育達科大 資訊服務

資訊安全政策

壹、目的

貳、適用範圍

• • 本政策適用範圍為本處網路與機房（含主機房與第二機房）以及教務與學務行政系統之相關人員、委外服務廠商與訪客等。
  • 資訊安全管理範疇涵蓋14項領域，避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，對本處網路與機房（含主機房與第二機房）以及教務與學務行政系統造成各種可能之風險及危害，各領域分述如下：
    1. 資訊安全政策訂定與評估。
    2. 資訊安全組織。
    3. 人力資源安全。
    4. 資產管理。
    5. 存取控制。
    6. 密碼學(加密控制)。
    7. 實體與環境安全。
    8. 運作安全。
    9. 通訊安全。
    10. 系統取得，開發及維護。
    11. 供應者關係。
    12. 資訊安全事故管理。
    13. 營運持續管理之資訊安全層面
    14. 遵循性

叁、目標

• • 保護本處網路與機房（含主機房與第二機房）以及教務與學務行政系統業務服務之安全，確保資訊需經權責單位授權才可存取，以確保其機密性。
  • 保護本處網路與機房（含主機房與第二機房）以及教務與學務行政系統業務服務之安全，避免未經授權的修改，以確保其正確性與完整性。
  • 建立本處網路與機房（含主機房與第二機房）以及教務與學務行政系統業務永續運作計畫，以確保本處業務服務之持續運作。
  • 確保本處網路與機房（含主機房與第二機房）以及教務與學務行政系統各項業務服務之執行須符合相關法令或法規之要求。

肆、責任

• • 本處應成立資訊安全組織統籌資訊安全事項推動。
  • 管理階層應積極參與及支持資訊安全管理制度，並透過適當的標準和程序以實施本政策。
  • 本處網路與機房（含主機房與第二機房）以及教務與學務行政系統之相關人員、委外服務廠商與訪客等皆應遵守本政策。
  • 本處網路與機房（含主機房與第二機房）以及教務與學務行政系統之相關人員及委外服務廠商均有責任透過適當通報機制，通報資訊安全事件或弱點。
  • 任何危及資訊安全之行為，將視情節輕重追究其民事、刑事及行政責任或依本校之相關規定進行議處。

伍、管理指標

• • 定量化指標
    1. 確保本處網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊服務可用性之要求如下：
       • 資訊網路與機房維運服務達全年上班時間97%以上。
       • 教務與學務行政系統服務達全年上班時間98%以上。
    2. 確保因資通安全事件、異常事件、其他安全事故所造成系統、主機異常而中斷營運服務之情事，每年不得超過次數如下：
       • 資訊網路與機房維運服務中斷，每季不得超過3次。
       • 教務與學務行政系統服務中斷，每季不得超過2次。
    3. 確保因資通安全事件、異常事件、其他安全事故所造成系統、主機異常而中斷營運服務之情事，每次最長不得超過工作小時要求如下：
       • 資訊網路與機房維運服務中斷，每次最長不得超過8工作小時。
       • 教務與學務行政系統服務中斷，每次最長不得超過4工作小時。
    4. 應適當保護本處網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊資產之機密性與完整性，每年至少需進行乙次風險評鑑及風險管理。
    5. 為確保本處網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊安全措施或規範符合現行法令、法規之要求，每年至少需稽核乙次。
    6. 維護及演練業務永續運作計畫每年至少需進行乙次，以確保本處網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊業務服務得以持續運作。
  • 定性化指標
    1. 應定期審查本處資訊安全組織人員執掌，以確保資訊安全工作之推展。
    2. 應符合主管機關之要求，依員工職務及責任提供適當之資訊安全相關訓練。
    3. 應加強本處資訊網路與機房設施之環境安全，採取適當之保護及權限控管機制。
    4. 應確保網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊不因傳遞過程，或無意間之行為，透漏給未經授權之第三者。
    5. 應加強存取控制，防止未經授權之不當存取，以確保本處網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊資產已受適當之保護。
    6. 本處教務與學務行政系統開發應考量安全需求，並定期稽核系統安全弱點。
    7. 應確保所有網路與機房（含主機房與第二機房）以及教務與學務行政系統資訊安全事件或可疑之安全弱點，均依循適當之通報機制向上反應，並予以適當調查及處理。

陸、審查

柒、實施