公务人员保障暨培训委员会信息安全管理规范

公务人员保障暨培训委员会信息安全管理规范

壹、目的公务人员保障暨培训委员会(以下简称本会)为强化信息安全管理、确保业务永续运作，特订定本规范，俾利本会人员有所遵循。

贰、依据

一、考试院暨所属机关信息安全管理要点。

二、国家标准CNS17799。

参、信息安全政策为确保本会信息资料、系统、设备及网络通讯之安全，有效降低因人为疏失、蓄意或天然灾害等致信息资产遭不当使用、泄漏、窜改或破坏等之风险，应制定本会信息安全政策，以建立信息安全管理之方向。

一、信息安全定义信息安全为一系列有计画、持续性之控制措施，使本会信息资产得以妥善保护。

二、信息安全目标确保本会业务信息之机密性、完整性与可用性。

(一)机密性：确保被授权之人员才可使用信息。

(二)完整性：确保使用之信息正确无误、未遭窜改。

(三)可用性：确保被授权之人员能取得所需信息。

三、信息安全范围信息安全范围涵盖人员管理及信息技术面等领域。

四、信息安全政策内容

(一)信息安全规定必须遵守政府相关法规(如：刑法、国家机密保护法、专利法、商标法、著作权法、计算机处理个人数据保护法等)之规定。

(二)成立信息小组负责信息安全制度之建立及推动事宜。

(三)定期实施信息安全教育训练，宣导信息安全政策及相关实施规定。

(四)建立信息硬件设施及软件之管理机制，以统筹分配、运用全会资源。

(五)新信息系统应于建置前将信息安全因素纳入，防范危害系统安全之情况发生。

(六)建立计算机机房实体及环境安全防护措施，并定期施以相关保养。

(七)明确规范信息系统及网络服务之使用权限，防止未经授权之存取动作。

(八)订定信息安全内部稽核计画，定期检视本会人员个人计算机使用情形。

(九)订定信息安全灾变回复计画并实际演练，确保本会业务持续运作。

肆、信息安全组织

一、组织架构

(一)本会为统筹信息业务之整体规划、评估、督导、协调、推动及安全等事项，特设信息小组。

(二)信息小组置组长一人，由主任秘书兼任；副组长一人，由秘书室主任兼任；分析师、管理师、设计师各一人，分别由秘书室第三科科长、专员、科员兼任。

二、任务分工

(一)负责订定信息安全政策、计画与技术规范研议，如作业需要得邀请专家学者提供建议。

(二)协助业务单位办理信息系统之安全需求研议、使用管理与保护等事项。

(三)会同政风室与相关单位办理信息机密维护及内部查核管理事项。

(四)会同政风室办理信息安全事件之处理及通报。

(五)会同政风室人员参与考试院暨所属机关「资通安全处理小组」、「资通安全紧急应变小组」之管理机制。

伍、信息资产安全与处理流程

一、信息资产定义所谓信息资产，举凡人员、信息硬件设施、软件、资料文件与形象皆属之，均为组织业务持续运作之动力来源，需透过良好之管理机制予以保护。

(一)人员包括本会职员、技工、工友及业务委外人员。

(二)信息硬件设施包括基础环境设备(电力、消防、空调、网络布点、供水)、通讯设备(路由器、交换器、集线器、调制解调器、传真机)、计算机设备(服务器、个人计算机、笔记型计算机)、外围设备(打印机、扫瞄器、单枪投影机、光驱、光盘烧录机、磁带机、磁盘阵列)。

