填表日期： 年 月 日 稽 核 單 位 ：
稽 核 地 點 ：
參 考 條 款 ： 國 中 小 資 通 安 全 管 理 系 統 實 施 原 則 （ 中 華 民 國96年5月30日 版 ） 、 教 育 機 構 個 人 資 料 保 護 工 作 事 項 （ 教 育 部 100年 度 提 升 校 園 資 訊 安 全 服 務 計 畫 ）
稽 核 日 期 ：
稽 核 範 圍 ： 校 内 電 腦 、 資 訊 與 網 路 服 務 相 關 的 系 統 、 設 備 、 程 序 、 及 人 員 。
適 用 對 象 ：
本 稽 核 表 之 設 計 主 要 參 照「 國 中 小 資 通 安 全 管 理 系 統 實 施 原 則 」及「 教 育 機 構 個 人 資 料 保 護 工 作 事 項 」
（ 以 下 簡 稱 規 範 ） 之 内 涵 ， 並 沿 用 規 範 所 定 義 之 適 用 範 圍 與 對 象 。 本 表 適 用 對 象 爲 南 投 縣 國 民 中 、 小 學 。
評 分 標 準 説 明 ：
Ａ ： 相 關 資 訊 安 全 與 個 資 管 理 制 度 規 範 已 建 立 ， 且 落 實 執 行
Ｂ ： 相 關 資 訊 安 全 與 個 資 管 理 制 度 規 範 未 建 立 ， 但 已 實 施 替 代 性 資 安 控 管 措 施 Ｃ ： 相 關 資 訊 安 全 與 個 資 管 理 制 度 規 範 已 建 立 ， 但 未 落 實 執 行
Ｄ ： 相 關 資 訊 安 全 與 個 資 管 理 制 度 規 範 未 建 立 ，且未 實 施 替 代 性 資 安 控 管 措 施 Ｅ ： 不 適 用
章 節 Ａ Ｂ Ｃ Ｄ Ｅ Ａ Ｂ Ｃ Ｄ Ｅ 1 網 路 安 全
1.1 網 路 控 制 措 施 1.1.1
對 外 連 線
學 校 與 外 界 連 線，應 經 由 學 術 網 路 之 管 控，以 符 合 一 致 性 與 單 一 性 之 安 全 要 求。若 有 其 他 連 外 線 路，必 須 經 過 學 校 資 安 設 備 （ 例 如 防 火 牆 ） 控 管 。
1.1.2
學 校 內 特 殊 系 統 連 線
架 設 於 校 內 主 機 之 行 政 系 統
（ 例 如 健 康 系 統 、 差 假 系 統 、 圖 書 系 統、 國 中 學 籍、國 中 成 績 系 統 等 ）之 資 料， 當 有 必 要 透 過 網 路 進 行 傳 輸 時，須 經 由 虛 擬 私 有 網 路（Virtual Private Network, VPN）或 同 等 連 線 方 式（ 例 如 加 密 ）進 行 ； 若 無 須 透 過 網 路 進 行 傳 輸 需 求 時，則 建 議 區 隔 於 網 際 網 路 之 外 。
1.1.3
禁 止 電 話 線 連 結
禁 止 以 電 話 線 （ 撥 接 數 據 機 ） 連 結 主 機 電 腦 或 網 路 設 備 。
1.2 網 路 安 全 管 理 服 務 委 外 廠 商 合 約 之 安 全 要 求
1.2.1
保 密 條 款 之 簽 訂
委 外 開 發 或 維 護 廠 商 必 須 簽 訂 安 全 保 密 切 結 書，確 保 其 了 解 應 有 之 資 安 責 任 與 相 關 限 制[參 考 文 件 編 號A-01]。
1.2.2
委 外 合 約 之 簽 訂
個 人 資 料 檔 案 若 委 外 建 檔，應 於 委 外 合 約 中 載 明 所 處 理 之 個 人 資 料 保 密 義 務、資 訊 安 全 相 關 責 任 及 違 反 之 罰 則 。
2. 系 統 安 全 2.1 職 責 區 隔
2.1.1 主 機 區 隔
學 校 主 機 電 腦 可 依 網 路 服 務、行 政 使 用 與 個 別 應 用 系 統 之 需 要 做 區 隔 ， 設 置 專 屬 電 腦 。
2.1.2
行 政 系 統 主 機 管 理
學 校 的 行 政 系 統 主 機（ 例 如 財 產 、 人 事 、 公 文 系 統 等 ）， 系 由 縣 府 各 主 管 單 位 統 籌 管 理 。
2.1.3
資 訊 系 統 開 發 之 安 全 需 求
