大莊國小資通安全維護計畫，請依資通安全防護及控制措施辦理。

大莊國小資通安全維護計畫

壹、 資通安全防護及控制措施

本機關依據前章資通安全風險評估結果、自身資通安全責任等級之應辦事項及核心資通系統之防護基準，採行相關之防護及控制措施如下:

一、   資訊及資通系統之管理

(一)  資訊及資通系統之保管

1.     資訊及資通系統管理人應確保資訊及資通系統已盤點造冊並適切分級，並持續更新以確保其正確性。

2.     資訊及資通系統管理人應確保資訊及資通系統被妥善的保存或備份。

3.     資訊及資通系統管理人應確保重要之資訊及資通系統已採取適當之存取控制政策。

(二)  資訊及資通系統之使用

1.     本機關同仁使用資訊及資通系統前應經其管理人授權。

2.     本機關同仁使用資訊及資通系統時，應留意其資通安全要求事項，並負對應之責任。

3.     本機關同仁使用資訊及資通系統後，應依規定之程序歸還。資訊類資訊之歸還應確保相關資訊已正確移轉，並安全地自原設備上抺除。

4.     非本機關同仁使用本機關之資訊及資通系統，應確實遵守本機關之相關資通安全要求，且未經授權不得任意複製資訊。

5.     對於資訊及資通系統，宜識別並以文件記錄及實作可被接受使用之規則。

(三)  資訊及資通系統之刪除或汰除

1.     資訊及資通系統之刪除或汰除前應評估機關是否已無需使用該等資訊及資通系統，或該等資訊及資通系統是否已妥善移轉或備份。

2.     資訊及資通系統之刪除或汰除時宜加以清查，以確保所有機敏性資訊及具使用授權軟體已被移除或安全覆寫。

3.     具機敏性之資訊或具授權軟體之資通系統，宜採取實體銷毀，或以毀損、刪除或覆寫之技術，使原始資訊無法被讀取，並避免僅使用標準刪除或格式化功能。

二、   存取控制與加密機制管理

(一)  網路安全控管

1.     本機關之網路區域劃分如下：

(1)    外部網路：對外網路區域，連接外部廣網路（Wide Area Network, WAN）。

(2)    內部區域網路（Local Area Network, LAN）：機關內部單位人員及內部伺服器使用之網路區段。

2.     外部網路及內部區域網路間連線需經防火牆進行存取控制，非允許的服務與來源不能進入其他區域。

3.     應定期檢視防火牆政策是否適當，並適時進行防火牆軟、硬體之必要更新或升級。

4.     對於通過防火牆之來源端主機 IP 位址、目的端主機 IP 位址、來源通訊埠編號、目的地通訊埠編號、通訊協定、登入登出時間、存取時間以及採取的行動，均應予確實記錄。

