101/12/25來函修正
教育部補助委辦採購維護伺服主機及應用系統網站資訊安全管理要點修正規定
第一章 總則
一、教育部(以下簡稱本部)為落實個人資料保護法、國家機密保護法、行政院及所屬各機關資訊安全管理要點及本部資訊安全管理規範等相關規定,特訂定本要點
。
二、本部以補助或委辦方式,辦理採購、建置或維護之伺服主機及應用系統網站相關業務之機關(構)、學校及廠商(以下簡稱受補助或委辦單位),應以書面、電子傳輸或其他方式告知本要點研定義務,並規範其所屬員工及相關人員(包含分包或臨時人員),依本要點辦理。
三、本部資訊業務委辦時,應於事前審慎評估可能之潛在安全風險(如資料或使用者通行碼被破解、系統被破壞或資料損失等風險),並與受補助或委辦單位簽訂適當之資訊安全協定,課予相關之安全管理責任,並納入契約條款。
四、補助或委辦之應用系統(網站)其營運涉及個人資料蒐集、處理、利用等事項者,受補助或委辦單位視同補助或委辦單位,並依個人資料保護法相關法規辦理。
第二章 綜合管理
五、受補助或委辦單位應配合本部資訊安全規定,執行相關工作。
前項本部資訊安全規定,由本部依相關法規訂定之,並公告於本部網站首頁。
六、受補助或委辦單位,應填寫資訊安全保密合約書。相關人員執行委託業務前,應填寫保密承諾書。保密合約書及相關人員之保密承諾書應簽署一式兩份,由本部補助或委辦單位及受補助或委辦單位留存。
七、受補助或委辦單位應配合本部進行資訊安全事件處理、演練及緊急應變措施等相關安全工作事項。受補助或委辦單位與本部簽訂之契約條款中,應包含營運持續管理(BCM, Business Continuity Management)計畫,並要求服務水準協議(SLA, Service Level Agreement),並定義相關RTO(Recover Time Objective)、RPO(Recover Point Objective)。
八、資安事件發生時,受補助或委辦單位及業務承辦人應配合本部資安事件通報應變流程,協助於時限內完成事件排除。
前項之處理時限,依行政院「國家資通安全通報應變、作業要綱」及本部資訊安全管理規範規定之時限。
九、本部應用系統(網站)委外開發時,應通過安全性檢測(弱點掃描、滲透測試)並持續維護,降低遭受入侵、竄改或刪除之風險。
補助或委辦單位宜將安全性要求,或個人資料蒐集與利用之相關資料(資料類別
、目的及法規依據)納入專案契約,並規劃適當經費執行。
十、應用系統(網站)委外之承辦單位,應每年定期維護應用系統(網站)業務負責人、應用系統負責人及維護單位等相關通訊及聯絡資料,並告知資訊及科技教育司資訊安全業務承辦人。
十一、應用系統(網站)委外,其所申請之網域(domain)、網路位址(IP)之使用期間,以三年為限,期滿應用系統(網站)委外承辦單位應重新提出申請。
十二、下列資訊安全事項,應納入資訊業務委外之服務契約:
十三、應用系統(網站)開發,應預作下線或停止服務等退場機制,及保留所有原始契約和源碼(SOURCE CODE),並於契約中詳述本部及受補助或委辦單位個別之權利與義務。
十四、本部應用系統(網站)業務補助或委辦單位應監督受補助或委辦單位,如未依本辦法落實應用系統(網站)資訊安全管理,致發生資安事件,依本部職員懲處要點相關規定議處。
第三章 作業系統管理
十五、伺服主機應安裝主機型防火牆,阻絕不使用之網路通訊埠,及定期檢視防火牆策略清單是否符合資安要求。
十六、所有伺服器應安裝防毒軟體,並隨時更新病毒碼及檢查運作是否正常。
十七、伺服主機應即時進行作業系統及相關軟體更新及修補,並定期或不定期進行主機弱點掃描。
十八、主機、系統維護時,應於加密管道進行(如SSH,SSL等),並限制維護來源IP。
十九、受補助或委辦單位及系統維護人員不得使用任何遠端遙控軟體進行系統管理、維護或更新。但有警急狀況必須使用時,應於防火牆與伺服主機內限定維護來源之IP,並設定時限。
二十、管理者不在場時,主控台(Console)應置於登出狀態,並設置密碼管理。
二十一、系統不得提供網路芳鄰功能,若單位建置完成系統、網路、主機等安控措施則不在此限。
二十二、主機系統每半年/不定期依人事組織進行實際使用權限之調整,變更使用者權限,協助本部業務負責人檢查各系統之使用者存取權限(利用應用系統存取權限清單)。
二十三、系統管理者應隨時注意及觀察分析系統之作業容量,以避免容量不足而導致主機當機或資料毀損。
二十四、系統管理者應進行電腦系統作業容量之需求預測,以確保足夠之電腦處理及儲存容量。
二十五、業務單位應特別注意系統之作業容量,預留預算及採購行政作業之前置時間
,以利進行前瞻性之規劃,並及時獲得必要之作業容量。
二十六、系統管理人員應隨時注意及觀察分析系統資源使用狀況,包含處理器、主儲存裝置、檔案儲存、印表機及其他輸出設備及通信系統之使用狀況。
二十七、管理人員應隨時注意前項設備之使用趨勢,尤應注意系統在業務處理及資訊管理上之應用情形。