(三)软件包括应用软件、系统软件、发展工具软件、公用程序、项目开发系统。

(四)资料文件包括数据库、数据文件、系统文件、操作手册、教育训练教材、合约、信息计画与作业窗体等。

(五)形象包括本会全球信息网站资料之正确性与安全性。

二、安全分类

(一)信息资产之安全分类，依据相关法规与业务需要，区分为机密性、敏感性及一般性等三类。

(二)界定安全分类之责任，应由资料之原始产生者，或由该信息资产之拥有者负责。

(三)列入机密性或敏感性之信息资产，应予适当标示，以利使用者遵循。

(四)信息安全冲击程度为信息资产遭致破坏时对本会正常业务之影响范围：

1.「A级」：影响公共安全、社会秩序、人员生命财产。

2.「B级」：系统停顿，业务无法运作。

3.「C级」：业务中断，影响系统效率。

4.「D级」：业务短暂停顿，可立即修复。

三、风险评估评估资通讯硬件设施、软件、资料文件等信息资产可能遭受之威胁、本身之弱点、受到威胁时可能造成之冲击及其发生之可能风险，对于风险较高者应予妥适保护。

四、处理流程本会人员凡遇有可能危害信息资产之事件，应立即通知秘书室第三科，由信息人员判定对业务产生之冲击程度，并视情况依据信息安全灾变回复计画进行处理。如判定属资通安全事件，应另依规定向国家资通安全应变中心通报，并副知考试院资通安全联络人。