自 行 開 發 或 委 外 處 理 個 人 資 料 檔 案 之 資 訊 系 統，應 在 系 統 開 發 生 命 週 期 之 初 始 階 段，將 個 人 資 料 檔 案 的 安 全 需 求 納 入 考 量（ 如 ： 邏 輯 測 試 ）； 系 統 之 維 護 、 更 新 、 上 線 、 及 版 本 異 動 等 作 業 ， 應 予 安 全 管 制 ， 避 免 危 害 個 人 資 料 安 全 。
2.1.4
遠 端 登 入 之 控 管
宜 避 免 允 許 維 護 人 員 或 系 統 服 務 廠 商 以 遠 端 登 入 方 式 進 行 牽 涉 個 人 資 料 的 資 訊 系 統 維 護 或 其 他 有 關 之 運 作；若 需 使 用 遠 端 登 入 方 式 進 行 維 護 ， 則 應 透 過 加 密 通 道 進 行
（ 如 ：HTTPS、SSH等 ） 。
2.1.5
含 個 資 系 統 之 保 護 與 控 管
自 行 開 發 或 委 外 處 理 個 人 資 料 檔 案 之 資 訊 系 統，應 將 個 人 資 料(包 含 測 試 用 個 人 資 料)施 予 妥 善 之 保 護 與 控 管 。
2.1.6 個 資 監 測平台
各 相 關 網 站 每 年 至 少 至 教 育 機 構 防 洩 漏 個 資 掃 描 平 台 進 行 一 次 掃 描，避 免 洩 漏 個 人 資 料 。
2.2 對 抗 惡 意 軟 體 、 隱 密 通 道 及 特 洛 依 木 馬 程 式
2.2.1 防 毒 軟 體 更 新
學 校 內 的 個 人 電 腦 應：裝 置 防 毒 軟 體，將 軟 體 設 定 為 自 動 定 期 更 新 病 毒 碼；或 由 伺 服 器 端 進 行 病 毒 碼 更 新 的 管 理，並 應 每 週 執 行 排 程 掃 瞄； 定 期（ 至 少 每 個 月 ）進 行 系 統 程 式 更 新 作 業，以 防 範 作 業 系 統 及 應 用 程 式 之 漏 洞 。
2.2.2 軟 體 授 權
學 校 內 個 人 電 腦 所 使 用 的 軟 體 應 有 授 權
2.2.3 新 系 統 啟 用
新 系 統 啟 用 前，應 經 過 掃 毒 與 更 新 系 統 密 碼 程 序，以 防 範 可 能 隱 藏 的 病 毒 或 後 門 程 式 。
2.2.4 弱 點 掃 描
各 相 關 網 站 每 年 至 少 進 行 一 次 網 站 弱 點 監 測 平 台 掃 描，並 完 成 弱 點 修 補 。
2.3 備 份 作 業 之 控 管
2.3.1 系 統 備 份
學 校（ 或 委 託 ）系 統 管 理 人 員 需 針 對 學 校 重 要 系 統（ 例 如 系 統 檔 案、應 用 系 統、資 料 庫 等 ） 定 期 進 行 備 份 工 作，或 採 用 自 動 備 份 機 制；週 期 為 每 月 進 行 一 次 。
2.3.2 異 機 備 份
資 料 檔 如 有 異 動，至 少 每 月 異 機 備 份 。
2.4 操 作 員 日 誌
2.4.1
系 統 管 理 者 與 作 業 人 員 之 紀 錄
學 校（ 或 委 託 ）系 統 管 理 人 員 需 針 對 敏 感 度 高、或 包 含 特 殊 資 訊 的 電 腦 系 統 進 行 檢 查、維 護、 更 新 等 動 作 時， 應 針 對 這 些 活 動 填 寫 日 誌 予 以 紀 錄，作 為 未 來 需 要 時 之 檢 查 。
2.4.2 記 錄 日 誌 內 容
日 誌 內 容 可 包 含 以 下 各 項 ： 系 統（ 例 行 檢 查、維 護、更 新 ） 活 動 的 起 始 時 間、系 統 錯 誤 內 容 和 採 取 的 改 正 措 施。[參 考 文 件 編 號A-02]
紀 錄 日 誌 項 目 人 員 姓 名 與 簽 名 欄
2.4.3 系 統 時 鐘 同 步
應 定 期 校 正 系 統 作 業 時 間，維 持 系 統 稽 核 紀 錄 的 正 確 性 及 可 信 度，作 為 事 後 法 律 上 或 是 紀 律 處 理 上 的 重 要 依 據 。
2.5 個 人 資 料 存 取 限 制 2.5.1 安 全 保
護
