Menu

教育部補助委辦採購維護伺服主機及應用系統網站資訊安全管理要點修正規定

第一章 總則

一、教育部(以下簡稱本部)為落實個人資料保護法、國家機密保護法、行政院及所屬各機關資訊安全管理要點及本部資訊安全管理規範等相關規定,特訂定本要點

   。

二、本部以補助或委辦方式,辦理採購、建置或維護之伺服主機及應用系統網站相關業務之機關(構)、學校及廠商(以下簡稱受補助或委辦單位),應以書面、電子傳輸或其他方式告知本要點研定義務,並規範其所屬員工及相關人員(包含分包或臨時人員),依本要點辦理。

三、本部資訊業務委辦時,應於事前審慎評估可能之潛在安全風險(如資料或使用者通行碼被破解、系統被破壞或資料損失等風險),並與受補助或委辦單位簽訂適當之資訊安全協定,課予相關之安全管理責任,並納入契約條款。

四、補助或委辦之應用系統(網站)其營運涉及個人資料蒐集、處理、利用等事項者,受補助或委辦單位視同補助或委辦單位,並依個人資料保護法相關法規辦理。

第二章 綜合管理

五、受補助或委辦單位應配合本部資訊安全規定,執行相關工作。

前項本部資訊安全規定,由本部依相關法規訂定之,並公告於本部網站首頁。

六、受補助或委辦單位,應填寫資訊安全保密合約書。相關人員執行委託業務前,應填寫保密承諾書。保密合約書及相關人員之保密承諾書應簽署一式兩份,由本部補助或委辦單位及受補助或委辦單位留存。

七、受補助或委辦單位應配合本部進行資訊安全事件處理、演練及緊急應變措施等相關安全工作事項。受補助或委辦單位與本部簽訂之契約條款中,應包含營運持續管理(BCM, Business Continuity Management)計畫,並要求服務水準協議(SLA, Service Level Agreement),並定義相關RTO(Recover Time Objective)、RPO(Recover Point Objective)。

八、資安事件發生時,受補助或委辦單位及業務承辦人應配合本部資安事件通報應變流程,協助於時限內完成事件排除。

前項之處理時限,依行政院「國家資通安全通報應變、作業要綱」及本部資訊安全管理規範規定之時限。

九、本部應用系統(網站)委外開發時,應通過安全性檢測(弱點掃描、滲透測試)並持續維護,降低遭受入侵、竄改或刪除之風險。

補助或委辦單位宜將安全性要求,或個人資料蒐集與利用之相關資料(資料類別

、目的及法規依據)納入專案契約,並規劃適當經費執行。

十、應用系統(網站)委外之承辦單位,應每年定期維護應用系統(網站)業務負責人、應用系統負責人及維護單位等相關通訊及聯絡資料,並告知資訊及科技教育司資訊安全業務承辦人。

十一、應用系統(網站)委外,其所申請之網域(domain)、網路位址(IP)之使用期間,以三年為限,期滿應用系統(網站)委外承辦單位應重新提出申請。

十二、下列資訊安全事項,應納入資訊業務委外之服務契約:

  • 涉及機密性、敏感性或關鍵性之應用系統項目。
  • 應經核准始得執行之事項。
  • 受補助或委辦單位如何配合執行本部營運持續運作(BCM,Business Continuity Management)計畫。
  • 受補助或委辦單位應遵守之資訊安全規範及標準,以及評鑑受補助或委辦單位遵守資訊安全標準之衡量及評估作業程序。
  • 受補助或委辦單位處理及通報資訊安全(包括違反個人資料保護法)事件之責任及作業程序。

十三、應用系統(網站)開發,應預作下線或停止服務等退場機制,及保留所有原始契約和源碼(SOURCE CODE),並於契約中詳述本部及受補助或委辦單位個別之權利與義務。

十四、本部應用系統(網站)業務補助或委辦單位應監督受補助或委辦單位,如未依本辦法落實應用系統(網站)資訊安全管理,致發生資安事件,依本部職員懲處要點相關規定議處。

第三章 作業系統管理

十五、伺服主機應安裝主機型防火牆,阻絕不使用之網路通訊埠,及定期檢視防火牆策略清單是否符合資安要求。

十六、所有伺服器應安裝防毒軟體,並隨時更新病毒碼及檢查運作是否正常。

十七、伺服主機應即時進行作業系統及相關軟體更新及修補,並定期或不定期進行主機弱點掃描。

十八、主機、系統維護時,應於加密管道進行(如SSH,SSL等),並限制維護來源IP。

十九、受補助或委辦單位及系統維護人員不得使用任何遠端遙控軟體進行系統管理、維護或更新。但有警急狀況必須使用時,應於防火牆與伺服主機內限定維護來源之IP,並設定時限。

