第十點 金融 FIDO 平臺之系統維運人員管理應符合下列要求： 一、應建立人員之註冊、異動及撤銷註冊程序，用以配置適當之 存取權限，針對重要作業（如程式異動）應由另一位人員進 行審核與放行。 二、應至少每年定期審查帳號與權限之合理性，人員離職或調職 時應盡速移除權限，以符合職務分工與牽制原則。 三、硬體設備、應用軟體、系統軟體之最高權限帳號或具程式異 動、參數變更權限之帳號應列冊保管；最高權限帳號使用時 須先取得權責主管同意，並保留稽核軌跡。 四、應確認人員之身分與存取權限，辦理特定作業（如程式異動 ）必要時得限定其使用之機器與網路位置（IP）。 五、人員超過十分鐘未操作電腦時，應設定密碼啟動螢幕保護程 式或登出系統。 六、除代登系統外，於登入作業系統進行系統異動或資料庫存取 時，應留存人為操作紀錄（如檔案之新增／刪除／修改／複 製／貼上／下載／上傳、資料庫查詢、服務啟動／中止等動 作），並於使用後儘速變更密碼；但因故無法變更密碼者， 應建立監控機制，避免未授權變更，並於使用後覆核其操作 紀錄。此人為操作紀錄應於使用後由另一人員進行覆核。 七、帳號應採一人一號管理，避免多人共用同一個帳號為原則， 如有共用需求，申請與使用須有其他補強管控方式，並留存 操作紀錄且應能區分人員身分。 八、採用固定密碼者，應定期變更密碼：提供人員使用之帳號至 少三個月一次；提供系統連線之帳號，至少每三個月一次或 其他補強管控方式（如限制人工登入）。 九、加解密程式或具變更權限之公用程式（如資料庫存取程式） 應列冊管理並限制使用，該程式應設定存取權限，防止未授 權存取，並保留稽核軌跡。