5.     本機關內部網路之區域應做合理之區隔，使用者應經授權後在授權之範圍內存取網路資源。

6.     對網路系統管理人員或資通安全主管人員的操作，均應建立詳細的紀錄。並應定期檢視網路安全相關設備設定規則與其日誌紀錄，並檢討執行情形。

7.     使用者應依規定之方式存取網路服務，不得於辦公室內私裝電腦及網路通訊等相關設備。

8.     網域名稱系統（DNS）防護

(1)    一般伺服器應關閉 DNS 服務，防火牆政策亦應針對 DNS 進行控管，關閉不需要的 DNS 服務存取。

(2)    DNS 伺服器應經常性進行弱點漏洞管理與修補、落實存取管控機制。

(3)    DNS 伺服器應設定指向 GSN Cache DNS。

(4)    內部主機位置查詢應指向機關內部 DNS 伺服器。

9.     無線網路防護

(1)    機密資料原則不得透過無線網路及設備存取、處理或傳送。

(2)    無線設備應具備安全防護機制以降低阻斷式攻擊風險，且無線網路之安全防護機制應包含外來威脅及預防內部潛在干擾。

(3)    行動通訊或紅外線傳輸等無線設備原則不得攜入涉及或處理機密資料之區域。

(4)    用以儲存或傳輸資料且具無線傳輸功能之個人電子設備與工作站，應安裝防毒軟體，並定期更新病毒碼。

(二)  資通系統權限管理

1.     本機關之資通系統應設置通行碼管理，通行碼之要求需滿足：

(1)    通行碼長度 8 碼以上。

(2)    通行碼複雜度應包含英文及數字。

(3)    使用者應該對其個人所持有通行碼盡保密責任

2.     使用者使用資通系統前應經授權，並使用唯一之使用者 ID，除有特殊營運或作業必要經核准並紀錄外，不得共用 ID。

3.     使用者無繼續使用資通系統時，應立即停用或移除使用者 ID，資通系統管理者應定期清查使用者之權限。

(三)  特權帳號之存取管理

1.     資通系統之特權帳號請應經正式申請授權方能使用，特權帳號授權前應妥善審查其必要性，其授權及審查記錄應留存。

2.     資通系統之特權帳號不得共用。

3.     對於特權帳號，宜指派與該使用者日常公務使用之不同使用者ID。

4.     資通系統之特權帳號應妥善管理，並應留存特殊權限帳號之使用軌跡。

5.     資通系統之管理者每季應清查系統特權帳號並劃定特權帳號逾期之處理方式。

(四)  加密管理

1.     本機關之機密資訊於儲存或傳輸時應進行加密。

2.     本機關之加密保護措施應遵守下列規定：

(1)    應落實使用者更新加密裝置並備份金鑰。

(2)    應避免留存解密資訊。

(3)    一旦加密資訊具遭破解跡象，應立即更改之。

三、   作業與通訊安全管理

(一)  防範惡意軟體之控制措施

1.     本機關之主機及個人電腦應安裝防毒軟體，並時進行軟、硬體之必要更新或升級。

(1)    經任何形式之儲存媒體所取得之檔案，於使用前應先掃描有無惡意軟體。

(2)    電子郵件附件及下載檔案於使用前，宜於他處先掃描有無惡意軟體。

(3)    確實執行網頁惡意軟體掃描。

2.     使用者未經同意不得私自安裝應用軟體，管理者並應每半年定期針對管理之設備進行軟體清查。

3.     使用者不得私自使用已知或有嫌疑惡意之網站。

4.     設備管理者應定期進行作業系統及軟體更新，以避免惡意軟體利用系統或軟體漏洞進行攻擊。

(二)  遠距工作之安全措施

1.     本機關資通系統之操作及維護以現場操作為原則，避免使用遠距工作，如有緊急需求時，應申請並經資通安全推動小組同意後始可開通。

2.     資通安全推動小組應定期審查已授權之遠距工作需求是否適當。

3.     針對遠距工作之連線應採適當之防護措施（並包含伺服器端之集中過濾機制檢查使用者之授權），並且記錄其登入情形。

(1)    提供適當通訊設備，並指定遠端存取之方式。

(2)    提供虛擬桌面存取，以防止於私有設備上處理及儲存資訊。

(3)    進行遠距工作時之安全監視。

(4)    遠距工作終止時之存取權限撤銷，並應返還相關設備。

(三)  電子郵件安全管理

1.     本機關人員到職後應經申請方可使用電子郵件帳號，並應於人員離職後刪除電子郵件帳號之使用。

2.     電子郵件系統管理人應定期進行電子郵件帳號清查。

3.     電子郵件伺服器應設置防毒及過濾機制，並適時進行軟硬體之必要更新。

4.     使用者使用電子郵件時應提高警覺，並使用純文字模式瀏覽，避免讀取來歷不明之郵件或含有巨集檔案之郵件。

5.     原則不得電子郵件傳送機密性或敏感性之資料，如有業務需求者應依相關規定進行加密或其他之防護措施。

6.     使用者不得利用機關所提供電子郵件服務從事侵害他人權益或違法之行為。

7.     使用者應確保電子郵件傳送時之傳遞正確性。

8.     使用者使用電子郵件時，應注意電子簽章之要求事項。

9.     本機關應定期舉辦（或配合上級機關舉辦）電子郵件社交工程演練，並檢討執行情形。

(四)  確保實體與環境安全措施

1.     資料中心及電腦機房之門禁管理

(1)    資料中心及電腦機房應進行實體隔離。

(2)    機關人員或來訪人員應申請及授權後方可進入資料中心及電腦機房，資料中心及電腦機房管理者並應定期檢視授權人員之名單。

(3)    人員進入管制區應配載身分識別之標示，並隨時注意身分不明或可疑人員。

(4)    僅於必要時，得准許外部支援人員進入資料中心及電腦機房。

(5)    人員及設備進出資料中心及電腦機房應留存記錄。

2.     資料中心及電腦機房之環境控制

(1)    資料中心及電腦機房之空調、電力應建立備援措施。

(2)    資料中心及電腦機房之溫濕度管控範圍為：

(3)    資料中心及電腦機房應安裝之安全偵測及防護措施，包括熱度及煙霧偵測設備、火災警報設備、溫濕度監控設備、漏水偵測設備、入侵者偵測系統，以減少環境不安全引發之危險。

