台南市政府资讯安全管理规范

　台南市政府資訊安全管理規範 依據 88/11/16 行政院研考會（88）會訊字第 05787 號函頒「行政院及所機關 資訊安全管理規範」及 90/4/25 行政院資訊通信發展推動小組簽報行政院核定「建立我國通資訊基礎建設安全機制計畫」、本府九十一年九月十七日資通安全處理小組會議擬定本府資訊安全管理規範。

　壹、資訊安全政策

　一、資訊安全政策目標

　提供管理階層對資訊安全的指示與支援。

　二、資訊安全之定義

　 資訊安全為確保本府資訊的機密性、完整性與可用性、本府同仁對

　 資訊安全的認知、所使用之資訊設備（包括電腦硬體、軟體、週邊）及

　 網路系統之可靠性，並確保上述資源免受任何因素之干擾、破壞、入侵、

　 或任何不利之行為與企圖。

　三、資訊安全政策及規定之宣達 1、資訊安全政策及人員在資訊安全應扮演之角色及責任等有關規定，應在工作說明書或有關作業手冊中載明。

　2、工作說明書或作業手冊規定之資訊安全政策、說明及規定，應包括執行及維護資訊安全政策的一般性責任規定、保護特定資訊資產的特別責任規定，以及執行特別安全程序及作為的特別責任規定。

　3、員工如違反資訊安全相關規定，應依紀律程序處理。

　 貳、資訊安 全組織及權責

　一、 資訊安全組織

　（一）主管人員，負責推動、協調及督導下列資訊安全管理事項 ：

　1、資訊安全政策之核定、核轉及督導。

　2、資訊安全責任之分配及協調。

　3、資訊資產保護事項之監督。

　4、資訊安全事件之檢討及監督。

　5、其他資訊安全事項之核定。

　（二）得視需要成立跨部門資訊安全推行小組，推動下列事項：

　1、跨部門資訊安全事項權責分工之協調。

　2、應採用之資訊安全技術、方法及程序之協調研議。

　3、整體資訊安全措施之協調研議。

　4、資訊安全計畫之協調研議。

　5、其他重要資訊安全事項之協調研議。

　二、 資訊安全組織權責

　 ( ( 一) ) 資訊安全分工原則

　 1、資訊安全管理相關政策、計畫、措施及技術規範之研議，以及安 全技術之研究、建置及評估相關事項，由計畫室負責辦理。

　 2、資料及資訊系統之使用管理及保護等事項，由業務單位負責辦理，

　 其他門禁及安全需求由秘書室負責辦理。

　 3、資訊機密維護及稽核使用管理事項，由政風室會同相關單位負責

　辦理。

　4、業務性質特殊者，得視實際需要由首長調整上述資訊安全分工原則。

　（二）資訊設施之使用授權 1、引進及啟用新資訊科技（如軟體、硬體、通信及管理措施等），應於事前進行安全評估，瞭解新資訊科技之安全保護措施及水準，並依行政程序經權責主管人員核淮，始得引用，以免影響既有的資訊安全措施。

　2、新資訊科技設施之使用，應依下列行政程序辦理：

　（1）業務上的核准程序 ‧每一項系統及設備的裝置及使用，應經權責主管人員的核准始得使用。

　‧系統及設備如有遠地連線作業需求，亦應獲得負責維護當地資訊安

　全之權責主管人員之同意。

　（2）技術上的核准程序：所有連上網路的設施，或是由資訊服務提供者維護的設施，須經技術上的安全評估程序及權責主管人員之核准，始得上線使用。

　（三）跨機關之合作及協調 1、資訊安全管理人員應與外部的資訊安全專家或顧問加強協調聯繫，相互合作，分享經驗，以評估機關可能面臨的資訊安全威脅，據以研擬及推動資訊安全實務措施。

　2、應與業務密切相關的機關、執法機關、資訊服務提供者及通信機構等，建立及維持適當的互動管道，以便在發生資訊安全事件時，能迅速獲得外部的資源協助，即時解決相關問題。

　3、記載資訊安全事項之有關文件或資訊，在提供外界使用及進行經驗交流時，應予適當的限制，以防止載有資訊安全細節的敏感性資訊，遭未經授權的人員取用。

　（四）資訊安全顧問及諮詢 1、資訊安全人力、能力及經驗，如有不足之處，得委請外界的學者專家或民間專業組織及團體，提供資訊安全顧問諮詢服務。

　2、對委請資訊安全顧問，或負責資訊安全之人員，各單位及人員應予必要的協助及支援。

　參、人員安全管理及教育訓練

　一、人員進用之評估

　1、進用之人員，如其工作職責須使用處理敏感性、機密性資訊的科技設施，或須處理機密性及敏感性資訊者，應經適當的安全評估程序。

　2、人員進用之安全評估參考項目如下：

　（1）個人特質。

　（2）申請者之學經歷。

　（3）學術及專業能力及資格。

　（4）人員安全查核。

　二 、使用者資訊安全教育訓練

　1、應定期對員工進行資訊安全教育及訓練，促使員工瞭解資訊安全的重要性，各種可能的安全風險，以提高員工資訊安全意識，促其遵守資訊安全規定。

　2、應以人員角色及職能為基礎，針對不同層級的人員，進行適當的資訊安全教育及訓練；資訊安全教育及訓練的內容應包括：資訊安全政策、資訊安全法令規定、資訊安全作業程序，以及如何正確使用資訊科技設施之訓練等。

　3、在同意及授權使用者存取系統前，應教導使用者登入系統的程序，以及如何正確操作及使用軟體。

　4、對員工進行資訊安全教育及訓練之政策，除適用所屬員工外，對機關外部的使用者，亦應一體適用。

　肆、電腦系統安全管理

　一、電腦系統作業程序

　（一）電腦系統作業程序之訂定 1、應訂定電腦系統作業程序，並以書面、電子或其他方式載明之，以確保機關員工正確及安全地操作及使用電腦，並以其作為系統發展、維護及測試作業的依據。

