中央研究院 Logo

• 電腦機房：包含資訊機房、通訊機房、監控室、媒體儲存區及附屬機電室。
• 電腦系統：包含本院網路設備、群組計算設備、伺服主機、資料儲存設備、附設或嵌入於儀器之電腦設備、物聯網設備等，及其作業系統與應用系統。
• 敏感性電子資料：係指除公務機密外，涉及單位或個人之權益或隱私，依規定應限制公開或不予提供者。
• 重大弱點：具可被利用入侵系統，致造成服務中斷或機密資料洩漏風險之弱點。

• 依相關法規負保守公務機密之義務。
• 職務為可接觸機密性或敏感性資料者，應於任務指派前閱讀相關保密條款，並簽名以示認知該職務之資通安全規定。
• 重要應用系統之發展、維護、管理及操作之人員，應妥適分工，分散權責，並視需要建立管控機制，實施人員輪調，建立人力備援制度。
• 各級主管應督導所屬人員妥為辦理資通作業，以確保資通安全，防範不法及不當行為。
• 資通作業人員於離職或職務調動時應辦理資通資產交接或歸還，並應立即辦理權限異動或帳號移除。

• 本點所稱委外作業，係指委託廠商辦理資通系統之建置、維運或資通服務之提供（以下簡稱受託業務）；委託單位即指委託廠商辦理上揭受託業務之單位。
• 委託單位應依據資安法及資通安全管理法施行細則等規定，監督受託業務之資通安全維護情形。
• 委外契約或建議書徵求說明書應載明下列事項：
  
  • 廠商應遵循之資通安全、保密條款及作業相關之法規要求。
  • 各項資通安全控管要求，以明確告知委外廠商應遵循事項。
  • 相關資通資產之機密性、完整性、可用性及法規性要求。
  • 廠商應就辦理上揭受託業務之相關程序及環境之資通安全管理措施配合委託單位進行自評作業，自評結果送本院委託單位備查，本院得保留對委外廠商進行資通安全稽核之權利。
• 本院應於簽約後，提供委外廠商資通安全相關作業方式及規定。
• 委外廠商及其相關人員於契約期間出入本院辦公場所時，須佩戴識別證，以供人員安全控管及掌握。
• 委外廠商及其相關人員於非上班時間加班作業時，應事先取得相關單位同意，以利管控人員出入。
• 委外廠商駐點服務人員、實際參與履行契約人員及經常至本院各單位資訊部門洽公之業務人員，均應簽署保密切結書。
• 廠商維護資通系統，應以到場為原則，但遇下列情形者，可例外允許遠端維護，惟應加強防護及管理措施：
  
  • 因疫情、地理限制、處理時效及專案特性（如：屬7*24小時提供服務者）、天災或事變等不可抗力因素者。
  • 屬特殊狀況經核准者。

• 考量安全與最大之電力容量、空調散熱能力及地板承重。
• 室內建材須耐燃且符合國家標準。
• 供電設備如變壓器、不斷電系統、電池組等須有安全保護措施。
• 裝設無腐蝕性自動滅火設備。
• 裝設環境監測或監控設備。

另考量實際可行性，宜參考以下原則辦理：

• 機電室與機房其他部分間保留安全距離，並各自具獨立之空氣及水循環系統。
• 裝設監控空調水位、主電源斷電等之警示設備。
• 考慮不同冷却方式之備援空調設備。

• 人員進出機房均須登記，非機房管理人員未經許可不得進入機房。
• 廠商維護人員進入機房，應由機房管理人員全程陪同。
• 不得攜帶非工作所需物品進入機房。
• 機房設備送修或修妥送回，均須登記。

• 機房定期執行清潔作業。
• 機房設施定期保養，定期辦理安全防護演練。
• 機房內廢棄物儘速移除。

• 機房門禁及進出管制。
• 機房重要設備與設施之監控，異常狀況之通報、聯繫及因應。
• 機房內、外電腦相關設備與設施之巡察。
• 機房實體環境安全之維護。
• 其他交辦之機房管理事項。