陆、人员管理与教育

一、人员管理

(一)本会人员如因业务需要须使用处理机密性或敏感性信息者，应经适当之安全评估，其评估由政风室会同秘书室办理。

(二)信息软硬件设施之管理、操作、维护事宜，任务

(二)信息软硬件设施之管理、操作、维护事宜，任务分派应予妥适规划，以明权责，并降低风险。

二、教育训练

(一)定期办理本会人员之信息安全教育训练，提高警觉性，进而强化本会信息安全防护能力。

(二)培育信息安全管理人才，不定期派员参加外部专业课程，增进应变能力。

(三)在同意及授权使用者存取系统前，应提供使用者适切之教育训练，以避免人为之不当操作。

(四)开辟内部行政网络信息安全专属单元，提供实时信息安全讯息。

柒、实体与环境安全

一、计算机机房管理

(一)计算机机房安全攸关全会业务之正常运作，应提供稳定之电力(含不断电系统)、消防、空调及供水等基础环境设施。

(二)本会服务器与对外通讯设备均应置放于计算机机房内，并设置门禁刷卡管制，本会人员未经授权，不得擅自进入机房使用任何设备。

(三)计算机机房内之设备均应固定位置，对外通讯设备一律采用机架固定；服务器亦应依配置放于计算机桌上，计算机机房之设备不得擅自移动或携出。

(四)计算机机房应严禁烟火，不得携带饮料、食物进入，并应定期进行机房之清洁。

(五)计算机机房由秘书室第三科负责管理，应指定专人于上班日依机房日志所列项目查核电力、空调、通讯、消防及资料备份等相关设备。

(六)厂商如需进入计算机机房进行例行维护，应由秘书室第三科人员现场陪同处理，维护时不得干扰或危害计算机机房之正常运作。

二、办公区域管理

(一)配置于办公区域之信息硬件设施，包括个人计算机、打印机、扫瞄器、集线器等，业务单位应指定专人保管，且不得擅自移动或携出。

(二)信息硬件设施发生故障时，应立即通知秘书室第三科处理，使用人员不得径自拆卸。

(三)秘书室第三科应每年依据信息硬件设施使用年限、使用情况，进行评估，统筹办理汰换事宜。

(四)办公区域信息电源插座(三孔)与不断电系统相连结，仅限个人电脑使用，严禁私接其余电器。

(五)办公区域之信息硬件设施之电源，应于下班前确实关闭。

三、办公桌面管理

(一)采用办公桌面净空方式，公文或储存媒体(磁盘、光盘片)在不使用或下班时使用人员应存放在柜子内，如涉机密性与敏感性资料则应上锁，以免遭人窃取。

(二)本会人员使用之个人计算机应设定开机通行密码，并启用屏幕保护密码之功能，降低作业中资料文件遭窃取、破坏等风险。

四、设备汰换管理

(一)秘书室应于年度前依据信息硬件设施使用年限、使用情况编列经费概算，配合年度预算办理相关汰换事宜。

(二)办理汰换或移作他用之个人计算机储存媒体设备(如硬盘)应详加检查，以避免业务资料外泄。

捌、网络安全管理

一、防火墙管理

(一)本会与外界网络连接之网点，应架设防火墙，以有效控管外界网络与会内网络间之数据传输与资源存取过程，提高会内网络之安全。

(二)本会除全球信息网系统服务器建置于防火墙上之DMZ区，其余业务用服务器一律建置于防火墙内。

(三)防火墙应由系统控制台登入，严禁自外界网络以远程登入方式进行操控，以确保防火墙自身安全。

(四)防火墙之版本应适时更新，以因应各种层出不穷之网络攻击模式。

(五)上班日应检视防火墙之纪录文件，同时依实际状况调整防火墙管理政策，以确保发挥安全控管功能。

(六)公务需使用对外特殊网络联机服务时，应经申请核准后，由秘书室第三科开放防火墙权限后方可使用。

二、服务器管理

(一)实时依据操作系统厂商提供之修补程序更新服务器使用版本，降低弱点遭攻击之风险。

(二)本会所有服务器均应安装防毒软件，以阻绝病毒入侵、破坏，保护公用数据之存取。

(三)本会所有服务器之操作均应输入密码，并严禁自外界网络以远程登入方式进行操控，避免遭骇客远程攻击。

三、个人计算机管理

(一)本会人员每日上班使用个人计算机前，应检查防毒软件之实时监控状态与病毒码更新功能是否有效。

(二)个人计算机浏览器之对外安全等级应至少设为「中安全性」，以防止外部网站恶意程序代码之攻击。

(三)个人计算机遭病毒攻击时，应立即停止作业并关闭其电源，尽速通知秘书室第三科派员处理。

(四)个人计算机档案资料夹开放分享功能，应设定密码以限制存取对象，减低资料遭泄露、窜改之风险。

(五)本会人员不得利用职务之便，透过个人计算机窃取、篡改、删除资料，非经同意不得私自烧录文书资料，以免触犯刑责。

(六)本会计算机系供业务使用，本会人员严禁上网发表与业务无关之言论。

四、软件下载管理

(一)本会人员严禁经由网际网络下载任何非法软件。

(二)本会人员如需经由网际网络下载软件，应请秘书室第三科先行扫瞄及测试，确认无虞后方可安装、执行。

五、电子邮件管理

(一)电子邮件服务器应设定为禁止转信，防止利用本会电子邮件服务器转寄非法电子邮件。