(4)    各項安全設備應定期執行檢查、維修，並應定時針對設備之管理者進行適當之安全設備使用訓練。

3.     辦公室區域之實體與環境安全措施

(1)    應考量採用辦公桌面的淨空政策，以減少文件及可移除式媒體等在辦公時間之外遭未被授權的人員取用、遺失或是被破壞的機會。

(2)    文件及可移除式媒體在不使用或不上班時，應存放在櫃子內。

(3)    機密性及敏感性資訊，不使用或下班時應該上鎖。

(4)    機密資訊或處理機密資訊之資通系統應避免存放或設置於公眾可接觸之場域。

(5)    顯示存放機密資訊或具處理機密資訊之資通系統地點之通訊錄及內部人員電話簿，不宜讓未經授權者輕易取得。

(6)    資訊或資通系統相關設備，未經管理人授權，不得被帶離辦公室。

(五)  資料備份

1.     重要資料及核心資通系統應進行資料備份，其備份之頻率應滿足復原時間點目標之要求，並執行異地存放。

2.     本機關應每年確認核心資通系統資料備份之有效性。且測試該等資料備份時，宜於專屬之測試系統上執行，而非直接於覆寫回原資通系統。

3.     敏感或機密性資訊之備份應加密保護。

(六)  媒體防護措施

1.     使用隨身碟或磁片等存放資料時，具機密性、敏感性之資料應與一般資料分開儲存，不得混用並妥善保管。

2.     資訊如以實體儲存媒體方式傳送，應留意實體儲存媒體之包裝，選擇適當人員進行傳送，並應保留傳送及簽收之記錄。

3.     為降低媒體劣化之風險，宜於所儲存資訊因相關原因而無法讀取前，將其傳送至其他媒體。

4.     對機密與敏感性資料之儲存媒體實施防護措施，包含機密與敏感之紙本或備份磁帶，應保存於上鎖之櫃子，且需由專人管理鑰匙。

(七)  電腦使用之安全管理

1.     電腦、業務系統或自然人憑證，若超過十五分鐘不使用時，應立即登出或啟動螢幕保護功能並取出自然人憑證。

2.     禁止私自安裝點對點檔案分享軟體及未經合法授權軟體。

3.     連網電腦應隨時配合更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。

4.     筆記型電腦及實體隔離電腦應定期以人工方式更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。

5.     下班時應關閉電腦及螢幕電源。

6.     如發現資安問題，應主動循機關之通報程序通報。

7.     支援資訊作業的相關設施如影印機、傳真機等，應安置在適當地點，以降低未經授權之人員進入管制區的風險，及減少敏感性資訊遭破解或洩漏之機會。

(八)  行動設備之安全管理

1.     機密資料不得由未經許可之行動設備存取、處理或傳送。

2.     機敏會議或場所不得攜帶未經許可之行動設備進入。

3.     員工一律禁用私人的可攜式設備及可攜式儲存媒體等設施，如公務上須使用則須提出申請經權責主管核准後方可使用。

4.     可攜式設備及可攜式儲存媒體僅限於公務使用，禁止使用於私人用途，使用時應僅防資訊外洩或中毒。

5.     使用者如需使用外來的可攜式資訊設備或可攜式儲存媒體，必須先進行掃毒，確認其不含病毒與惡意程式，掃毒後方可進行資料之上傳及寫入作業，以避免受到惡意程式的威脅。

6.     將機密資料存放於可攜式儲存媒體上時，得採取適當加密處理或設定密碼保護（如Word、Excel或壓縮軟體之密碼功能），避免可攜式儲存媒體遺失時造成資訊外洩。

7.     筆記型電腦應安裝防毒軟體，並定期檢查作業系統修正程式與更新病毒碼為最新版本。

8.     存有重要機密性資訊之可攜式資訊設備或儲存媒體攜出時，設備管理人員應負保護之責不得離身，且針對相關檔案資料須執行加密或先清除其機密資訊，以避免資料洩露，另作業完成後須徹底抹去媒體上相關資料。

9.     可攜式設備及儲存媒體遺失時應立即通報單位主管，並評估資料遺失是否具有機密性，依情節之重大程度決定是否向上呈報。

(九)  即時通訊軟體之安全管理

使用即時通訊軟體傳遞機關內部公務訊息，其內容不得涉及機密資料。但有業務需求者，應使用經專責機關鑑定相符機密等級保密機制或指定之軟、硬體，並依相關規定辦理。

四、   系統獲取、開發及維護

1.     本機關之資通系統應依「資通安全責任等級分級辦法」附表八之規定完成系統防護需求分級，依分級之結果，完成附表九中資通系統防護基準，並注意下列事項：

(1)    開發過程請依安全系統發展生命週期（Secure Software Development Life Cycle, SSDLC）納入資安要求，並參考行政院國家資通安全會報頒布之最新「安全軟體發展流程指引」、「安全軟體設計指引」及「安全軟體測試指引」。

(2)    於資通系統開發前，設計安全性要求，包含機敏資料存取、用戶登入資訊檢核及用戶輸入輸出之檢查過濾，並檢討執行情形。

(3)    於上線前執行安全性要求測試，包含機敏資料存取、用戶登入資訊檢核及用戶輸入輸出之檢查過濾測試，並檢討執行情形。

(4)    執行資通系統源碼安全措施，包含源碼存取控制與版本控管，並檢討執行情形。

五、   業務持續運作演練

本機關應針對核心資通系統制定業務持續運作計畫，並每二年辦理一次核心資通系統持續運作演練。

六、   執行資通安全健診

1.     本機關每二年應辦理資通安全健診，其至少應包含下列項目，並檢討執行情形：

(1)    網路架構檢視。

(2)    網路惡意活動檢視。

(3)    使用者端電腦惡意活動檢視。

(4)    伺服器主機惡意活動檢視。

(5)    安全設定檢視。

七、   資通安全防護設備

1.     本機關應建置防毒軟體、網路防火牆、電子郵件過濾裝置，持續使用並適時進行軟、硬體之必要更新或升級。

資安設備應定期備份日誌紀錄，定期檢視並由主管複核執行成果，並檢討執行情形。