• 定期監控系統或設備，確保正常運作。
• 系統或設備發生異常狀況時，應即到場、透過安全連線或通訊指導值班人員等方式予以處理；必要時通知維護廠商依約處理。
• 異常狀況及其處理情形應即登載於機房工作日誌。
• 其他交辦之系統或設備管理事項。

• 作業系統應僅安裝系統運作所需之套件，各套件應僅啟用所需之服務，如須使用遠端登入、網路芳鄰等服務，應加強資安防護及管理措施。
• 作業系統修補，如需連接網路以安裝系統修正檔時應先評估其風險。
• 作業系統安裝完成後，應即完整備份。

• 不得於系統正式作業環境進行測試，測試電腦之網段應與正式作業網段適度區隔。
• 如委由廠商進行測試，應嚴格規定其範圍、權限及程序；並責成廠商提供測試報告，必要時要求廠商先行提交測試計畫。

• 異動前應先評估所需資源，包括軟硬體容量、效能、人員、時程及廠商支援等。
• 應評估對相關電腦系統、應用程式之相容性及對整體資通作業環境之影響，確保異動之內容符合需求，需要時得要求相關系統管理人員協助評估。
• 組態設定檔於變更前及變更後，均應匯出備份，並至少維持最近三個版本。
• 異動過程中應詳細記錄所遭遇之問題及解決方法。
• 異動前應進行備份及回復準備，避免無法復原造成電腦系統不可預期之損害。

• 接獲政府機關資安弱點通報或外部情資公告之弱點，應就受影響之電腦系統，安排期程落實修補。
• 資安健診、滲透測試、弱點掃描發現之前二高等級弱點應儘速修補並列冊追踪；其餘等級之弱點，經風險評估後認定風險為可接受者，得免予修補。
• 修補期限如下：
  
  • 各級行政單位官方網站、涉及不公開之研究內容或機敏資訊之網站，以及使用動態網頁技術之網站，於一週內完成修補作業或採取替代防護措施並保存相關紀錄備查。
  • 非屬前點所列之網站、路由器、網路交換器、獨立功能之防火牆、獨立功能之虛擬私人網路、獨立功能之入侵防禦/偵測系統、獨立功能之網站應用程式防火牆、無線網路控制器及存取點等設備，於二週內完成修補作業或採取替代防護措施並保存相關紀錄備查。
  • 其餘電腦系統於一個月內完成修補作業或採取替代防護措施並保存相關紀錄備查。
  • 自行或委外開發之應用程式弱點，因需確認弱點修補方式，得延長修補期限二週。
• 前述前二高等級弱點因未修補而下架，嗣後因未通過弱點掃描逕行上架而發生資安事件情節重大者，本院將建請單位予以警告或懲處。

• 訂定安全運作環境，並嚴謹管理與設定，只釋出必要之最小存取權限。
• 訂定網路接取安全措施。
• 建立有效防止人為疏失、杜絕惡意入侵之安全控管機制。
• 具備完整伺服器端安全控管。
• 檢測安全弱點及漏洞，包括自行檢測及非發展者之檢測。
• 規範及限制廠商可存取之系統與資料範圍。

• 管理者與使用者之權責。
• 使用者身分認證方法。
• 對系統及資料之存取控制。
• 所有資料項之屬性。
• 機密性及敏感性資料保護機制。
• 資料備份及系統故障後回復作業需求。
• 重要作業之系統紀錄。
• 其他需考量之資通安全控制措施。

前項安全需求應儘量轉化為系統功能，自動執行，其餘部分由人工控管，並訂定人工安全控管規範。

• 參與測試者對資料負保護及保密之責，非因測試需要，不得閱讀內容。
• 適用實際作業之存取控制措施，亦適用於測試作業。
• 測試完畢後，真實資料立即刪除。

• 不得於系統正式作業環境進行測試。
• 如委由廠商進行測試，應嚴格規定其範圍、權限及程序；並責成廠商提供測試報告，必要時要求廠商先行提交測試計畫。

• 應提供符合至少 TLS 1.2 安全規定之加密連線方式。
• 應用系統設定檔、紀錄檔及備份檔禁止存放於公開網頁目錄中。
• 敏感性資料應以加密傳輸，進行加密連線或數位簽章時，不得使用已遭破解或具有高度風險之演算法。

