1.目的

為確保國立臺灣海洋大學附屬基隆海事高級中等學校（以下簡稱本校）所屬之資通資產的機密性、完整性及可用性，並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅，並衡酌本校之業務需求，訂定本政策。

2.適用範圍

資訊安全管理涵蓋14項管理事項，避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，對本校帶來各種可能之風險及危害。管理事項如下：

資通安全政策(訂定與評估)。
資通安全組織。
人力資源安全。
資產管理。
存取控制。
密碼學(加密控制)。
實體與環境安全。
運作安全。
通訊安全。
資訊系統取得、開發及維護。
供應者關係。
資通安全事故管理。
營運持續管理之資通安全層面。
遵循性。

本校之內部人員、委外服務廠商與訪客皆應遵守本政策。

3.目標

為維護本校資訊資產之機密性、完整性與可用性，並保障使用者資料隱私之安全，期藉由本校全體同仁共同努力來達成下列目標：

保護本校核心系統業務活動資訊，避免未經授權的存取，確保其機密性。
保護本校核心系統業務活動資訊，避免未經授權的修改，確保其正確性與完整性。
建立資通業務永續運作計畫，確保本校核心系統業務活動之持續運作。
本校核心系統之業務活動執行須符合相關法令或法規之要求。

4.責任

本校應成立資通安全組織統籌資通安全事項推動。
管理階層應積極參與及支持資通安全管理制度，並透過適當的標準和程序以實施本政策。
所有人員和委外服務廠商均須依照相關安全管理程序以維護資通安全政策。
所有人員有責任報告資通安全事件和任何已鑑別出之弱點。
任何危及資通安全之行為，將視情節輕重追究其民事、刑事及行政責任或依本校之相關規定進行議處。

5.管理指標

為評量資通安全管理目標達成情形，本校特訂定資通安全管理指標如下：

5.1 定量化指標

5.1.1 因人為或作業疏失及未經授權的存取之資安事故，每年不得超過二件。

5.1.2 確保本校機房維運服務達全年上班時間95%(含)以上之可用性。

5.1.3 確保滿足各關鍵業務系統之服務可用率達全年上班時間之95%含)以上。

5.1.4 本校每人每年接受三小時以上之一般資通安全教育訓練比例達95%以上。

5.1.5 應適當保護本校資通資產之機密性與完整性，每年至少需進行資通資產盤點及風險評鑑作業乙次。

5.2 定性化指標

5.2.1 定期審查本校資通安全組織人員執掌，以確保資通安全工作之推展。

5.2.2 應符合主管機關之要求，依員工職務及責任提供適當之資通安全相關訓練。

5.2.3 應加強本校網管機房設施之環境安全，採取適當之保護及權限控管機制。

5.2.4 應加強存取控制，防止未經授權之不當存取，以確保本校資通資產受適當的保護。

5.2.5 確保資訊不會在傳遞過程中，或因無意間的行為透露給未經授權的第三者。

5.2.6 確保所有資通安全意外事故或可疑之安全弱點，都應依循適當之通報機制向上反應，並予以適當調查及處理。

6.審查

本政策應至少每年審查乙次，以反映政府法令、技術及業務等最新發展現況，以確保本校永續運作及提供學術網路服務之能力。

7.實施

資通安全政策配合管理審查會議進行資通安全政策審核。
本政策經「資通安全委員會」核定後實施。

資安宣導

WPS Office文書作業系統經教育部函詢數位發展部資通安全署後，應屬大陸廠牌資通訊產品，請勿於校內公務設備安裝使用。
敬請各單位協助加強資安防護作業：
1. 確認作業系統、防毒軟體，及應用程式（Adobe Flash Player與Java等）更新情況，並定期檢視系統/應用程式更新紀錄，避免駭客利用系統/應用程式安全性漏洞進行入侵行為。
2. 清查重要資料，並參考下列做法定期進行備份作業：
  1. 定期執行重要的資料備份。
  2. 備份資料應有適當的實體及環境保護。
  3. 應定期測試備份資料，以確保備份資料之可用性。
  4. 資料的保存時間與檔案永久保存的需求，應由資料擁有者研提。
  5. 重要機密的資料備份，應使用加密方式來保護。
3. 檢視網路硬碟與共用資料夾之使用者存取權限，避免非必要使用存取。
4. 若使用隨身碟傳輸資料，應先檢查隨身碟是否感染病毒或惡意程式。
5. 若出現異常連線警示或疑似遭受惡意程式感染時，建議立即切斷網路，避免災情擴大，並保留相關日誌以利調查事件發生原因。
6. 加強教育訓練，請使用者注意郵件來源的正確性，不要開啟不明來源信件的附檔或連結，以防被植入後門程式。
教職員個人電腦請安裝防毒軟體
教育體系遠距教學之資訊安全指引
資通安全教育訓練3小時課程認證書收件
學校使用資通系統或服務蒐集及使用個人資料注意事項
校內相關資安公告

資通安全事件通報及應變管理程序-.pdf

使用雲端資通服務(如Google表單等)蒐集個人資料時，可能因設定不當而增加個資外洩及資安風險，請使用資通系統或雲端資通服務蒐集教職員、學生及家長個人資料者，應注意資通系統或服務蒐集及使用個人資料之注意事項，以「最小化」為原則。
請全體同仁踴躍參加資安及個資相關教育訓練，加強資安及個資保護意識。
依個人資料保護法第11條第3項「個人資料蒐集之特定目的消失或期限屆滿時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。」，當事人之影片應於作業批改完成後立即刪除並下架，並確保離線備份皆已刪除。
依個人資料保護法第16條「公務機關對個人資料之利用，除第六條第一項所規定資料外，應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符。」，僅蒐集適當、相關且限於處理目的所必要之個人資料，處理及利用時，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。
依個人資料保護法第28條第1項「公務機關違反個人資料保護法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。」，應注意當事人影片或其他個人資料是否正當使用及留存，以避免違反個人資料保護法之規定。

相關資源：