個 人 資 料 檔 案 應 以 安 全 的 方 式 保 護 ， 例 如 ： 加 密 。
2.5.2 傳 輸
交 換 個 人 資 料 檔 案 時，應 對 資 料 檔 案 加 密，亦 或 是 透 過 加 密 通 道 傳 送 。
2.5.3 存 放
個 人 資 料 禁 止 存 放 於 網 路 芳 鄰 分 享 目 錄 ， 並 停 用 Guest 帳 號 。
2.5.4 設 備 隔 絕
存 放 個 人 資 料 之 資 訊 設 備 應 與 外 部 網 路 隔 絕 或 以 資 安 設 備 保 護 。
2.6 使 用 者 註 冊
2.6.1
使 用 者 註 冊 之 管 理
學 校 應 制 定 行 政 系 統（ 如 公 文 管 理 系 統、 勞 健 保 ）使 用 的 使 用 者 註 冊 及 註 銷 程 序[參 考 文 件 編 號A-03、A-04]， 透 過 該 程 序 來 控 制 使 用 者 資 訊 服 務 的 存 取，該 作 業 應 包 括 以 下 內 容 ：
使 用 唯 一 的 使 用 者 識 別 碼
（ID） 。
檢 查 使 用 者 是 否 經 過 系 統 管 理 單 位 之 授 權 使 用 資 訊 系 統 或 服 務 。
保 存 一 份 包 含 所 有 識 別 碼 註 冊 的 記 錄 。
使 用 者 調 職 或 離 職 後，應 移 除 其 識 別 碼 的 存 取 權 限 。
2.6.2 定 期 清 查 帳 號
定 期（ 每 學 期 至 少 一 次 ）檢 查 並 取 消 多 餘 的 使 用 者 識 別 碼 和 帳 號 。
定 期 （ 建 議 每 學 期 至 少 一 次 ） 檢 查 新 增 之 帳 號，若 有 莫 名 帳 號 產 生 ， 應 關 閉 帳 號 權 限 。
2.6.3 人 員 異 動
處 理 個 人 資 料 檔 案 之 人 員，其 職 務 如 有 異 動，應 將 所 保 管 之 儲 存 媒 體 及 有 關 資 料 列 冊 移
交 [參 考 文 件 編 號A-05] ， 接
辦 人 員 除 應 於 相 關 系 統 重 置 通 行 碼 外，應 視 需 要 更 換 使 用 者 識 別 帳 號 。
2.6.4 離 職 註 銷
處 理 個 人 資 料 檔 案 之 人 員，應 簽 訂 保 密 切 結 書[參 考 文 件 編
號A-06]， 並 確 認 於 離 職 時 或
合 約 終 止 時 取 消 或 停 用 其 使 用 者 識 別 帳 號，且 收 繳 其 通 行 證 及 相 關 證 件 。
2.7 特 權 管 理
2.7.1
文 件 化 存 取 特 權 人 員
學 校 的 電 腦 與 網 路 系 統 資 訊 具 存 取 特 權 人 員（ 系 統 管 理 人 員 ）清 單、及 其 所 持 有 的 權 限 說 明 ， 應 予 文 件 化 記 錄 備 查 。
2.7.2 權 限 區 隔
採 取 權 限 區 隔，非 專 責 處 理 特 定 個 人 資 料 者 不 得 具 有 存 取 或 查 閱 個 人 資 料 之 權 限 。
2.8 通 行 碼 之 使 用 2.8.1 避 免 共
用 帳 號
資 訊 系 統 與 服 務 應 避 免 使 用 共 同 帳 號 及 通 行 碼 。
2.8.2
通 行 碼 之 設 定 原 則
由 學 校 發 佈 通 行 碼（Password）
制 定 與 使 用 規 則 給 使 用 者，參 考 優 質 通 行 碼 設 定 原 則 與 使 用 原 則[參 考 文 件 編 號A-07]， 應 包 含 以 下 各 項 ：1.使 用 者 應 對 其 個 人 所 持 有 通 行 碼 盡 保 密 責 任 。2.要 求 使 用 者 的 通 行 碼 設 定，避 免 使 用 易 於 猜 測 之 數 字 或 文 字，及 過 多 的 重 複 字 元 等 。
2.8.3 多 帳 號 通 行 碼
因 特 殊 需 要 擁 有 多 個 帳 號 時，可 考 慮 使 用 一 組 複 雜 但 相 同 的 通 行 碼 。
2.8.4 通 行 碼 設 置
處 理 個 人 資 料 檔 案 之 資 訊 設 備，需 設 置 使 用 者 代 碼 及 通 行 碼 。
