文件編號：NTCUST-ISMS-A-001  

機密等級：一般  

版    次：1.0  

發行日期：113.11.4

1 目的
作為本校資通安全管理制度(以下簡稱ISMS)相關管理辦法以及作業程序之參考依據。同時沿用國際標準組織(ISO)所訂定之持續改善P.D.C.A.循環流程管理模式並符合國際標準資訊安全管理系統(ISO 27001)，整合及強化資通安全管理體系，建立制度化、文件化及系統化之管理機制，持續監督及審查管理績效，以落實資通安全管理及業務持續營運之理念。
2 適用範圍
本政策適用範圍為本校之全體人員、委外服務廠商與訪客等。

3 目標

為維護本校資訊資產之機密性、完整性與可用性，並保障使用者資料隱私之安全，期藉由本校全體同仁共同努力以達成下列目標：

3.1 保護本校業務服務之安全，確保資訊需經授權人員才可存取資訊，以確保其機密性。

3.2 保護本校業務服務之安全，避免未經授權的修改，以確保其正確性與完整性。

3.3 建立本校業務永續運作計畫，以確保本校業務服務之持續運作。

3.4 確保本校各項業務服務之執行須符合相關法令或法規之要求。

4 責任

4.1 本校應成立資通安全組織統籌資通安全事項推動。

4.2 管理階層應積極參與及支持資訊安全管理制度，並透過適當的標準和程序以實施本政策。

4.3 本校全體人員、委外服務廠商與訪客等皆應遵守本政策。

4.4 本校全體人員及委外服務廠商均有責任透過適當通報機制，通報資通安全事件或弱點。

4.5 任何危及資通安全之行為，將視情節輕重追究其民事、刑事及行政責任或依本校之相關規定進行議處。

5 管理指標

為確保本校各項資通安全之管理品質及運作效率能持續不斷提升，應擬訂各項資訊安全管制目標與措施，並檢討確認其可行性與有效性。同時，為評量資訊安全管理目標達成情形，特訂定資訊安全管理指標如下：

5.1 定量化指標

      5.1.1 蒐集單位內資通安全相關之管理數據與資料，並加以統計分析作為資訊安全目標之設定及審核之參考依據。

      5.1.2 資訊安全目標應考量各單位之特性及能力，並應針對各項資安作業之機密性、完整性及可用性分別擬定適合本校之資訊安全管理目標。

      5.1.3 將重要資訊安全管控流程尋找適當監測點，列入資訊安全目標持續監測。

5.2 定性化指標

      5.2.1 應定期審查本校資訊安全組織人員執掌，以確保資通安全工作之推展。

      5.2.2 應符合主管機關之要求，依員工職務及責任提供適當之資通安全相關訓練。

      5.2.3 應加強本校資訊機房設施之環境安全，採取適當之保護及權限控管機制。

      5.2.4 應確保資訊不因傳遞過程，或無意間之行為，透漏給未經授權之第三者。

      5.2.5 應加強存取控制，防止未經授權之不當存取，以確保本校資訊資產已受適當之保護。

      5.2.6 本校資訊系統開發應考量安全需求，並定期稽核安全弱點。

      5.2.7 應確保所有資通安全事件或可疑之安全弱點，均依循適當之通報機制向上反應，並予以適當調查及處理。

6 審查

本政策應每年至少審查乙次，以反映政府法令、技術及業務等最新發展現況，並確保本校業務永續運作之能力。

7 實施

1.本政策經「資訊治理管理委員會」核定後實施，修訂時亦同。 2.本校入口網站所公告之「資通安全政策」為彙整重要資訊之版本，內容如附件一所示。

8 附件

1. 「資通安全政策」網站公告版。