　2、電腦系統作業程序應載明執行每一項電腦作業的詳細規定：

　（1）如何正確地處理資料檔案。

　（2）電腦系統作業時程的需求，包括與其他系統的相互關係、作業啟動的最早時間及作業結束的最晚時間。

　（3）處理電腦當機及發生作業錯誤之規定，以及其他電腦系統作業之限制事項。

　（4）如果遭遇非預期的電腦系統作業技術問題時，如何與支援人員聯繫之規定。

　（5）電腦當機重新啟動及回復正常作業之程序。

　（6）電腦及網路之日常管理作業，例如：開關機程序、資料備援、設備維護、電腦機房之安全管理；電腦系統作業程序應視為正式文件，作業程序的更改必須經權責單位核准。

　（二）資訊安全事件之管理 1、發生資訊安全事件之反應與處理作業程序，應納入下列事項：

　（1）電腦當機及中斷服務。

　（2）業務資料不完整，或資料不正確導致的作業錯誤。

　（3）機密性資料遭侵犯。

　2、除正常的應變計畫外（如系統及服務之回復作業），資訊安全事件之處理程序，尚應納入下列事項：

　（1）導致資訊安全事件原因之分析。

　(2) 防止類似事件再發生之補救措施的規劃及執行。

　(3)電腦稽核軌跡及相關證據之蒐集。

　(4)與使用者及其他受影響的人員，或是負責系統回復的人員進行溝通及

　 瞭解。

　3、電腦稽核軌跡及相關的證據，應以適當的方法保護，以利下列管理作業：

　（1）作為研析問題之依據。

　（2）作為研析是否違反契約或是違反資訊安全規定的證據。

　（3）作為與軟體及硬體之供應商，協商如何補償之依據。

　4、應以審慎及正式的行政程序，處理資訊安全及電腦當機事件。作業程序應該包括下列事項：

　（1）應在最短的時間內，確認已回復正常作業的系統及安全控制系統，是否完整及真確。

　（2）應向管理階層報告緊急處理情形，並對資訊安全事件詳加檢討評估，以找出原因及檢討改正。

　（3）應限定只有被授權的人員，才可使用已回復正常作業的系統及資料。

　（4）緊急處理的各項行動，應予詳細記載，以備日後查考。

　（三）資訊安全責任之分散

　為降低因人為疏忽或故意，導致資料或系統遭不法或不當之使用，或遭

　未經授權的人員竄改，對關鍵性的資訊業務，應將資訊安全管理及執行的責任分散，分別配賦相關人員必要的安全責任。必要時，應建立相互制衡機制。

　（四）系統發展及系統實作之分開處理 1、系統發展及測試作業可能會有軟體變更及電腦資源共享之情形，為降低可能的風險，應將系統發展及系統實作的設施分開處理，以減少作業軟體或資料遭意外竄改，或是遭未經授權的存取。

　2、系統發展及系統實作之分開處理，應考量下列安控措施：

　（1）系統發展及系統實作的軟體，應儘可能在不同的處理器上作業，或是在不同的目錄或領域下作業。

　（2）系統發展及測試作業應儘可能分開。

　（3）編輯器及其他公用程式不再使用時，不得與作業系統共同存放。

　（4）實作及測試用的系統，應使用不同的登入程序，以減少風險。

　（五）資訊作業委外服務之安全管理 1、資訊業務委外時，應於事前審慎評估可能的潛在安全風險（例如資料或使用者通行碼被破解、系統被破壞或資料損失等風險），並與廠商簽訂適當的資訊安全協定，以及課予相關的安全管理責任，並納入契約條款。

　2、應納入資訊委外服務契約的資訊安全事項如下：

　（1）涉及機密性、敏感性或是關鍵性的應用系統項目。

　（2）應經核准始得執行的事項。

　（3）廠商應配合執行本府及所屬各機關業務永續運作計畫。

　（4）廠商應遵守的資訊安全規範及標準，及作業程序。

　二、系統規劃

　（一）系統作業容量之規劃 1、應隨時注意及觀察分析系統的作業容量，以避免容量不足而導致電腦當機。

　2、應進行電腦系統作業容量之需求預測，以確保足夠的電腦處理及儲存容量。

　3、應特別注意系統之作業容量，預留預算及採購行政作業的前置時間，俾利進行前瞻性的規劃，及時獲得必要的作業容量。

　4、系統管理人員，應隨時注意及觀察分析系統資源使用狀況，包括處理器、主儲存裝置、檔案儲存、印表機及其他輸出設備及通信系統之使用狀況；管理人員應隨時注意上述設備的使用趨勢，尤應注意系統在業務處理及資訊管理上的應用情形。

　5、應隨時掌握及利用電腦及網路系統容量使用狀況的資訊，分析及找出可能危及系統安全的瓶頸，預作補救措施之規劃。

　（二）新系統上線作業之安全評估 1、應訂定新系統被認可及納入正式作業的標準，並在新系統上線作業前，執行適當的測試。

　2、新系統被認可及納入正式作業的標準，應執行下列事項：

　（1）應評估系統作業效能及電腦容量是否滿足本府及所屬各機關的需求。

　（2）應檢查發生錯誤後之回復作業及系統重新啟動程序的準備作業，以及資訊安全事件之緊急應變作業完備與否。

　（3）應進行新系統正式納入例行作業程序之準備及測試。

　（4）應評估新系統的建置是否影響現有的系統作業，尤其是對系統尖峰作業時段之影響。

　（5）應辦理新系統作業及使用者教育訓練。

　3、在發展重要的系統時，應確定系統的功能，以及確保系統的作業效能，使其足以滿足需求；例如，在系統發展的每一階段，應充分諮詢相關人員的意見。

　4、新系統上線作業前，應執行適當的測試作業，以驗證系統功能符合既定的安全標準。

　（三）作業變更之管理

　 資訊設施及系統的變更，應建立控制及管理機制，以免造成系統安全上的漏洞。

　三 、電腦病毒及惡意軟體之防範

　電腦病毒及惡意軟體之控制 1、應採行必要的事前預防及保護措施，防制及偵測電腦病毒、特洛依木馬及邏輯炸彈等惡意軟體的侵入。

　2、應依「事前預防重於事後補救」的原則，採行適當及必要的電腦病毒偵測及防範措施，促使員工正確認知電腦病毒的威脅，進一步提升員工的資訊安全警覺，健全系統之存取控制機制。

