一、資安政策聲明
LifeCOM 將資訊安全視為公司營運核心。我們依循 ISO/IEC 27001 國際標準與台灣個人資料保護法,建立完整的資訊安全管理制度,並以第三方認證與年度稽核持續驗證落實成效。
本司(立富康有限公司)已通過 AFNOR Certification(法國,COFRAC 認可)之 ISO/IEC 27001:2022 資訊安全管理系統認證(證書號 2022/102655.4),認證範圍涵蓋公司辦公環境、LifeERP、LifeMall、LifeLMS 及其管理系統之運行維護,有效期 2025-12-03 至 2028-12-02。
二、實體與環境安全
- 機房進出採用門禁卡 + 監視器全程記錄
- 關鍵設備雙電源、UPS、消防自動偵測
- 異地備份機制,確保災難恢復能力
三、雲端部署與系統架構
本司系統部署於 Google Cloud Platform(GCP),採 GKE 標準化容器叢集(asia-east1 台灣彰化,多可用區部署),以下為現行資安機制:
- 多租戶隔離:一租戶一 Namespace,每租戶套用 NetworkPolicy 進行 Ingress／Egress 白名單控管,租戶間資料庫與金鑰完全獨立
- 防 SSRF:以 NetworkPolicy 封鎖雲端 Metadata Server,防止 Workload Identity token 遭竊取
- 金鑰管理:採 GCP Secret Manager 集中管理資料庫密碼、應用金鑰與 JWT Secret,部署時經 CI/CD 流程安全注入,不落地於程式碼
- 身分授權:以 Workload Identity 綁定服務帳號,依最小權限原則取得機敏資源
- 中控管理:透過 Bastion 中控機管理,雲端防火牆僅允許指定來源進入指定連接埠
- 環境分離:測試與正式環境完全分開,獨立部署與金鑰
四、網路與傳輸安全
- 所有對外連線採用 TLS 加密傳輸,對外 Gateway 以 HTTPS/TLS 於 443 埠終結
- 密碼採 bcrypt 雜湊儲存,不存明文
- 定期弱點掃描與滲透測試
- 系統更新與安全修補制度化
- WAF 與 DDoS 防護機制
五、存取控制與個資保護
- 系統內建 JWT 認證,最小權限原則依職務分配存取權
- 關鍵系統強制 MFA 多因子驗證
- 離職員工存取權即時撤除
- 前端對電話、姓名等個人資料於介面層進行遮罩處理
六、資安治理與第三方稽核
- 本司系統每年接受國際級第三方資安廠商(如 PwC、Nettitude 等)之年度滲透測試與弱點掃描,並依報告於要求時限內完成修復與複測(retest),多年連續執行、有紀錄可稽
- 備有完整資安規範文件、GCP 架構規劃與 CI/CD 流程文件(monorepo → Cloud Build,分流 trigger、Secret Manager 注入)
- 可配合客戶指定之資安廠商進行獨立驗證,如發現風險項目即刻依既有稽核修復機制處理
七、資料備份與還原
關鍵客戶資料每日異地備份,並定期執行還原演練,確保災難發生時可在最短時間內恢復服務。
八、事件應變
建立資安事件應變小組與通報流程。發生資安事件時,將依嚴重程度啟動對應應變等級,並於 72 小時內通知受影響客戶。
九、AI 資料處理
當系統採用 AI 模型輔助時,本司秉持資料不外流原則,並就服務商、傳送資料範圍、是否用於模型訓練、記憶管理,以及防止不當指令觸發未授權操作等措施明確界定。涉及外部 AI 模型時,均先與客戶共同確認資料處理範圍與邊界;對安全性要求高之情境,可採用客戶自行提供之模型以確保資料不外流。
十、員工資安意識
所有員工定期接受資安教育訓練,並簽署保密協定。
最後更新:2026 年 9 月