3. 依據民國 110 年 12 月發布的《公開發行公司建立內部控制 制度處理準則》第九條之一第二項規定，以及金融監督管理 委員會 110 年 12 月 28 日金管證審字第 11003656544 號函 釋，上市（櫃）公司實收資本額達新台幣 100 億元以上時， 應於民國 111 年 12 月 31 日前，完成哪些資訊安全單位及人 員的設置？ 1.資訊安全長；2.資安專責單位；3.資安專責人 4.資安專責人員(至少 2 名)；5.資安專責單位 主管
(A) 1、3、5
(B) 1、4、5
(C) 1、2、4、5
(D) 1、2、3、5

這題的正確答案是 (C) 1、2、4、5。

這題考的是金管會針對上市（櫃）公司資安人力設置的「分級要求」。針對實收資本額達 100 億元以上（以及台灣 50 指數成分股）的「第一級公司」，規定非常嚴格且具體。

詳細解析：為何選擇 (C)？

根據金管會 110 年發布的準則與函釋，第一級公司必須於 111 年底前完成下列配置：

1. 1. 資訊安全長 (CISO)： 必須指派一名高階主管擔任，負責綜理資安政策。

2. 2. 資安專責單位： 必須設置一個「獨立」的專責單位，不能只是由 IT 部門兼任。

3. 5. 資安專責單位主管： 該單位必須有一名專門的主管。

4. 4. 資安專責人員 (至少 2 名)： 為了確保技術能量與職務互補，明確規定專責人員不得少於 2 人。

為什麼不選 (3)？ 選項 (3) 的「資安專責人（人員）」通常指 1 名。對於資本額未達 100 億元的「第二級」或「第三級」公司，才可能只要求設置 1 名專責主管與 1 名專責人員。但本題明確指出是 100 億元以上 的公司，因此必須符合「單位」且「人員至少 2 名」的最高門檻。