　3、電腦病毒防範應考量的重要原則如下：

　（1）應建立軟體管理政策，規定各部門及使用者應遵守軟體授權規定，禁止使用未取得授權的軟體。

　（2）應選用信譽良好、功能健全的電腦病毒防制軟體，並依下列原則使用：

　‧電腦病毒防治軟體應定期更新，並在廠商的指導下使用。

　‧使用防毒軟體事前掃瞄電腦系統及資料儲存媒體，以偵測有無感染電腦病毒。

　‧視需要安裝可偵測軟體遭更改的工具軟體，並偵測執行碼是否遭變更。

　‧應謹慎使用可掃除電腦病毒及回復系統功能的解毒軟體；使用前應充分瞭解電腦病毒的特性，以及確定解毒軟體的功能。

　‧應定期檢查軟體及檢查重要的系統資料內容，如發現有偽造的檔案或是未經授權的修正事項，應立即調查，找出原因。

　‧對來路不明及內容不確定的磁片，應在使用前詳加檢查是否感染電腦病毒。

　‧應建立防制電腦病毒攻擊及回復作業的管理程序，並課予相關人員必要的責任。

　‧為使電腦病毒影響機關正常運作之程度降至最低，應建立妥適的業務永續運作計畫，將必要的資料及軟體備份，事前訂定回復作業計畫。

　四、軟體複製的控制

　1、機關使用有智慧財產權的軟體，應遵守相關法令及契約規定。

　2、軟體複製應考量之事項如下：

　（1）不應保有及使用未取得授權的軟體。

　（2）應將機關智慧財產權保護政策，以書面、電子或其他方式明確通知機關員工，禁止員工在未取得智慧財產權擁有者的書面同意前，將軟體複製到機器。

　（3）除非取得授權，不應將專屬的軟體複製到機關以外的機器設備。

　（4）須在原授權許可之外的機器上使用軟體時，應取得正式的授權或另行採購。

　（5）應建立軟體使用的註冊管理機制，並定期稽核軟體使用情形。

　五、個人資料之保護

　1、應依據電腦處理個人資料保護法等相關規定，審慎處理及保護個人資訊。

　2、應建立個人資料控制及管理機制，並視需要指定負責個人資料保護之人員，以便協調管理人員、使用者及系統服務提供者，促使相關人員瞭解各部門應負的個人資料保護責任，以及應遵守之作業程序。

