金融監督管理委員會　裁處書 
受文者：如正副本
發文日期：中華民國114年9月10日
發文字號：金管證券罰字第1140350879號
受處分人：群益金鼎證券股份有限公司
營利事業統一編號：略
地址：略
代表人或管理人姓名：周〇〇
地址：略
主旨：依證券交易法第178條之1第1項第4款規定核處新臺幣30萬元罰鍰。
事實：本會檢查局於114年2月20日至3月11日對受處分人進行資通安全專案檢查，發現受處分人辦理資訊治理作業、網路安全管理作業、應用程式安全及變更管理及辦理個人資料保護作業等缺失，顯示受處分人未落實執行內部控制制度與查核機制，核已違反證券商管理規則第2條第2項之規定。
理由及法令依據：
一、依證券商管理規則第2條第2項規定，證券商業務之經營，應依法令、章程及所建立內部控制制度為之。復依證券交易法第178條之1第1項第4款規定，證券商未確實執行內部控制制度者，處新臺幣30萬元以上600萬元以下罰鍰。。
二、本會檢查局於114年2月20日至3月11日對受處分人進行資通安全專案檢查，發現受處分人有下列缺失情事：
(一)辦理資訊治理作業，核有定期弱點掃描與滲透測試範圍不足，與應用程式介面(API)管理清冊者未落實盤點等缺失，分別未符本會證券期貨局111年10月4日證期（券）字第1110384152號函與本會112年8月24日金管檢地第1120606118號函規定。
(二)辦理網路設備及防火牆管理作業，有防火牆特殊權限帳號由個人持有使用未回收納管者，以及網路管理作業（包含分公司內部網路以專線與外部廠商直接連線取得報價資訊未建立妥適防護機制，與未建立定期檢視各分公司間於網路設備-核心交換器設定存取控制清單之機制）等缺失，分別未符中華民國證券商業同業公會（以下簡稱證券商公會）「資通系統安全防護基準自律規範」第3條第8款，以及證券商公會「網路安全防護自律規範」第3條第2款第5目之規定。
(三)辦理應用程式安全及變更管理，核有程式上線作業未執行源碼掃瞄並檢附第三方函式庫清單，且未辦理弱點掃描，以及由委外廠商開發之程式，係由維護營運處人員至委外廠商網站下載後辦理上線作業，未建立完整性驗證機制等缺失，分別未符臺灣證券交易所股份有限公司「建立證券商資通安全檢查機制」9（10）a、b之規定。
(四)辦理個人資料保護作業，對單一個人資料項目對外傳遞者，未留存軌跡紀錄，並評估建置事後監控機制，未符證券商公會「資通系統安全防護基準自律規範」第10條第4款規定。
三、上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定，爰依證券交易法第178條之1第1項第4款規定處分如主旨。
繳款方式：
一、繳款期限：自本處分送達之次日起10日內繳納。
二、請依（機關）檢附之繳款單注意事項辦理繳納。
注意事項：
一、受處分人如不服本處分，應於本處分送達之次日起30日內，依訴願法第58條第1項規定，繕具訴願書經由本會（新北市板橋區縣民大道二段7號18樓）向行政院提起訴願。惟依訴願法第93條第1項規定，除法律另有規定外，訴願之提起並不停止本處分之執行，受處分人仍應繳納罰鍰。
二、受處分人如逾本處分所定繳款期限不繳納罰鍰者，即依行政執行法第4條第1項但書規定，移送法務部行政執行署各分署辦理行政執行。
正本：群益金鼎證券股份有限公司（代表人周〇〇女士）
副本：略