二十、管理者不在場時,主控台(Console)應置於登出狀態,並設置密碼管理。

二十一、系統不得提供網路芳鄰功能,若單位建置完成系統、網路、主機等安控措施則不在此限。

二十二、主機系統每半年/不定期依人事組織進行實際使用權限之調整,變更使用者權限,協助本部業務負責人檢查各系統之使用者存取權限(利用應用系統存取權限清單)。

二十三、系統管理者應隨時注意及觀察分析系統之作業容量,以避免容量不足而導致主機當機或資料毀損。

二十四、系統管理者應進行電腦系統作業容量之需求預測,以確保足夠之電腦處理及儲存容量。

二十五、業務單位應特別注意系統之作業容量,預留預算及採購行政作業之前置時間

      ,以利進行前瞻性之規劃,並及時獲得必要之作業容量。

二十六、系統管理人員應隨時注意及觀察分析系統資源使用狀況,包含處理器、主儲存裝置、檔案儲存、印表機及其他輸出設備及通信系統之使用狀況。

二十七、管理人員應隨時注意前項設備之使用趨勢,尤應注意系統在業務處理及資訊管理上之應用情形。

二十八、系統管理者應隨時掌握及利用電腦及網路系統容量使用狀況之資訊,分析及找出可能危及系統安全之瓶頸,預作補救措施之規劃。

二十九、系統管理者應準備適當及足夠之備援設施,定期執行必要之資料與軟體備份及備援作業,以於災害發生或是儲存媒體失效時,得迅速回復正常作業。

三十、系統資料備份及備援作業,應符合機關業務永續運作之需求。

三十一、電腦作業人員應忠實記錄系統啟動及結束作業時間、系統錯誤及更正作業等事項,並依實際需求保留所有紀錄檔。

三十二、電腦作業人員之系統作業紀錄,應定期交由客觀之第三者查驗並律訂保留期限,以確認其是否符合機關規定之作業程序。

第四章 機密性及敏感性資料(包括個人資料)之管理

三十三、業務單位應建立機密性及敏感性資料(包括個人資料,以下同)之處理程序,防止洩漏或不法及不當之使用。

三十四、業務單位應研訂處理機密性及敏感性資料之輸入及輸出媒體之安全作業程序(如文件、磁帶、磁片、書面報告及空白支票、空白收據等項目)。

 三十五、機密性及敏感性資料之安全處理作業,應包括下列事項:

  1. 輸出及輸入資料之處理程序及標示。
  2. 依授權規定,建立收受機密性及敏感性資料之正式收文紀錄。
  3. 確保輸入資料之真確性。
  4. 儘可能要求收受者提出傳送之媒體已送達之收訖證明。
  5. 分發對象應以最低必要之人員為限。
  6. 為提醒使用者注意安全保密,就機密資料應明確標示機密屬性、機密等級及保密期限。
  7. 應定期評估機密性及敏感性資料之發文清單,及檢討評估內容。
  8. 應確保資訊系統內部資料與外部資料之一致性。

三十六、系統流程、作業流程、資料結構及授權程序等系統文件,業務單位應予適當保護,以防止不當利用。

三十七、業務單位應保護重要之資料檔案,以防止遺失、毀壞、被偽造或竄改。重要之資料檔案應依相關規定,以安全之方式保存。

三十八、儲存機密性及敏感性資料之電腦媒體,當不再繼續使用時,應以安全之方式處理(如燒毀或是以碎紙機處理,或將資料從媒體中完全清除)。

三十九、資訊業務委辦處理之電腦文具、設備、媒體蒐集及委外處理資料,應慎選有足夠安全管理能力及經驗之機構作為委辦對象。

四十、機關間進行資料或軟體交換,應訂定正式之協定,將機密性及敏感性資料之安全保護事項及有關人員之責任列入。

四十一、機關間資料及軟體交換之安全協定內容,應考量下列事項:

  1. 控制資料及軟體傳送、送達及收受之管理責任。
  2. 控制資料及軟體傳送、送達及收受之作業程序。
  3. 資料、軟體包裝及傳送之最基本之技術標準。
  4. 識別資料及確定軟體傳送者身分之標準。
  5. 資料遺失之責任及義務。
  6. 資料及軟體之所有權、資料保護之責任、軟體之智慧財產權規定等。
  7. 記錄及讀取資料及軟體之技術標準。
  8. 保護機密或敏感性資料之安全措施(如使用加密技術)。

第五章 應用系統(網站)管理

四十二、依本部資訊安全規定,網站及應用程式於上線前應定期完成弱點掃描並完成弱點修補,應用系統(網站)委外承辦單位並應於合約中明訂相關執行事宜及經費,以利承辦受補助或委辦單位執行。但未能預先規劃或現行已上線系統未規劃執行者,可由資訊及科技教育司執行,經費並由委外承辦單位自行吸收。

四十三、應用系統(網站)資安管理之執行作業,得參考下列規定:

(一)上線前:

  1. 應用系統應即時進行相關程式、服務軟體、資料庫系統等軟體弱點掃描,並針對所有弱點、漏洞更新修補。受補助或委辦單位應提供原始碼以供檢查。
  2. 應用程式所有輸入及輸出欄位應完成過濾及編碼(encode)排除特殊字元(如' "!$%^&*_|-><;等)或跳脫字元,以避免被進行跨網站(XSS)及資料庫注入攻擊(SQL-injection)。(相關防護可參考OWASP Encoding  Project)。
  3. 針對應用系統程式、資料及資料庫應進行定期備份及配合本部執行業務持續運作(BCM)演練。

(二)上線後:

  1. 應用系統應定期進行相關程式、服務軟體、資料庫系統等軟體弱點掃描並依掃描報告要求完成弱點、漏洞更新修補。受補助或委辦單位應提供原始碼以供檢查。
  2. 系統程式變更應依本部資安規範填具版本更新表,並保留所有版本原始碼於系統負責人處。
  3. 相關個人資料及機敏性資料提供填報或資料上載應提供加密機制(如SSH, SSL, SFTP等)。其因維護不當造成資料外洩者,依個人資料保護法負法律責任。
Go to top