(二)电子邮件服务器上应对使用者空间加以限制，避免遭邮包炸弹攻击，保障全会电子邮件正常收送。

(三)机密性之资料文件不得以电子邮件传送；非机密性资料如需以电子邮件传送，应视需要以适当之加密或电子签章等安全技术处理。

(四)非本会人员不得申请设立电子邮件帐号。

(五)本会人员离职，应即删除其电子邮件帐号。

(六)电子邮件附加之档案，应先以防毒软件扫毒后再并电子邮件传送。

(七)本会对外开放之公务电子信箱，包括主委信箱、保障信箱、培训信箱、政风信箱，其处理方式，应依公务人员保障暨培训委员会电子信箱处理作业注意事项规定办理。

玖、系统存取控制

一、信息系统存取控制

(一)本会信息系统存取控制权限之需求，应先由使用单位提出，再与秘书室第三科研讨后决定系统存取政策及授权规定，并以书面、电子或其它方式告知使用人员相关权限及责任。

(二)信息系统之使用单位须依系统存取政策及授权规定向秘书室第三科提出申请，再由该信息系统管理人员赋予使用人员必要之系统存取权限。

二、使用人员存取管理

(一)对于多人使用之信息系统，应建立使用人员注册管理程序，确保使用人员被授权程度与承办业务相称，并符合信息安全政策。

(二)信息系统使用人员离职，应即删除其系统存取权限。

(三)信息系统使用人员应善尽保管个人通行密码之责任，避免将通行密码记录于书面上或张贴于易泄漏秘密之场所。

(四)使用人员通行密码管理原则

1.通行密码长度至少六个字符。

2.通行密码至少每半年更新一次。

3.通行密码宜采英文字母、数字与特殊符号混合。

4.通行密码应避免具有意涵之内容，如姓名、出生日期、国民身分证统一编号、车牌号码等，或密码与帐号相同。

5.如有迹象显示通行密码可能遭破解时，应立即更改密码，并通知秘书室第三科处理。

三、系统存取权限检讨

(一)应定期检讨及评估使用人员之存取权限，以有效控管资料及信息系统之存取。

(二)信息系统存取权限评估，以每六个月评估一次为原则，以防止未经正式的授权程序取得权限之情事发生。

拾、系统开发与维护

一、系统安全需求规划

(一)自行或委外开发信息系统时，均应在系统规划阶段，将信息安全需求纳入考量，列入系统功能中。

(二)信息安全需求程度应和信息资产价值相称，并考量安全措施不足时，可能对业务带来之危害。

(三)信息安全需求分析考量事项

1.评估保护信息之机密性、完整性与可用性之配合事项。

2.重要资料应在数据处理过程之每一阶段或特定阶段进行检查，以保护资料之正确性。

3.重要资料之异动或删除动作，应写入事件纪录中，俾供查核。

4.机密性或敏感性资料应予保护，防止泄漏或被窜改，必要时应使用资料加密等技术。

5.应订定信息系统之回复作业程序，尤其是对高使用率之系统应有妥适的回复措施。

二、系统变更安全管制

(一)被授权之使用者，始得提出信息系统之变更需求。

(二)实际执行变更作业前，其细项建议，应经单位主管核准。

(三)信息系统完成变更作业后，原提出变更需求之使用者应逐项检核与确认。

(四)信息系统相关文件应在每次完成变更作业后，同步配合更新。

(五)信息系统变更作业需求，皆应建立书面资料，以利事后查核。

(六)信息系统变更时，应保留旧版之信息系统，以作为紧急回复之用。

三、其它配合事项

(一)本会与厂商签订信息系统维护合约时，应列入保密条款。

(二)委托厂商建置或维护信息系统时，应由秘书室第三科人员陪同，并负责监督。

(三)对厂商指派之维护人员，应规范并限制其可接触之信息系统与资料范围，并严禁核发长期性之帐号及通行密码。

拾壹、业务永续运作一、业务永续运作规划

(一)依据信息系统之资料属性、规模，由秘书室第三科会同使用单位建置资料之例行备份机制与相关设备，以降低人为或意外所造成资料毁损之风险。

(二)例行备份之资料至少保留三代以上，储存媒体(光盘片或磁带)除置于本会安全处所外，并应与考试院信息室定期实施异地储存。

(三)订定信息安全灾变回复计画，提供因故停止之信息系统回复正常运作之依据。

(四)信息系统之资料备份作业与信息安全灾变回复计画应由秘书室第三科定期测试及演练。

(五)资料备份作业机制与信息安全灾变回复计画应定期评估、调整，以确保业务永续运作之有效性。

二、内部查核作业

(一)计算机机房日志应依查核项目详实记载，每月送交秘书室主任核阅，并至少保留一年以上。

(二)本会人员日常使用之个人计算机，应依照公务人员保障暨培训委员会个人计算机管理要点规定操作。

(三)订定信息安全内部稽核计画，并会同政风室定期检视个人电脑使用情况。

拾贰、其它一、信息小组每年应参考政府信息安全管理政策、法令、技术与本会业务状况，对本规范进行独立、客观评估，以落实信息安全作业。

二、本规范须以书面、电子或其它方式公布，俾便本会人员了解在信息安全上之角色与责任归属。