浏览人次:
23620037
资讯安全政策
目的
作为本所资讯安全管理系统(以下简称ISMS)相关管理办法以及作业程序之参考依据。同时沿用国际标准组织(ISO)所订定之持续改善P.D.C.A.循环流程管理模式，整合及强化资通安全管理体系，建立制度化、文件化及系统化之管理机制，持续监督及审查管理绩效，以落实资通安全管理及业务持续营运之理念，并达到以下之目标：
- 建立、落实及维护资通安全管理政策。
- 确保本所所属之资讯资产之机密性、完整性及可用性，使其免于遭受内、外部的蓄意或意外之威胁，以符合相关法令法规之要求。
适用范围
资通安全管理涵盖14项管理事项，避免因人为疏失、蓄意或天然灾害等因素，导致资料不当使用、洩漏、窜改、破坏等情事发生，对本所带来各种可能之风险及危害。管理事项如下：
- 资通安全管理政策制定及评估。
- 资通安全组织之职责与分工。
- 人力资源安全。
- 资讯资产管理。
- 存取控制。
- 密码控制。
- 实体与环境安全。
- 作业安全。
- 通讯安全。
- 资讯系统获取、开发及维护。
- 供应商关系。
- 资通安全事件管理。
- 营运持续管理的资通安全层面。
- 法规遵循性。
资通安全管理目标(follow资通安全维护计画资通安全目标)
- 确保本所保管资料之机密性、完整性与可用性，防止非法使用。
- 确保本所提供资讯服务之完整性与可用性，提供全所员工便利和稳定的资讯服务。
- 确保本所提供软硬件资源之可用性，合法及正确地使用。
资通安全责任
- 本所管理阶层负责建立及审查政策。
- 资通安全推行小组透过适当的标准和程序以实施本政策。
- 所有人员与契约委外厂商均须依照程序以维护资通安全管理政策。
- 所有人员有责任通报及处理安全事件和任何已鑑别出的弱点。
- 任何蓄意违反资通安全的行为将受到相关规范或法律行动。
资通安全政策之审查及实施
- 审查
本政策每年应至少评估检讨一次，以反映本所资通安全需求、政府法令法规、外在网络环境变化及资通安全技术等最新发展现况，以确保其对于维持营运和提供适当服务的能力。
本政策如遇重大改变时应立即审查，以确保其适当性与有效性。必要时应告知相关单位及委外厂商，以利共同遵守。 - 本政策经资通安全长核准，于公告日施行，并以书面、电子或其他方式通知本所所属职员及与本所连线作业之有关机关（构）、委外厂商，修正时亦同。