬元罰鍰。
事實：財團法人中華民國證券櫃檯買賣中心（下稱櫃買中心）109年7月17日、9月9日與9月10日對受處分人進行查核，發現受處分人辦理主機共置（Co-location;下稱Co-Lo）服務僅提供與資訊廠商具高度關聯之特定人使用，且對Co-Lo交易主機不具實質控制權、未完整保留接收客戶委託時間紀錄、系統設置之防火牆留存及存取控管設定寬鬆等資訊安全缺失，上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定。
理由及法令依據：
一、按「證券商違反本法或依本法所發布之命令者，除依本法處罰外，主管機關得視情節之輕重，為下列處分，並得命其限期改善︰一、警告。…」、「證券商…有下列情事之一者，處各該事業或公會新臺幣二十四萬元以上四百八十萬元以下罰鍰，並得命其限期改善；屆期未改善者，得按次處罰：…四、證券商...未確實執行內部控制制度。」分別為證券交易法第66條第1款及第178條之1第1項第4款所明定；「證券商業務之經營，應依法令、章程及前項內部控制制度為之。」為證券商管理規則第2條第2項所明定。
二、櫃買中心109年7月17日、9月9日與9月10日對受處分人進行查核，發現受處分人有下列缺失事項：
(一)受處分人於Co-Lo機房放置之交易主機軟硬體設備係向○○○○股份有限公司(下稱○○○○)簽約租用，並僅提供○名與該資訊廠商具有高度關聯性之客戶使用，Co-Lo交易主機之系統登出入紀錄已被○○○○全數刪除，且受處分人對交易主機內含程式與數量無法具體掌控；另置於Co-Lo機房之交易主機，未完整留存投資人委託資料送達的時間，顯有為特定人量身訂做Co-Lo服務，而未落實資訊安全，且對Co-Lo交易主機不具實質控制權之情事。前揭缺失違反證券商內部控制制度標準規範（下稱內控標準規範）CA-11210受託買賣及成交作業（一）23、「公司經營經紀業務且與證交所簽訂主機共置服務契約者，應依『主機共置服務管理辦法』規定辦理，使用該服務前，應自訂使用規則並於公司內部控制制度制定適當之控管機制及查核程序」、行為時之臺灣證券交易所股份有限公司及櫃買中心主機共置服務管理辦法（下稱管理辦法）第11條第2項「證券商經紀業務使用本服務前，應自訂(訂定)使用規則且納入內部控制制度，並依使用規則公平對待投資人…」、管理辦法第14條第7款「本服務使用者不得有下列情形：…七、除符合第十五條共同使用同㇐機櫃情形者外，將機櫃空間分租、轉租、出借或以任何方式提供第三人使用。」、內控標準規範CC-18000（四）3、「電腦稽核紀錄管理規定重要系統之稽核日誌留存、定期檢視及至少留存3年。」、CA-11210受託買賣及成交作業（二十二）「對於以…專線…委託者，...惟應依時序別列印買賣委託紀錄，…委託紀錄應含客戶委託人姓名或帳號、委託時間…等｣等規定。
(二)其他資訊安全作業缺失：
１、Co-Lo機櫃交易主機設置之防火牆，均未開啟進出紀錄留存之設定，故未依規留存3年進出紀錄，又○○○○得自外部連線至Co-Lo機櫃之委託成交回報主機網段及測試主機網段執行作業，顯有未落實定期檢視防火牆存取控管設定之情事，違反內控標準規範CC-17010(二)3、「防火牆進出紀錄及其備份應至少保存3年」及6、「公司應每年定期檢視並維護防火牆存取控管設定，並留存相關檢視紀錄」之規定。
２、交易主機帳號未定期變更密碼，違反內控標準規範CC-18000(三)5、「除輸入介面僅可輸入數字外，公司應使用優質密碼設定…公司其他使用者之密碼應至少每3個月變更一次」之規定。
３、○○○○「DMA證券下單系統」程式變更時，受處分人資訊單位雖已填具資訊系統測試暨上線申請表，惟未檢附上線程式清單及程式原始碼安全聲明書，違反內控標準規範CC-19000(十五)程式原始碼安全規範。
４、未就置於Co-Lo機房之軟硬體設備，定期執行弱點掃描作業，違反內控標準規範CA-11210受託買賣及成交作業（一）23與管理辦法第19條「使用者放置於主機共置機房之軟體、硬體設備應具備完善之資訊安全防護措施，並應定期執行安全漏洞偵測及修補作業。」規定。
三、上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定，爰依證券交易法第66條第1款及第178條之1第1項第4款規定處分如主旨。並請受處分人確實依照櫃買中心意見改善相關作業程序，納入內部控制制度確實執行及請內部稽核加強稽核。
繳款方式：
一、繳款期限：自本處分送達之次日起10日內繳納。
二、請依（機關）檢附之繳款單注意事項辦理繳納。
三、本案聯絡人：陳小姐，聯絡電話：(02)27747392，傳真電話：(02)87734134。
注意事項：
一、受處分人如不服本處分，應於本處分送達之次日起30日內，依訴願法第58條第1項規定，繕具訴願書經由本會（新北市板橋區縣民大道二段7號18樓）向行政院提起訴願。惟依訴願法第93條第1項規定，除法律另有規定外，訴願之提起並不停止本處分之執行，受處分人仍應繳納罰鍰。
二、受處分人如逾本處分所定繳款期限不繳納罰鍰者，即依行政執行法第4條第1項但書規定，移送法務部行政執行署各分署辦理行政執行。
正本：康和綜合證券股份有限公司（代表人鄭○○先生）
副本：臺灣證券交易所股份有限公司（代表人許○○先生）、財團法人中華民國證券櫃檯買賣中心（代表人陳○○先生）、臺灣集中保管結算所股份有限公司（代表人林○○先生）、中華民國證券商業同業公會（代表人賀○○先生）、金融監督管理委員會證券期貨局(主計室）、金融監督管理委員會證券期貨局(秘書室）、金融監督管理委員會證券期貨局(證券商管理組）