ABCDEFGHIJKLMNOPQRSTUVWXYZ
1
1.全校導入資訊安全管理系統(ISMS)佐證呈現建議
2
1-1 資安長配置⭐2.4是否指派副首長或適當人員兼任資通安全長，負責推動及督導機關內資通安全相關事務？是否成立資通安全推動組織，負責推動、協調監督及審查資通安全管理事項？推動組織層級之適切性，且業務單位是否積極參與？項目要求
3
考量資安推動組織肩負以全機關為範圍的資安推動工作，資通安全長(以下簡稱資安長)也須安排具適當權責的人員兼任。一般除了副校長外，教育部「國立大專校院資通安全維護作業指引」也已要求，各校宜指派主任秘書以上人員兼任資安長，以落實推動及監督校內資通安全相關事務。
4
5
6
7
8
佐證資料準備方向(提供參考)
9
指派的紀錄，例如：簽呈、公文。
10
學校所訂定相關組織辦法、規章等。
11
⭐2.3是否有文件或紀錄佐證管理階層(如機關首長、資通安全長等)對於ISMS建立、實作、維持及持續改善之承諾及支持？項目要求
12
資安長除了掌握策略面的資安相關事務以外，也應實質參與校內資安推動事務。此外，資安長也要對於教育體系重大資安政策等外部重要議題有所了解。
13
14
15
16
17
佐證資料準備方向(提供參考)
18
👏🏽2.3.1資通安全長是否瞭解近期教育體系重大資通安全政策，如國立大專校院資通安全維護作業指引、全國大專校院資安長會議相關指示等，並督導協助相關事宜？資安長參與紀錄與說明，例如：管審會、內外部稽核、教育訓練等相關活動的照片、文件；資安長對重大政策的規劃或指示紀錄，公文、相關會議記錄。
19
1-2 資安推動組織⭐2.4是否指派副首長或適當人員兼任資通安全長，負責推動及督導機關內資通安全相關事務？是否成立資通安全推動組織，負責推動、協調監督及審查資通安全管理事項？推動組織層級之適切性，且業務單位是否積極參與？項目要求
20
資安法實施前，各機關學校ISMS的範圍通常僅限於資訊單位，專章第一大項的要求為全校導入資訊安全管理系統(ISMS)，既然以全校為範圍，為了有效推動、監督與審查資安相關管理事項，資安推動組織成員應由全校各單位成員所組成。教育部「國立大專校院資通安全維護作業指引」也已要求，由資通安全長召集全校各單位主管或副主管，組成資安推動組織，且每年至少召開會議一次。
21
22
23
24
25
佐證資料準備方向(提供參考)
26
成員參與管審會議的紀錄，例如：最近一次會議記錄、含單位之簽到表、照片等。
27
28
29
30
31
佐證資料準備方向(提供參考)
32
與「全校」資安管理項目相關的會議紀錄，例如：議案討論紀錄、所審查資安管理項目、會議簡報或照片等。
33
⭐2.1是否訂定資通安全政策及目標，由管理階層核定，並定期檢視且有效傳達其重要性？如何確認人員瞭解機關之資通安全政策，以及應負之資安責任？項目要求
34
本項要求學校訂定資安政策及目標，並經過管審核定、檢視。公立大學在108年資安法實施後，即須以全校為範圍重新修訂、檢視資安政策以符合法規，私立大學因應本次資安專章要求，也應已完成資安政策的修訂與檢視。
35
36
37
38
39
佐證資料準備方向(提供參考)
40
108年後的修訂紀錄，例如：管審會議案、會議紀錄、文件修訂申請單、版次紀錄等。
41
👏🏽2.2是否訂定資通安全之績效評估方式(如績效指標等)，且定期監控、量測、分析及檢視？項目要求
42
有效性量測表同樣須注意，不應仍侷限於資訊單位業務，而應以全校為範圍設計量測項目。
43
44
45
46
47
佐證資料準備方向(提供參考)
48
有效性量測表。
49
50
51
52
53
佐證資料準備方向(提供參考)
54
審查紀錄，例如：管審會議議案、會議紀錄、文件修訂申請單等。
55
1-3 資通系統盤點⭐1.1是否界定機關之核心業務，完成資通系統之盤點及分級，且每年至少檢視 1 次分級之妥適性？項目要求
56
這一項目是資通安全責任等級分級辦法第11條以及應辦事項的要求，學校應盤點所有資通系統完成分級，並依系統等級執行資通系統防護基準的控制措施。教育部「國立大專校院資通安全維護作業指引」也要求，盤點範圍應包含全校各單位，以及IP網段內或網域名稱的系統。
57
學校應盤點包含全校各單位的資通系統，因此除資訊單位系統外，其他單位例如行政、教學、研究單位的系統也應盤點，並且明確識別資通系統為核心或非核心。完成各系統分級後，應實施防護基準的控制措施。考量不易查證資通系統防護基準執行情形，學校應至少掌握或記錄落實情形。
58
59
60
61
62
佐證資料準備方向(提供參考)
63
資通系統清冊摘要，欄位應包含核心、非核心。
64
全校系統盤點紀錄，例如：行政/教學/研究單位系統數量統計。
65
66
67
68
69
佐證資料準備方向(提供參考)
70
⭐4.1.1是否依本部110年12月30日函送之「國立大專校院資通安全維護作業指引」，學校辦理資通系統及資訊之盤點，盤點範圍應包含全校各單位。各校每年提交之「資通系統資產清冊」至少應包含落於各校IP網段內、或使用各校網域名稱之資通系統。 (國立大專校院適用)資通系統清冊，欄位應包含系統等級、防護基準落實情形之統計追蹤。
71
⭐4.1是否確實盤點資訊資產建立清冊(如識別擁有者及使用者等)，且鑑別其資產價值？項目要求
72
除了資通系統外，學校也應盤點所有資訊資產並鑑別資產的價值，以進行後續風險評鑑作業，考量難以立即完成全校範圍的盤點與風險評鑑作業，學校至少規劃包含軟體、硬體以及人員的作業。由於資訊資產盤點與後續的風險評鑑作業都應以全校為「範圍」，需要資產擁有者、使用者的參與，因此學校也應對全校人員進行教育訓練或宣導以加強人員認知，使盤點與風險評鑑作業能確實執行。
73
74
75
76
77
佐證資料準備方向(提供參考)
78
1.人員訓練紀錄，例如：宣導公文、教育訓練簡報或照片等。
79
2.執行或規劃紀錄，例如：管審會議紀錄、公告函文等。
80
81
82
83
84
佐證資料準備方向(提供參考)
85
1.人員訓練紀錄，例如：宣導公文、教育訓練簡報或照片等。
86
2.執行或規劃紀錄，例如：管審會議紀錄、公告函文等。
87
⭐4.1.2是否清查全機關物聯網設備，盤點範圍包含機關採購、公務使用之物聯網設備，並建立管理清冊？項目要求
88
這一項是教育部鑒於資安事件常見弱點，於臺教資(四)字第1100128345號函文要求學校，應盤點包含採購及公務使用的物連網設備，並落實相關安全控制措施。
89
90
91
92
93
佐證資料準備方向(提供參考)
94
1.人員訓練紀錄，例如：宣導公文、教育訓練簡報或照片等。
95
2.執行規劃紀錄，例如：管審會議紀錄、公告函文等。
96
97
98
99
100
佐證資料準備方向(提供參考)