二十八、系統管理者應隨時掌握及利用電腦及網路系統容量使用狀況之資訊,分析及找出可能危及系統安全之瓶頸,預作補救措施之規劃。
二十九、系統管理者應準備適當及足夠之備援設施,定期執行必要之資料與軟體備份及備援作業,以於災害發生或是儲存媒體失效時,得迅速回復正常作業。
三十、系統資料備份及備援作業,應符合機關業務永續運作之需求。
三十一、電腦作業人員應忠實記錄系統啟動及結束作業時間、系統錯誤及更正作業等事項,並依實際需求保留所有紀錄檔。
三十二、電腦作業人員之系統作業紀錄,應定期交由客觀之第三者查驗並律訂保留期限,以確認其是否符合機關規定之作業程序。
第四章 機密性及敏感性資料(包括個人資料)之管理
三十三、業務單位應建立機密性及敏感性資料(包括個人資料,以下同)之處理程序,防止洩漏或不法及不當之使用。
三十四、業務單位應研訂處理機密性及敏感性資料之輸入及輸出媒體之安全作業程序(如文件、磁帶、磁片、書面報告及空白支票、空白收據等項目)。
三十五、機密性及敏感性資料之安全處理作業,應包括下列事項:
三十六、系統流程、作業流程、資料結構及授權程序等系統文件,業務單位應予適當保護,以防止不當利用。
三十七、業務單位應保護重要之資料檔案,以防止遺失、毀壞、被偽造或竄改。重要之資料檔案應依相關規定,以安全之方式保存。
三十八、儲存機密性及敏感性資料之電腦媒體,當不再繼續使用時,應以安全之方式處理(如燒毀或是以碎紙機處理,或將資料從媒體中完全清除)。
三十九、資訊業務委辦處理之電腦文具、設備、媒體蒐集及委外處理資料,應慎選有足夠安全管理能力及經驗之機構作為委辦對象。
四十、機關間進行資料或軟體交換,應訂定正式之協定,將機密性及敏感性資料之安全保護事項及有關人員之責任列入。
四十一、機關間資料及軟體交換之安全協定內容,應考量下列事項:
第五章 應用系統(網站)管理
四十二、依本部資訊安全規定,網站及應用程式於上線前應定期完成弱點掃描並完成弱點修補,應用系統(網站)委外承辦單位並應於合約中明訂相關執行事宜及經費,以利承辦受補助或委辦單位執行。但未能預先規劃或現行已上線系統未規劃執行者,可由資訊及科技教育司執行,經費並由委外承辦單位自行吸收。
四十三、應用系統(網站)資安管理之執行作業,得參考下列規定:
保 密 合 約 書
立 約 人: <以下簡稱甲方>
<以下簡稱乙方>
茲甲方因 事宜,將交付相關機密資訊,爰訂立本契約,條款如下:
第一條:機密資訊
本合約所指之「機密資訊」,乃指甲方基於前開使用目的,直接或間接以口頭或書面告知予乙方之文件(包括但不限於:電子郵件、傳真、郵件等)、資料、物件、技術秘訣Know How、儲存系統暨拓樸圖、相關解決方案暨架構、系統安全管理政策或其他與甲方營業秘密相關或本質上屬於機密之資料文件。
第二條:保密義務
第三條:本契約到期或終止時,乙方應將所有「機密資訊」和其根據本約所製造之產品及其複製品返還予甲方。乙方同意於本契約到期或終止後,絕不使用該「機密資訊」,且使經由乙方而獲得「機密資訊」之受僱人、外包廠商(附件一)等,絕不再使用該「機密資訊」。
第四條:契約期限及終止
第五條:罰則
乙方如違反本保密承諾書之約定,甲方得就因此所生之實際損害數額,請求乙方賠償。甲方因此支出相關法律顧問、律師公費及訴訟、執行費用,由乙方全額負擔。乙方另應給付甲方新臺幣○○萬元作為懲罰性違約金,並保留法律追訴權,乙方不得異議。
第六條:準據法與管轄法院
本契約之解釋、效力、履行及其他未盡事宜,悉依中華民國法律為準。當事人間因本契約或違反本契約所致之任何糾紛或爭議,雙方同意以臺灣臺北地方法院為第一審管轄法院。
第七條:完整契約
甲乙雙方就本契約工作所做成之書面,如訂單、採購單等,為本契約之附件,並視為本契約之一部份。本契約之權利義務之免除、限制、轉讓、增刪、修正或修改,應由雙方合法授權之代表人以書面簽署之文件為之。
本契約壹式兩份,由甲乙雙方簽署後生效,雙方各執一份為憑。
立約人
甲 方:
代表人:
代理人:
地 址:
乙 方:
代表人:
代理人: (無則免填)
地 址:
中華民國 ╴╴年╴╴月╴╴日
附件一
參與本契約相關工作之乙方員工及其他相關人員如下:
一、姓 名:
職 稱:
工作簡介:
二、姓 名:
職 稱:
工作簡介:
三、姓 名:
職 稱:
工作簡介:
附件二 機密等級:機密
保 密 承 諾 書
緣╴╴ (以下簡稱乙方)與╴╴於民國╴╴ 年╴╴ 月╴╴日簽訂保密合約書(以下簡稱主合約)。茲因乙方指定本人參與主合約書內所委任之 工作,本人特此同意並承認前述主合約書內所訂之「機密資訊」係貴單位之機密資料,而該資料僅係為完成委任工作之目的而透露予本人。
本人並同意遵守且履行乙方在主合約書中有關本資料保密之責任與義務且本人及執行任務人員同意遵守下列各項保密約定:(閱讀完畢請勾選)
此致
立切結書人:╴╴
姓 名: ╴╴
職 稱: ╴╴
住 址: ╴╴
身分證字號:╴╴