　六、日常作業之安全管理

　（一）資料備份 1、應準備適當及足夠的備援設施，定期執行必要的資料及軟體備份及備援作業，以便發生災害或是儲存媒體失效時，可迅速回復正常作業。

　2、系統資料備份及備援作業，應符合機關業務永續運作之需求。

　3、資料備份作業原則如下：

　（1）正確及完整的備份資料，除存放在主要的作業場所外，應另外存放在離機關有一段距離的場所，以防止主要作業場所發生災害時可能帶來的傷害。

　（2）重要資料的備份，以維持三代為原則。

　（3）備份資料應有適當的實體及環境保護，其安全標準應儘可能與主要作業場所的安全標準相同；主要作業場所對電腦媒體的安控措施，

　應儘可能適用到備援作業場所。

　（4）應定期測試備份資料，以確保備份資料之可用性。

　（5）資料的保存時間，以及檔案永久保存的需求，應由資料擁有者研提。

　（二）系統作業紀錄 1、電腦作業人員應忠實記錄系統啟動及結束作業時間、系統錯誤及更正作業等事項。

　2、電腦作業人員的系統作業紀錄，應定期交由客觀的第三者查驗，以確認其是否符合機關訂定的作業程序。

　（三）系統錯誤事項之紀錄

　 1、系統發生作業錯誤時，應迅速報告權責主管人員，並採取必要的更正行動。

　2、使用者對電腦及通信系統作業錯誤的報告，應正式記錄，以供日後查考。

　3、應建立明確的系統作業錯誤報告程序，以及相關的作業規定，要項如下：

　（1）應檢查錯誤情形的紀錄，確保系統作業錯誤已經改正。

　（2）應檢查更正作業是否妥適，確保更正作業未破壞系統原有的安控措施，及確保更正作業係依正當的授權程序辦理。

　（四）電腦作業環境之監測 電腦作業環境如溫度、溼度及電源供應之品質等，應依據供應廠商的

　建議，建立監測系統，隨時監測電腦作業環境，並採取必要的補救措

　施。

　 七、電腦媒體之安全管理

　（一）電腦媒體之安全管理 1、可隨時攜帶及移動的電腦媒體，應建立使用管理程序，以規範磁帶、磁碟及電腦輸出報告等媒體之使用。

　2、電腦作業環境應建置下列安全控管措施：

　（1）可重複使用的資料儲存媒體，不再繼續使用時，應將儲存的內容消除。

　（2）對於要帶離辦公場所的儲存媒體，應建立書面的授權規定，並建立使用紀錄，以備日後稽核。

　（3）儲存媒體應依製造廠商提供的保存規格，存放在安全的環境。

　（二）系統文件之安全 1、系統流程、作業流程、資料結構及授權程序等系統文件，應予適當保護，以防止不當利用。

　2、系統文件的安全保護措施如下：

　（1）應鎖在安全的儲櫃或其他安全場所。

　（2）發送對象應以最低必要的人員為限，且應經系統擁有者的授權。

　（3）電腦產製的文件，應與其他應用檔案分開存放，且應建立適當的存取保護措施。

　 （三）媒體處理之安全 1、儲存機密性及敏感性資料的電腦媒體，當不再繼續使用時，應以安全的方式處理。

　2、電腦媒體之安全處理原則如下：

　 內含機密性或敏感性資料的媒體，應以安全的方式處理，例如：燒毀或

　 是以碎紙機處理，或將資料從媒體中完全清除。

　3、委外處理的電腦文具、設備、媒體蒐集及委外處理資料，應慎選有足夠安全管理能力及經驗的機構作為委辦對象。

　4、機密性及敏應性資料的處理過程，應以書面、電子其他方式記錄之，以利事後查考及稽核。

　5、資訊累積一段時間再作彙總處理時，應特別注意及防止大量非機密性資料彙總成為敏應性或機密性資料。

　（四）資料檔案之保護 1、應保護重要的資料檔案，以防止遺失、毀壞、被偽造或竄改。重要的資料檔案應依相關規定，以安全的方式保存。

　2、超過法定保存時限的檔案，可依相關規定刪除或銷毀，惟應事前考量對機關造成影響。

　八、資料及軟體交換之安全管理

　（一）資料及軟體交換之安全協定

　機關間進行資料或軟體交換，應訂定正式的協定，將機密性及敏感性資料的安全保護事項及有關人員的責任列入。

　（二）電腦媒體運送及傳輸之安全

　1、電腦媒體運送及傳輸過程，應有妥善的安全措施，以防止資料遭破 壞、誤用或未經授權的取用。

　2、電腦媒體運送及傳輸，應考量的安全措施參考要項如下：

　（1）應審慎選用安全及可信賴的運送或傳送機構或人員，報請權責主管

　人員同意，並於事前執行傳遞人員或機構的安全評估程序。

　（2）運送的物品應有妥適的包裝，以防止傳送過程中受損。

　（3）對於機密及敏感性的資料，應採取特別的安全保護措施。

　（三）電子資料交換之安全 1、本府及所屬各機關與來往對象進行電子資料交換，應採行特別的安全

　 保護措施，以防止未經授權的資料存取及竄改；資料電子交換如有安

　全及責任上的考量，應建立發文及收文證明的機制。

　2、本府及所屬各機關訂定的電子資料交換安全措施，應與電子資料交換

　的對象及資料加值服務業者共同協商，並徵詢電子資料交換相關組織

　 之意見，以確保符合相關的標準。

　 伍、網路安全管理

　一、 網路安全規劃與管理

　（一）網路安全規劃作業 1、應建立電腦網路系統的安全控管機制，以確保網路傳輸資料的安全，保護連網作業，防止未經授權的系統存取。

　2、對於跨組織之電腦網路系統，應特別加強網路安全管理。

　3、利用公眾網路傳送敏感性資訊，應採取特別的安全保護措施，以保護

　資料在公共網路傳輸的完整性及機密性，並保護連線作業系統之安全性。

　（二）網路服務之管理

　1、系統的最高使用權限，應經權責主管人員審慎評估後，交付可信賴的人員管理。

　2、網路系統管理人員應負責網路安全規範的擬訂，執行網路管理工具之設定與操作，確保系統與資料的安全性與完整性。

　3、網路系統管理人員應負責製發帳號，提供取得授權的人員使用；除非有特殊情況，不得製發匿名或多人共享的帳號。

　4、提供給內部人員使用的網路服務，與開放有關人員從遠端登入內部網路系統的網路服務，應執行嚴謹的身分辨識作業(如使用動態密碼辨識系統)，或使用防火牆代理伺服器(Proxy Server)進行安全控管。

　5、如果系統使用者已非合法授權的使用者時，網路系統管理人員應立即撤銷其使用者帳號；離（休）職人員應依機關資訊安全規定及程序，取銷其存取網路之權利。

　6、網路系統管理人員除依相關法令或機關規定，不得閱覽使用者之私人檔案；但如發現有可疑的網路安全情事，網路系統管理人員得依授權規定，使用自動搜尋工具檢查檔案。

　7、網路系統管理人員未經使用者同意，不得增加、刪除及修改私人檔案。如有特殊緊急狀況，須刪除私人檔案，應以電子郵件或其他方式事先知會檔案擁有者。

　8、對任何網路安全事件，網路系統管理人員應立即向機關內部或其他電腦安全事件緊急處理小組反應。

　9、網路系統管理人員只能由系統終端機登入主機，並須保留所有登入、登出紀錄。

　10、網路系統管理人員不得新增、刪除、修改稽核資料檔案，以避免違反安全事件發生時，造成追蹤查詢的困擾。

　（三）網路使用者之管理 1、被授權的網路使用者（以下簡稱網路使用者）,只能在授權範圍內存取

　網路資源。

　2、網路使用者應遵守網路安全規定，並確實瞭解其應負的責任；如有違反網路安全情事，應依資訊安全規定，限制或撤消其網路資源存取權利，並依紀律規定及相關法規處理。

　3、網路使用者不得將自己的登入身份識別與登入網路的密碼交付他人使用。

　4、禁止網路使用者以任何方法竊取他人的登入身份與登入網路通行碼。

　5、禁止及防範網路使用者以任何儀器設備或軟體工具竊聽網路上的通訊。

　6、禁止網路使用者在網路上取用未經授權的檔案。

　7、網路使用者不得將色情檔案建置在機關網路，亦不得在網路上散播色情文字、圖片、影像、聲音等不法或不當的資訊。

　8、禁止網路使用者發送電子郵件騷擾他人，導致其他使用者之不安與不便。

　9、禁止網路使用者發送匿名信，或偽造他人名義發送電子郵件。

　10、網路使用者不得以任何手段蓄意干擾或妨害網路系統的正常運作。

　11、機關外部取得授權的電腦主機或網路設備，與機關內部網路連線作業時，應確實遵守之網路安全規定及連線作業程序。

　（四）防火牆之安全管理 1、機關與外界網路連接的網點，應加裝防火牆，以控管外界與機關內部網路之間的資料傳輸與資源存取。

　2、網路防火牆的安裝與網路架構之規劃及設置，應依機關訂定的資料安全規定及資料安全等級分類，以最經濟有效的方式配置。

　3、防火牆應由網路系統管理人員執行控管設定，並依機關制定的資訊安全規定、資料安全等級及資源存取的控管策略，建立包含身份辨識機制、來訊服務(incoming service)、去訊服務(outgoing service)與系統稽核的安全機制，有效地規範資源被讀取、更改、刪除、下載或上傳等行為以及系統存取權限等資訊。

