桃園縣楊梅鎮戶政事務所資訊安全管理宣告

中華民國97年6月13日訂定　

一、

依據：

本宣告係依據「行政院及所屬各機關資訊安全管理要點」、「行政院及所屬各機關資訊安全管理規範」相關規定辦理。

二、

目的：

為考量本所業務需求及強化資訊安全管理、確保資訊的機密性、完整性與可用性、資訊設備（包括電腦硬體、軟體、週邊）與網路系統之可靠性以及同仁對資訊安全之認知，以確保上述資源免受任何因素之干擾、破壞、入侵、或任何不利之行為與企圖，特訂定本宣告。

三、

為統一資訊安全管理等事項之協調、規劃、稽核及推動，成立資訊安全處理小組。

四、

配賦有關人員權責：

(一)

資訊安全政策、計畫及技術規範之研議、建置及評估等事項，由本所資管人員負責辦理。

(二)

資料及資訊系統之安全需求研議、管理及保護等事項，由本所各業務人負責辦理。

(三)

資訊機密維護及安全稽核等事項，由兼辦本所政風業務之楊梅鎮公所政風室會同本所相關單位負責辦理。

五、

本宣告之範圍如下，有關單位及人員應就下列事項訂定相關管理規範或實施計畫，並定期評估實施成效：

(一)

人員管理及資訊安全教育訓練。

(二)

電腦系統安全管理。

(三)

網路安全管理。

(四)

系統存取控制。

(五)

系統發展及維護安全管理。

(六)

資訊資產安全管理。

(七)

實體及環境安全管理。

(八)

業務永續運作計畫之規劃與管理。

六、

人員管理及資訊安全教育訓練：

(一)

對資訊相關職務及工作，應進行安全評估，並於人員進用、工作及任務指派時，審慎評估人員之適任性，並進行必要的考核。各業務主管人員，應負責督導所屬員工之資訊作業安全，防範不法及不當行為。

(二)

針對管理、業務及資訊等不同工作類別之需求，指派同仁參加相關研習，並不定期辦理資訊安全教育訓練及宣導，建立員工資訊安全認知，提升資訊安全水準。

七、

電腦系統安全管理：

(一)

依相關法規或契約規定複製及使用軟體，並建立軟體使用管理制度。

(二)

採行必要的事前預防及保護措施，偵測及防制電腦病毒及其他惡意軟體，確保系統正常運作。

(三)

對各種系統變更作業，應建立控管制度，並建立紀錄，以備查考。

(四)

採購資訊軟硬體設施，應依國家標準或權責主管機關訂定之政府資訊安全規範，研提資訊安全需求，並列入採購規格。

八、

網路安全管理：

(一)

開放外界連線作業之資訊系統，應視資料及系統之重要性及價值，採用安全措施。

(二)

與外界網路連接之網點，應以防火牆及其他必要安全設施，控管外界與內部網路之資料傳輸與資源存取。

(三)

利用網際網路及全球資訊網公布及流通資訊，應實施資料安全等級評估，機密性、敏感性及未經當事人同意之個人隱私資料及文件，不得上網公布。

(四)

訂定電子郵件使用規定，機密性資料及文件不得以電子郵件或其他電子方式傳送。

(五)

為避免網路使用者不慎違反本所相關網路安全規定，網路管理人員可考慮以相關網路技術以不干擾正常網路使用為原則下，主動管制違反本所相關網路規定之使用者。

九、

系統存取控制：

(一)

訂定系統存取政策及授權規定，並以書面、電子或其他方式告知員工及使用者之相關權限及責任。

(二)

離職人員，應立即取消各項資訊資源之所有權限，並列入離職之必要手續。人員職務調整及調動，應依系統存取授權規定，限期調整其權限。

(三)

建立資訊安全稽核制度，定期或不定期進行資訊安全稽核作業。

十、

系統發展及維護安全管理：

(一)

自行開發或委外發展系統，應在系統生命週期之初始階段，即將資訊安全需求納入考量；系統之維護、更新、上線執行及版本異動作業，應予安全管制，避免不當軟體、暗門及電腦病毒等危害系統安全。

(二)

對廠商之軟硬體系統建置及維護人員，應規範及限制其可接觸之系統與資料範圍，並嚴禁核發長期性之系統辨識碼及通行密碼。如基於實際作業需要，得核發短期性及臨時性之系統辨識及通行密碼供廠商使用，但使用完畢後應立即取消其使用權限。

(三)

委託廠商建置及維護重要之軟硬體設施，應在本所使用課室相關人員監督及陪同下始得為之。

十一、

實體及環境安全管理：

就設備安置、周邊環境及人員進出管制等，訂定實體及環境安全管理措施。

十二、

業務永續運作計畫之規劃與管理：

(一)

訂定資通安全緊急應變暨處理程序運作相關計畫，評估各種人為及天然災害對業務運作之影響，訂定緊急應變及回復作業程序及相關人員之權責，並定期演練及調整更新計畫。

(二)

建立資訊安全事件緊急處理機制，在發生資訊安全事件時，應依規定之處理程序，立即向資訊單位或人員通報，採取反應措施，並聯繫檢警調單位協助偵查。

(三)

依相關法規，訂定及區分資料安全等級，並依不同安全等級，採取適當及充足之資訊安全措施。

十三、

本政策應至少每年評估一次，以反映政府法令、技術及業務等最新發展現況，確保資訊安全實務作業之有效性。

十四、

本資訊安全政策奉本所主任核可後實施，修正時亦同。