2.8.5 通 行 碼 變 更
通 行 碼 至 少 每 六 個 月 更 換 一 次 ， 通 行 碼 長 度 應 至 少8碼 ， 且 包 含 英 文 數 字 。
2.9 原 始 程 式 庫 之 存 取 控 制
2.9.1
原 始 程 式 庫 之 委 外 管 理
學 校 與 系 統 廠 商 間 的 合 約 應 加 註 對 原 始 程 式 庫 安 全 之 要 求 ， 防 範 資 料 庫 隱 碼
（SQL-injection） 問 題 ， 針 對
存 取 資 料 庫 程 式 碼 之 輸 入 欄 位 進 行 字 元 合 理 性 檢 查 。
2.10 通 報 安 全 事 件 與 處 理
2.10.1 內 外 之 通 報
學 校 應 建 立 資 訊 安 全 事 件 通 報 程 序[參 考 文 件 編 號A-08]以 及 安 全 事 件 通 報 單；資 安 事 件 應 即 刻 進 行 通 報，通 報 程 序 應 包 括 學 校 內 部 通 報，以 及 通 報 本 縣 教 育 網 路 中 心(資 安 通 報 應 變 平 台)。
2.10.2
通 報 程 序 之 公 告
訂 出 資 訊 安 全 事 件 通 報 程 序 應 公 布 於 校 園 內 使 用 電 腦 與 網 路 之 場 所 ， 提 供 使 用 者 瞭 解 。
3 實 體 安 全
3.1 設 備 安 置 及 保 護
3.1.1 實 體 環 境 安 全
學 校 重 要 的 資 訊 設 備（ 如 主 機 機 房 ）應 置 於 設 有 空 調 空 間 或 通 風 良 好 之 空 間。學 校 資 訊 設 備 主 機 機 房 、 電 腦 教 室 區 域 ， 應 設 置 滅 火 設 備，並 禁 止 擺 放 易 燃 物 、 或 飲 食 。
3.1.2 區 域 出 入 管 控
學 校 資 訊 設 備 主 機 機 房、電 腦 教 室 區 域，應 至 少 於 入 出 口 處 加 裝 門 鎖 或 其 他 同 等 裝 置 。
3.1.3
設 備 安 置 地 點 之 保 護 措 施
學 校 資 訊 設 備 主 機 機 房、電 腦 教 室 區 域 內 的 電 源 線 插 頭 應 有 接 地 的 連 結 、 或 有 避 雷 針 、 穩 壓 器、不 斷 電 等 裝 置，避 免 如 雷 擊 事 件 所 造 成 之 損 害 情 況 。
3.1.4 設 備 管 控
儲 存 個 人 資 料 之 資 訊 設 備 應 置 放 於 實 體 安 全 區 域（ 如：門 禁 控 管 之 辦 公 區 域 、 機 房 ） ， 避 免 有 心 人 士 或 非 授 權 人 員 存 取 。
3.1.5 儲 存 媒 體 管 控
儲 存 個 人 資 料 檔 案 之 相 關 儲 存 媒 體，應 指 定 專 人 管 理， 並 置 於 實 體 保 護 之 環 境（ 如：上 鎖 之 防 潮 箱 、 書 櫃 ）， 必 要 時 應 建 立 備 援 機 制，以 防 止 資 料 損 壞、遺 失 或 遭 竊 取。相 關 儲 存 媒 體 非 經 權 責 單 位 同 意 並 留 存 紀 錄 [ 參 考 文 件 編 號
A-09]， 不 得 任 意 攜 出 或 拷 貝
複 製 。
3.2 電 源 供 應
3.2.1 電 源 供 應
學 校 重 要 的 資 訊 設 備 應 有 適 當 的 電 力 設 施 與 電 源 保 護 措 施，以 免 斷 電 或 過 負 載 而 造 成 損 失 。
3.3 纜 線 安 全
3.3.1 佈 纜 的 安 全
學 校 資 訊 設 備 主 機 機 房、電 腦 教 室 區 域 內 地 板 上 應 盡 可 能 避 免 佈 明 線 。
3.4 設 備 與 儲 存 媒 體 之 安 全 報 廢 或 再 使 用
3.4.1
設 備 報 廢 與 再 使 用
資 訊 處 理 設 備 在 報 廢 與 再 使 用 前 ， 應 避 免 內 存 資 料 外 洩 ， 先 進 行 必 要 的 清 除 動 作，確 保 已 無 任 何 個 人 資 料、敏 感 資 料 和 授 權 軟 體 。
3.5 設 備 維 護