• 帳號新增及異動須經申請，並經權責人員核可後，交由系統管理單位辦理，並保留紀錄。
• 帳號、通行碼之通知過程應有保護措施，防止被窺視竊取。
• 單一使用者於單一系統上僅能申請及持有單一個人帳號，因業務或特殊原因需使用兩個以上帳號，應提出申請。
• 帳號持有人個人資料如有變更時，應依規定更新；人員職務異動、留職停薪或離職時應依規定辦理帳號移交或註銷，未依規定辦理者，系統管理人員得逕行停止該帳號之使用。
• 不得共用帳號，以區分安全責任；但職務帳號得與職務代理人共同管理。

• 尊重他人隱私與使用權。
• 不得擅自使用他人帳號或修改他人檔案、資料或通行碼，亦不得置放或散布侵擾其他使用者之程式。
• 不得侵入未經授權使用之電腦系統。
• 不得傳送或散布具恐嚇性、暴力性或猥褻性之資料，或謾罵、侮辱他人等不當言論。
• 不得散布病毒、蠕蟲、木馬、後門等有害程式。
• 遵守智慧財產權有關規定，不得重製或散布侵害他人著作權之檔案。
• 不得寄送垃圾或廣告郵件。
• 不得有其他重大違規行為。

帳號持有人如有違反前項使用原則情事，系統管理人員視情節得為通知改善、縮減使用權限、停止使用或其他必要之處置。

• 宜設定可開放連線之時間或連線逾時自動登出之機制。
• 除帳號、通行碼外，應依業務需求考量是否採用其他適切之身分鑑別技術。
• 登入作業完成後，宜顯示前一次登入成功或失敗之時間或相關訊息。
• 限制連續登入失敗次數之上限，登入失敗次數達上限者，應暫停該帳號一定時間之登入，或鎖定該帳號直到系統管理人員重新啟動。
• 必要時限定使用者之 IP 位址。

• 使用者權限之申請，應由權責單位依使用者執行職務之需求，以工作所需最小權限之原則核可後，交由系統管理人員執行相關設定。
• 未經核可之申請，系統管理人員不得進行授權作業設定。
• 系統管理人員進行遠端維護時，應限制其經由本院核可之遠端連線來源。

• 系統管理人員及具備特殊權限帳號者之登入成功及失敗事件。
• 使用者帳號異動及對通行碼檔案之讀取與變更。
• 程式原始碼及執行碼之變更。
• 直接進入資料庫管理系統變更資料。
• 系統設定檔之存取及變更。

• 定期辦理帳號清查，若發現帳號不當使用或持有人不再符合申請資格，系統管理人員得停止或註銷該帳號。
• 監控有無違反系統存取規定之安全事件，並定期檢視紀錄，分析其異常狀況。
• 存取紀錄檔須另行查核。
• 已註銷帳號之所屬檔案，得保存一定期限，原帳號持有人得於保存期限內申請重製。但儲存重製檔案之媒體應由申請者自備。

• 應辦理安全維護事項，防止個人資料遭竊取、竄改、毀損、滅失或洩漏。
• 為維護網路安全及效能，應區隔及調節網路流量。
• 配合本院處理網路事宜，提供相關資訊。
• 自建網域名稱系統 ( Domain Name System, DNS ) 之所中心，須將資訊服務處所通知惡意中繼站之網域名稱設定為黑名單。
• 本院資訊設備僅限使用本院認可之 DNS 服務。

• 物聯網設備應設定網路存取控制，並採實體或虛擬網路隔離或以其他網路技術區劃獨立區域。
• 若物聯網設備須與其他區域之設備進行連線，應以防火牆進行區隔。若該物聯網設備涉及敏感資料或生物特徵時，應加強管制。
• 物聯網設備應關閉不必要的通訊服務，只提供該設備最少必要服務功能。

• 盜用、冒用他人帳號或無故將個人帳號借予他人使用。
• 散布電腦病毒、傳送廣告信或無用訊息或其他違反法令之行為。
• 以任何方式偷窺、竊取、更改或破壞他人資訊。
• 傳送或散布恐嚇、猥褻或違背善良風俗習慣之資料，或謾罵、侮辱他人等不當言論。
• 濫用網路資源，影響系統正常運作或危害網路穩定之行為。