　4、網路系統管理人員應由系統終端機登入防火牆主機，禁止採取遠端登入方式，以避免登入資料遭竊取，危害網路安全。

　5、防火牆設置完成時，應測試防火牆是否依設定的功能正常及安全地運

　作。如有缺失，應立即調整系統設定，直到符合既定的安全目標。

　6、網路系統管理人員應配合機關資訊安全政策及規定的更新，以及網路設備的變動，隨時檢討及調整防火牆系統的設定，調整系統存取權限，以反應最新的狀況。

　7、防火牆系統軟體，應定期更新版本，以因應各種網路攻擊。

　（五）軟體輸入控制 1、應禁止網路使用者使用非法軟體。

　2、應考量在網路上各檔案伺服器安裝防毒軟體，防止病毒在網路上擴散。

　3、網路使用者應定期以電腦病毒掃瞄工具執行病毒掃瞄，並瞭解病毒與惡意執行檔可能入侵的管道，採行防範措施。

　4、網路使用者如偵測到電腦病毒入侵或其他惡意軟體，應立即通知網路管理者；網路管理者亦應將已遭病毒感染的資料及程式等資訊隨時提供使用者，以避免電腦病毒擴散。

　5、電腦設備如遭病毒感染，應立即與網路離線，直到網管人員確認病毒已消除後，才可重新連線。

　（六）網路資訊之管理 1、對外開放的資訊系統，應儘可能安裝在一部專用的主機上，並以防火牆與機關內部網路區隔，提高內部網路的安全性。

　2、對外開放的資訊系統，應針對蓄意破壞者可能以發送作業系統指令或傳送大量資料(如電子郵件、註冊或申請資料)導致系統作業癱瘓等情事，預作有效的防範，以免影響機關的服務品質。

　3、機密性及敏感性的資料或文件，不得存放在對外開放的資訊系統中。

　4、網路系統管理人員應負責監督網路資料使用情形，檢查有無違反資訊安全規定之事件發生。

　5、對外開放的資訊系統所提供之網路服務(FTP,Gopher,HTTP等)，應做適當的存取控管，以維護系統正常運作。

　6、對外開放的資訊系統，如存放民眾申請或註冊的私人資料檔案，應研究以加密方式處理，並妥善保管，以防止被竊取或移作他途之用，侵犯民眾隱私。

　 二、電子郵件之安全管理

　電子郵件安全管理機制：

　1、密等以上的公文及資料，不得以電子郵件傳送；敏感性資訊如有電子傳送之必要，得經加密處理後傳送。

　2、為防範假冒機關員工名義發送電子郵件，並達到身分辨識及不可否認的目地，必要時應以電子簽章方式簽發電子郵件。

　3、電子郵件附加之檔案，應事前檢視內容有無錯誤後方可傳送。

　4、對來路不明的電子郵件，應交由網路系統管理者處理，不宜隨意打開電子郵件，以免啟動惡意執行檔，使網路系統遭到破壞。

　三、全球資訊網之安全管理

　（一）全球資訊網 1、內部使用的瀏覽器，應設定為對下載的每一檔案做電腦病毒或惡意內容的掃描。

　2、應考量網際網路新技術(如Java，ActiveX等)的可能安全弱點，並採取適當的防護措施以確保內部網路安全。

　3、HTTP伺服器應透過組態的設定，使其啟動時不具備系統管理者身份。

　4、應對HTTP伺服器可存取的範圍，限制在僅能存取檔案系統的某一特定區域。

　5、對於通用閘通道介面手稿(Common Gateway Interface Script)的執行與使用，應予嚴密監控，以防止不法者利用來執行系統指令，獲取系統內重要的資訊或破壞系統。

　（二）企業網路（Intranet）

　1、內部的電子化作業，應視需要使用電子簽章安全機制，以明責任，俾利線上公文簽核或查詢文件。

　2、機關間資料如透過專線傳送(如封閉網路系統)，應依資料安全等級，依相關安全規定做適當的加密處理。

　3、機關間的敏感性資料如透過網際網路傳送，宜經由虛擬專用網路(VPN)

　處理，以確保資料的隱密性。

　（三）網路設備備援與系統備援 1、為維持機關網路的持續正常運作，各重要網路設備應有備援。

　2、網路硬體設備應加裝不斷電系統，以防止不正常的斷電狀況。

　3、為確保內部網路與外界的服務持續暢通，內部網路與外界網路的連接，應有一個以上的替代路徑。

　4、網路系統中各主要主機伺服器(包括防火牆主機)應有備援主機，以備主要作業主機無法正常運作時之用。

　5、網路系統中之防火牆與各主機應定期做系統備份，包括完整系統備份，系統架構設定備份以及稽核資料備份。

　（四）網路入侵之處理 1、網路如發現有被入侵或有疑似被侵入情形，應依事前訂定的處理程序，採取必要的行動。

　2、網路入侵的處理步驟如下: （1）立即拒絕入侵者任何存取動作，防止災害繼續擴大;當防護網被突破時，系統應設定拒絕任何存取;或入侵者己被嚴密監控，在不危害內部網路安全的前題下，得適度允許入侵者存取動作，以利追查入侵者。

　（2）切斷入侵者的連接，如無法切斷則必須關閉防火牆;或為達到追查入侵者的目的，可考慮讓入侵者做有條件的連接，一旦入侵者危害到內部網路安全，則必須立即切斷入侵者的連接。

　（3）應全面檢討網路安全措施及修正防火牆的設定，以防禦類似的入侵與攻擊。

　（4）應正式記錄入侵的情形及評估影響的層面。

　（5）立即向權責主管人員報告入侵情形。

　（6）向機關內部或外部的電腦安全緊急處理小組反應，以獲取必要的外部協助。

　四、網路安全稽核

　（一）網路安全稽核事項

　 對於通過防火牆之來源端主機IP位址、目的端主機IP位址、來源通訊埠編號、目的地通訊埠編號、通訊協定、登入登出時間、存取時間以及採取的行動，均應予確實記錄。

　（二）網路入侵之追查 1、對入侵者的追查，除利用稽核檔案提供的資料外，得使用系統指令執行反向查詢，並連合相關單位(如網路服務公司)，追蹤入侵者。

　2、入侵者之行為若觸犯法律規定，構成犯罪事實，應立即告知檢警憲調單位，請其處理入侵者之犯罪事實調查。

　五、憑證機構之安全管理

　（一）憑證機構之安全評估

　基於業務需要，須自行或委託專業機構建置憑證機構（certificate authority），或選用具公信力的憑證機構時，應綜合考量憑證機構之技術、管理、人員及財務的安全風險等。考量事項如下：