3.5.1 設 備 之 維 護
資 訊 處 理 設 備 應 予 以 適 當 的 維 護，確 保 其 持 續 運 作。若 委 外 服 務 應 與 設 備 廠 商 建 立 維 護 合 約 。
3.5.2 保 密 切 結
廠 商 進 入 安 全 區 域 需 簽 訂 安 全 保 密 切 結 書 。
3.5.3 專 人 陪 同
外 部 團 體 或 個 人 更 新 或 維 修 電 腦 設 備 時 ， 應 指 派 專 人 在 場，確 保 個 人 資 料 之 安 全 及 防 止 個 人 資 料 外 洩 。
3.6 財 產 攜 出
3.6.1
攜 出 授 權 與 登 記
當 有 必 要 將 設 備 或 授 權 軟 體 攜 出，應 檢 視 相 關 授 權，並 實 施 登 記 與 歸 還 記 錄[參 考 文 件
編 號A-10]。
3.7 桌 面 淨 空 與 螢 幕 淨 空 政 策
3.7.1
桌 面 淨 空 安 全 管 理
應 考 量 採 用 辦 公 桌 面 的 淨 空 政 策，以 減 少 具 有 機 密 或 敏 感 特 性 的 資 料 及 儲 存 媒 體 等 在 正 常 的 辦 公 時 間 之 外 遭 未 被 授 權 的 人 員 取 用、遺 失、竄 改 或 是 被 破 壞 的 機 會 。
3.7.2 電 腦 保 護 裝 置
學 校 提 供 教 職 員 工 或 學 生 使 用 的 個 人 電 腦 應 設 定 保 護 裝 置， 如 個 人 鑰 匙、個 人 密 碼 以 及 螢 幕 保 護，並 將 螢 幕 保 護 啟 動 時 間 設 定 為 15 分 鐘 以 內 。
4 人 員 安 全 4.1 資 訊 安 全 職 責
4.1.1 加 強 宣 導
於 學 校 重 要 會 議 上 宣 導 相 關 資 安 知 識，以 強 化 工 作 上 之 資 訊 安 全 意 識 。
4.1.2
禁 用 即 時 通 訊 軟 體 傳 輸 個 人 資 料 檔 案
禁 止 人 員 使 用 MSN或 其 他 即 時 通 訊 軟 體 傳 輸 個 人 資 料 檔 案 。
4.1.3
加 密 傳 輸 個 人 資 料 檔 案
使 用 外 部 網 頁 式 電 子 郵 件
(Webmail)傳 輸 個 人 資 料 檔 案
須 加 密
4.1.4
禁 止 使 用 P2P 軟 體
禁 止 人 員 使 用 點 對 點(P2P)軟 體 或 相 關 工 具 下 載 或 提 供 檔 案 分 享 。
4.1.5
禁 止 利 用 網 際 網 路 公 開 個 人 資 料
禁 止 人 員 在 社 群 網 站 、 部 落 格、公 開 論 壇 或 其 他 利 用 網 際 網 路 形 式 公 開 業 務 所 知 悉 之 個 人 資 料 。
4.2 資 訊 安 全 教 育 與 訓 練
4.2.1
管 理 人 員 資 安 教 育 訓 練
使 學 校（ 或 委 託 ）系 統 管 理 人 員 有 足 夠 能 力 執 行 日 常 基 礎 之 資 安 管 理 系 統 維 護 工 作，並 使 其 瞭 解 資 安 事 件 通 報 之 程 序，應 接 受 適 當 之 資 安 訓 練 與 有 關 資 安 政 策、程 序 之 宣 導 課 程 。
4.2.2
其 他 人 員 資 安 教 育 訓 練
學 校 鼓 勵 或 安 排 老 師 以 及 所 有 教 職 員 參 與 資 訊 安 全 與 個 人 資 料 教 育 訓 練 或 宣 導 活 動 ， 以 提 昇 資 訊 安 全 認 知 。
5 相 關 法 規 與 施 行 單 位 政 策 之 符 合 性 5.1 法 規 之 遵 守
5.1.1
適 用 法 規 之 宣 導
蒐 集 相 關 法 律 條 文（ 智 慧 財 產 權、 個 人 資 料 保 護 法、個 人 資 料 保 護 法 施 行 細 則、資 料 隱 私 保 護 及 其 他 相 關 法 規 ）[參 考 文 件 編 號A-11]、 了 解 與 資 訊 處 理 設 施、軟 體 系 統 的 關 係， 並 予 以 書 面 或 公 開 場 合 做 宣 導 。
自 評 簽 名 ： 自 評 日 期 ：
稽 核 員 ： 稽 核 日 期 ：