• 使用未經授權之電腦程式。
• 下載或重製未經授權之著作。
• 未經著作權人之同意，重製或散布其著作於公開之網站上。
• 任意轉載作者明示禁止轉載之網路文章。
• 架設網站供公眾下載未經授權之著作。
• 其他可能涉及侵害智慧財產權之行為。

• 年度內第一次違規使用網路，情形輕微者通知改善，未於一週內改善者得限制其對外連線。
• 年度內第二次(含以上)違規使用網路，情形輕微者限制對外連線，未於一週內改善者得停止其網路使用權限。
• 違規使用網路情形嚴重者，立即停止網路使用權限。
• 網路使用權限已被限制或停止者，得視其改善情形恢復網路使用。

惟依本點進行處置前，應予使用者說明之機會。

使用者違規使用網路，其行為違法時，行為人應依民法、刑法、著作權法或其他相關法令自負法律責任。

• 供研究或行政使用之資料庫、資料檔或文件檔。
• 電腦系統中帳號之個人資料、存取與服務紀錄。

• 行政用電子資料之相關業務掌理單位。
• 研究用電子資料之持有單位。
• 受託管理電子資料相關資通系統之單位。

各單位應就所經管之電子資料，訂定使用條件及存取權限。

• 本院資通安全事件分級確認。
• 依相關規定通報本院資通安全事件。
• 規劃資通安全事件處理程序，包括調查事件原因、確認其影響範圍並評估損失及執行緊急應變措施。
• 協助各單位處理資通安全事件。
• 資安事件通報及應變事項之定期演練。
• 本院資通安全長交辦事項。

各單位資安小組負責下列資通安全事件通報與處理事項：

• 單位內資通安全事件初步分級。
• 單位資安事件依本院管道通報總窗口。
• 規劃單位內資通安全事件處理程序，包括調查事件原因、確認其影響範圍並評估損失及執行緊急應變措施。
• 資安事件通報及應變事項之定期演練。

• 各單位知悉資通安全事件時，單位資安小組應依資安法相關規定予以初步分級，並立即將事件通報總窗口。
• 總窗口接獲資通安全事件通報後，應彙整相關事件並依相關規定確認分級及進行資安事件通報，同時依本院管道通報受影響單位及機關。

• 事件發生前之防護措施規劃
  各單位應評估本院資通安全事件預防需求，建置並維護適當設備及相關技術，以加強防範發生資通安全事件之能力。
• 損害控制機制
  
  • 資通安全事件發現並通報後，單位資安小組應依資安法及其子法規定時程復原或完成損害控制。單位資安小組可參考各類資通安全事件處理程序，尋求方案自行處理資通安全事件，或會同資訊服務處或資安處理小組處理。
  • 已證實受駭之系統，應立即斷網（或採效果等同斷網之控制措施）並採取積極性損害控管措施，以免災情擴大。
  • 遇有三級以上資通安全事件時，應即啟動本院資通安全事件處理小組（以下簡稱本院資安處理小組），進行危機處理與緊急應變措施。資安處理小組由資訊服務處處長擔任召集人，其成員由召集人指定之。
  • 資通安全事件之原因、影響範圍、損失情況、分類、分級及應變措施等應詳加記錄，作為改善資通安全缺失、因應未來類似事件及修訂各類資通安全事件處理程序之參考。
• 重覆發生相同資安事件之狀況，應通知受駭單位之資安長、所長/主任，並副知該學組的副院長及本院資安長(秘書長)知悉。

• 實施對象。
• 實施時程。
• 實施範圍。
• 人員配置。
• 相關規範、要點或程序。

• 資安內稽小組應撰寫資通安全稽核報告，並送各受稽核對象確認。
• 各受稽核對象應就資通安全稽核報告中所列缺失事項提具矯正措施或改善計畫；資安內稽小組應確認矯正措施之執行結果，並評估改善計畫之預期效果。
• 資安內稽小組應彙整資通安全稽核計畫書、資通安全稽核報告、受稽核對象之矯正措施及改善計畫的總結報告，向資通安全長彙報。