　（1）獨立性。

　（2）承擔風險之財務資源及財物管理能力。

　（3）系統安全管理能力。

　（4）永續經營能力。

　（5）硬體、軟體及通信設施之可信賴性。

　（6）系統稽核管理能力。

　（7）緊急應變計畫。

　（8）人員管理及內部控制。

　（9）其他。

　（二）憑證機構之技術安全 1、憑證機構金鑰之產生、儲存、使用、備份、銷毀、更新及復原作業等，應建立嚴格的安全管理機制。

　2、憑證機構資訊系統(含應用系統、密碼模組等)之安全驗證，應遵照權責主管機關訂定之規範作業，以確保其安全性。

　3、憑證機構使用之數位簽章或加密金鑰長度，應依權責主管機關建議之

　參考值，視系統的安全需求設定。

　4、對外採購加密技術時，應請廠商提供輸出國核發之輸出許可文件，並應避免採購具有金鑰代管或金鑰回復之產品。

　 陸、系統存取控制

　一、資訊系統存取控制規定

　1、應訂定資訊系統存取控制規定，界定存取控制之需求，並以書面、電子或其他方式記錄之。

　2、應將業務系統之存取控制需求，明確告知系統服務提供者，以利其執行及維持有效的存取控制機制。

　3、業務應用系統擁有者，應訂定系統存取控制政策，並明定使用單位及使用人員的系統存取權利。

　4、資訊系統存取控制規定之研擬，應考量事項如下：

　（1）個別業務應用系統之安全需求。

　（2）資訊傳佈及資料應用之名義及授權規定。

　（3）相關法規或契約對資料保護及資料存取之規定。

　二、使用者之存取管理

　（一）使用者註冊管理 1、對於多人使用的資訊系統，應建立正式的使用者註冊管理程序。

　2、使用者註冊管理程序，應考量的事項如下：

　（1）查核使用者是否已經取得使用該資訊系統之正式授權。

　（2）查核使用者被授權的程度是否與業務目的相稱，是否符合資訊安全政策及規定（例如:有無違反權責分散原則。）

　（3）應以書面、電子或其他方式，告知使用者之系統存取權利。

　（4）要求使用者簽訂約定，使其確實瞭解系統存取的各項條件及要求。

　（5）在系統使用者尚未完成正式授權程序前，資訊服務提供者不得對其

　提供系統存取服務。

　（6）應建立及維持系統使用者之註冊資料紀錄，以備日後查考。

　（7）使用者調整職務及離（休）職時，應儘速註銷其系統存取權利。

　（8）應定期檢查及取銷閒置不用的識別碼及帳號。

　（9）閒置不用的識別碼不應重新配賦給其他的使用者。

　（二）系統存取權限之檢討評估

　 為有效控管資料及系統存取，應定期檢討及評估使用者之存取權限。

　三、系統存取之責任

　（一）使用者通行碼之管理 1、使用者選擇及使用通行碼時，應遵守資訊安全規定。

　2、應依下列原則配賦、管理及使用通行碼：

　（1）

　以嚴謹的程序核發通行碼，明確規定使用者應負的責任。

　（2）

　個人應負責保護通行碼，維持通行碼的機密性。

　（3）

　應避免將通行碼記錄在書面上，或張貼在個人電腦或終端機螢幕或其他容易洩漏秘密之場所。

　（4）

　當有跡象足以顯示系統及使用者密碼可能遭破解時，應立即更改密碼。

　（5）

　使用者密碼的長度最少應由六位長度組成。

　（6）

　應儘量避免以下列事項作為通行密碼：

　‧年、月、日等時間資訊。

　‧個人姓名、出生日、身分證字號或汽機車牌照號碼。

　‧機關、單位名稱、識別代碼或是其他相關事項。

　‧電話號碼。

　‧使用者識別碼、使用者姓名、群體使用者之識別碼或是其他系統識別碼。

　‧重複出現兩個字以上的識別字碼。

　‧以全部數字或是全部字母組成密碼。

　‧英文或是其他外文字典的字。

　‧電腦上使用者的名字。

　‧電腦主機名稱、作業系統名稱。

　‧地方名稱。

　‧專有名詞。

　‧任何人的名字。

　（7）

　應定期更換通行碼，原則上以每三個月更新一次為原則，最長不得超過六個月；應儘量避免重複或循環使用舊的通行碼。

　3、須存取多人使用之系統，或須進入不同的系統平台，應考量使用安全等級較高的通行碼。（例如:使用單向加密演算法將通行碼加密）

　（二）暫時不使用或無人看管設備之安全管理

　 1、暫時不使用，或無人看管的設備，應研擬適當的安全保護措施；安置在辦公區域內的設備（例如:工作站或檔案伺服器），如一段時間內無人使用或看管，應採行特別的安全保護措施，以防止未經授權的系統存取。

　3、應將暫時不使用及無人看管的設備管理規定，明確告知所有的使用者或服務廠商，並賦予安全保護的責任。

　 四、網路存取之安全控制

　（一）網路服務之限制 1、個別使用者或是從特定端末機存取電腦及網路服務之安全規定，應依業務存取控制規定辦理。

　2、使用者應在授權範圍內存取網路系統服務事項。

　（二）使用者身分鑑別

　 開放機關以外的使用者從公眾網路，或從機關網路以外的網路與本機

　關連線作業，應建立遠端使用者身分鑑別機制，以降低未經授權存取

　系統的風險。

　（三）網路連線作業之控制 1、為確保系統安全，跨機關的網路系統可限制使用者之連線作業能力。例如，以網路閘門技術依事前訂定之系統存取規定，過濾網路之傳輸作業。

　2、限制網路連線作業能力之安全控制措施如下：

　（1）只允許使用電子郵遞系統。

　（2）只允許單向的檔案傳輸。

　（3）允許雙向的檔案傳輸。

　（4）使用互動式的系統存取。

　（5）限制只能在特定的時間或日期進行系統存取。

　 （四）網路路由控制 1、分享式的網路系統（尤其是跨機關的網路系統），應建立網路路由的控制，以確保電腦連線作業及資訊流動，不會影響應用系統的存取政策。

　2、網路路由的控制，應建立實際來源及終點位址之檢查機制；網路路由的控制可以硬體或軟體方式執行，並應事先評估瞭解不同方式的安全控制能力。

　（五）網路服務之安全控制 1、使用公用或私有網路，應評估使用該項網路服務之可能風險。

　2、使用公用或私有網路，應評估網路服務提供者之安全措施是否足夠、是否提供明確的安全措施說明，並應考量使用該項網路對維持資料傳輸機密性、完整性及可用性等各種安全影響。

　 五、電腦系統之存取控制

　（一）應建立自動化的端末機身分鑑別系統，以鑑別從特定位址連上網路的使用者身分。

　（二）使用者身分辨識 1、應對使用者核發使用者識別碼，以明責任歸屬；使用者識別碼不應顯示任何足以辨識使用者特別權限的訊息，例如：顯示其為管理者或監督者。

　2、只有在例外的情況下，可為整體效益，經權責主管人員之同意，核發群組內人員共享同一使用者識別碼。但應採取額外的安全控制措施，明確規範使用者的責任。

　 （三）使用者通行碼之管理 1、應以安全有效的使用者通行碼管理系統，鑑別使用者身分。

　2、安全有效的使用者通行碼管理系統，應考量的事項如下：

　（1）要求必須使用通行碼，以明定系統的使用責任。

　（2）應允許使用者自行選擇及更改通行碼。

　（3）在登入系統程序中，系統不應顯示使用者的密碼資料。

　（4）使用者密碼應與應用系統資料分開存放。

　（5）在軟體完成安裝作業後，應立即更改廠商預設的使用者密碼。

　 六、應用系統之存取控制

　（一）資訊存取之限制 1、應依資訊存取規定，配賦應用系統的使用者（包括應用系統支援人員）與業務需求相稱的資料存取及應用系統使用權限。

　2、資訊存取的控制措施如下：

　（1）以選單方式控制使用者僅能使用系統的部分功能。

　（2）適當地編輯作業手冊，限制使用者僅能獲知或取得授權範圍內的資料及系統存取知識。

　（3）控制使用者存取系統的能力（例如限定使用者僅能執行唯讀、寫入、刪除或執行等功能。）

　（4）處理敏感性資訊的應用系統，系統輸出的資料，應僅限於與使用目的有關者，且只能輸出到指定的端末機及位址。

　 （二）系統公用程式之安全管理 1、應嚴格限制及控制電腦公用程式之使用。

　2、電腦公用程式之安控措施如下：

　（1）設定使用者密碼以保護系統公用程式。

　（2）將系統公用程式與應用系統分離。

　（3）將有權使用系統公用程式的人數限制到最小的數目。

　（4）應移除非必要的公用程式及系統軟體。

　 （三）機密及敏感性系統之獨立作業 1、對機密及敏感性的系統，應考量建置獨立的或是專屬的電腦作業環境。

　2、建置獨立的或是專屬的電腦作業環境，應考量的事項如下：

　（1）應由系統擁有者決定應用系統是否屬於機密或敏感性，並以書面記錄之。

　（2）機密及敏感性的應用系統須在分享式的電腦環境中執行時，應界定其他須共享資源的系統項目，並經系統擁有者的同意。

　七、系統存取及應用之監督

　（一）事件記錄 1、應建立及製作例外事件及資訊安全事項的稽核軌跡，並保存一段的時間，以作為日後調查及監督之用。

　2、系統稽核軌跡應包括下列事項：

　（1）使用者識別碼。

　（2）登入及登出系統之日期及時間。

　（3）儘可能記錄端末機的識別資料或其位址。

　 （二）系統使用之監督 1、應建立系統使用情形之監督程序，確保使用者只能執行授權範圍內的事項；個別系統接受監督的程度，應依風險評估結果決定。

　2、系統使用監督應考量事項如下：

　（1）系統存取失敗情形。

　（2）檢查系統登入的模式，確定使用者識別碼是否有不正常使用或是被重新使用的情形。

　（3）查核系統存取特別權限的帳號使用情形及配置情形。

　（4）追蹤特定的系統交易處理事項。

　（5）敏感性資源的使用情形。

　3、系統使用之監督作業，應經權責主管人員之正式授權始得為之。

　 （三）電腦作業時間校正：應定期校正電腦系統作業時間，以維持系統稽核紀錄的正確性及可信度，俾作為事後法律上或是紀律處理上的重要依據。

　八、機關外部人員存取資訊之安全管理

　外部連線作業之風險評估

　1、如開放外界與其連線作業，應評估可能的安全風險；如因業務需要，須與外界連線作業時，應予事前進行風險分析，決定必須採行或應特別強化的資訊安全需求項目。

　2、外部存取本機關資訊系統之風險分析，應充分考量下列事項：

　（1）第三者需要存取的資訊類型及資訊的價值等。

　（2）第三者採行的資訊安全措施及安全保護水準。

　（3）第三者之存取對本機關資訊架構可能產生的安全風險及影響。

　3、除非已經與第三者協議確定，並已執行適當的安全措施，且簽訂書面約定，妥善規範連線單位應遵守的規定，否則不宜提供第三者存取本機關的資訊設備。

　九、系統稽核規劃

　（一）系統稽核控制 1、對作業系統進行查核之稽核需求及實際稽核作業，應審慎規劃，並經權責主管人員同意始得為之，以免影響業務正常運作。

　2、系統稽核應考量事項如下：

　（1）系統稽核需求及查核範圍，應經權責主管人員同意。

　（2）應限定以唯讀方式存取軟體及資料。

　（3）不能以唯讀方式進行系統存取時，應獨立複製另外一份系統檔案供稽核作業之用，且應於稽核作業完成後，立即消除檔案。

　（4）執行查核所需的技術資源，應於事前明確界定，並準備妥當。

　（5）執行特別的及額外的查核，應於事前明確界定需求及範圍，並與服務提供者協議。

　（6）執行稽核作業的所有系統存取作業，應予監督及留下記錄，以備日後查考。

　（7）稽核作業程序、需求及責任規定，應以書面或其他電子方式為之。

　（二）系統稽核工具之保護 1、應保護系統稽核工具（例如軟體及資料檔案）以防止誤用或被破解。

　2、系統稽核工具應與發展中或是實作的系統分隔，且應存放在安全的地點。

　柒、系統發展及維護之安全管理

　一、系統安全需求規劃

　（一）系統安全需求分析及規格訂定 1、應在資訊系統規劃之需求分析階段，即將安全需求納入；新發展的資訊系統，或是現有系統功能之強化，皆應明定資訊安全需求，並將安全需求納入系統功能。

　2、除由系統自動執行的安控措施之外，亦可考量由人工執行安控措施；在採購套裝軟體時，亦應進行相同的安全需求分析。

　3、系統的安全需求及控制程度，應與資訊資產價值相稱，並考量安全措施不足，對機關可能帶來的傷害程度。

　4、資訊系統安全需求分析應考量事項如下：

　（1）評估保護資訊機密性、整合性及可用性的需求。

　（2）找出及決定各種不同的安全控制措施，以防範、偵測電腦當機或發生安全事件時，能立即執行回復作業。

　（3）資訊安全需求分析，應特別考量下列事項：

　‧對資訊及系統之存取控制。

　‧重要業務，應建立例行性的稽核制度，並為特定查核之事項建立稽核軌跡。

　‧重要的資料，應在資料處理過程的每一階段，或是特別選定的某一階段，檢查及保護資料的真確性。

　‧應保護機密性或敏感性資料，防止洩漏或被竄改，必要時應使用資料加密等技術保護。

　‧應遵守法規或契約上對資訊安全控制的要求。

　‧重要的業務資料，應複製備份資料。

　‧應訂定電腦當機之立即回復作業程序，尤其是對高使用率的系統應有妥適的回復措施。

　‧應保護系統避免未經授權的竄改或是修改。

　‧應使系統以安全的方式為一般人員操作及使用。

　‧應儘可能促使系統滿足稽核人員的安全控制需求。

　（4）應於相關文件規定資訊安全控制措施，以利使用者及電腦支援人員明瞭電腦系統內建之安控系統功能。

　二、應用系統之安全

　（一）資料輸入之驗證 1、輸進應用系統的資料，應在事前查驗，以確保資料的真確性。

　2、資料輸入應考量的安控措施如下：

　（1）應檢查是否有以下的錯誤：

　‧是否有超出設定範圍的數值。

　‧資料檔案是否有錯誤的文、數字。

　‧資料是否有毀損或是不正確。

　‧是否有超出設定數值的上限或是下限。

　‧是否有未經授權的資料或是不一致的控制性資料。

　（2）應定期檢查主要欄位或資料檔案的內容，以確保資料的有效性及真確性。

　（3）應檢查輸入的書面資料是否有被竄改情形。

　（4）應建立資料檢驗證程序及資料錯誤更正的作業程序。

　（二）系統內部作業處理之驗證

　 1、系統內部的作業，應建立驗證資料正確性的作業程序，避免正確輸入資料到應用系統中，卻因系統處理錯誤或是人為因素而遭受破壞。

　2、系統內部作業是否採取特別的資料處理控制程序，應視應用系統的性質及資料遭破壞，對機關業務的影響程度而定。

　3、系統內部作業處理之驗證方法如下：

　（1）利用系統提供的功能，做資料處理作業控制或批次控制，以達到檔案資料更新處理後的一致性。

　（2）比對本次開始作業與前次結束作業的檔案資料是否一致。

　（3）查證系統產生的資料是否正確。

　（4）在中央及遠端電腦系統之間，應檢查資料、下載及上傳軟體，或軟體更新後系統之真確性。

　（5）將紀錄及資料檔案以數學函式求算雜湊值，防止被更改。

　 （三）資料加密 1、對高敏感性的資料，應在傳輸或儲存過程中以加密方法保護。

　2、是否使用加密方法，應進行風險評估，以決定採取何種等級的安全保護措施。

　3、使用加密技術時，如資訊專業人力及經驗不足，可請外界的學者專家提供技術諮詢服務。

　4、應遵守權責主管機關訂定的資料保密規範，及使用權責主管機關檢驗合格或認可的加密模組，以確保加密技術產品的安全功能。

　 （四）訊息真確性之鑑別 1、應利用訊息鑑別技術，偵測資料內容是否遭受未經授權的竄改，或驗證傳送之訊息內容是否遭受破壞。

　2、對重要的應用系統，應使用訊息鑑別技術保護資料內容之真確性。

　3、是否使用訊息鑑別技術，應依安全風險評估結果，採行最適當的鑑別方法。

　三、應用系統檔案之安全

　系統測試資料之保護：

　1、應保護及控制測試資料，避免以含有個人資料的真實資料庫進行測試；如須應用真實的資料，應於事前將足以辨識個人的資料去除。

　2、在使用真實的資料進行測試時，應採行下列的保護措施：

　（1）適用在實際作業系統的存取控制措施，亦應適用在測試用的系統。

　（2）真實資料被複製到測試系統時，應依複製作業的性質及內容，在取得授權後始能進行。

　（3）測試完畢後，真實資料應立即從測試系統中刪除。

　 四、系統變更及維護環境之安全

　（一）變更作業之控制程序 1、應建立正式的變更控制程序，並嚴格執行，以降低可能的安全風險；變更作業之控制程序，應確保系統安全控制程序不會被破壞，並確保程式設計人員只能存取系統作業所需的項目，且任何的系統變更作業，皆應獲得權責主管人員的同意。

　2、建立變更控制程序，應考量的事項如下：

　（1）應依事前訂定的授權規定，執行變更作業：

　‧規定系統使用者提出變更需求之權責，以及接受系統變更建議之授權程序。

　‧規定系統完成變更作業後，系統使用者是否認可之權責。

　‧規定只有被授權的使用者可提出系統變更之請求。

　‧規定檢視系統安全控制及檢視系統真確性的程序，以確保系統變更作業不致影響或破壞系統原有的安全控制措施。

　‧應找出系統變更作業需要修正的電腦軟體、資料檔案、資料庫及硬體項目。

　‧在實際執行變更作業前，變更作業的細項建議，應取得權責主管人員之核准。

　‧在執行變更作業...

推荐访问:台南 市政府 管理规范