資通安全政策

壹、說明

財政部國庫署（下稱本署）為強化資通安全管理，建立可信賴之各項資訊應用系統，提升本署作業之資通安全及服務品質，爰依據「國家機密保護法」、「資通安全管理法」、財政部及所屬機關構資通安全管理相關規範等相關法令與規定，依本署資訊業務性質，特訂定本資通安全政策及主題特定政策(如應用系統開發與維護、雲端服務管理、威脅情資管理等各程序書)為最高指導原則。

本署資通安全政策為「資通安全人人有責」，同仁應熟悉並遵循資通安全認知、資通安全法規，落實資通設備及系統之安全防護，以確保本署資通安全。

貳、目的

保護本署之業務、系統及資訊資產安全，免於因內部或外部之蓄意或意外之各種威脅與破壞，導致業務資訊遭受竄改、揭露、破壞或遺失等風險。

叁、適用範圍

本政策適用於本署全體同仁、往來廠商以及所有相關資訊資產之安全管理。

前揭範圍係依據「LI-4-102 內外部議題鑑別表」，鑑別影響資訊安全管理系統(Information Security Management System,ISMS)之內部與外部議題、關注方(相關利害團體)及其對資安的要求事項、本署履行之活動與其他機關履行活動間的界面及相依性後決定。

肆、定義

• 資通安全之本質大致可歸為以下3類：

(一)機密性－Confidentiality：

確保只有經授權且完成規定作業程序者，始可以存取或修正資訊。

(二)完整性－Integrity：

確保資訊與處理方法的準確度(accuracy)與完全性(completeness)。

(三)可用性－Availability：

確保經授權的使用者在需要時可以取得資訊及相關服務。

• 除了以上3項基本性質外，尚可依業務狀況考量認證性(authenticity)、可歸責性(accountability)、不可否認性(non-repudiation)或可靠性(reliability)，其說明如下：

(一)認證性－Authenticity：

確保使用者登入時有適當的驗證程序。

(二)可歸責性－Accountability：

確保使用者執行任何動作均有適當的軌跡可追蹤至執行者。

(三)不可否認性－Non-repudiation：

確保使用者無法否認於系統上完成的作業。

(四)可靠性－Reliability：

確保作業執行皆有一致結果。

三、財政部及所屬機關構資通安全相關管理規範，包含以下14種規定：

(一)「財政部及所屬機關構資通安全政策及組織管理規範」(二)「財政部及所屬機關構人員安全管理規範」

(三)「財政部及所屬機關構存取控制管理規範」

(四)「財政部及所屬機關構高權限帳號管理程序」

(五)「財政部及所屬機關構實體與環境安全管理規範」

(六)「財政部及所屬機關構資訊設備作業安全管理規範」

(七)「財政部及所屬機關構網路管理及使用規範」

(八)「財政部及所屬機關構網站安全管理規範」

(九)「財政部及所屬機關構行動設備安全管理規範」

(十)「財政部及所屬機關構電子郵件管理及使用規範」

(十一)「財政部及所屬機關構應用系統開發及維護安全管理規範」

(十二)「財政部及所屬機關構營運持續管理規範」

(十三)「財政部及所屬機關構約定外機關使用財政資料資通安全管理規範」

(十四)「財政部及所屬機關構資通安全基本認知」

伍、權責說明

一、資通安全推動小組負責本政策之修訂及審核。

二、本署全體同仁及往來廠商均應遵守本政策。

陸、資通安全目標

一、確保本署業務相關資訊系統資料之機密性，符合資訊存取授權範圍。

二、確保本署業務相關資訊之正確及完整，提高行政效能與品質。

三、確保本署業務相關資訊設備之可用性，提供本署業務運作之所需。

四、配合國家及財政部資通安全政策之推動，提升資通安全防護能力。

五、符合國家法令及財政部之規範，達成業務持續運作之目標。

六、確保本署依持續改善精神，強化資訊安全管理制度。

柒、資通安全管理指標

依據「LI-4-101資通安全管理指標量測方式」辦理。

捌、資通安全責任

一、資通安全推動小組應定期召開管理審查會議，審核本政策之擬定，以確保本政策符合現行需求。

二、資通安全推動小組應積極參與資通安全管理活動，提供對資通安全之支持及承諾。

三、資通安全推動小組應定期提供本署全體同仁資通安全訓練課程，提升人員資通安全認知。

四、資通安全推動小組應展現對資訊安全管理制度的領導與承諾。

五、資通安全推動小組應確保資通安全相關角色之責任與權限，已指派並傳達。

六、本署全體同仁皆須遵守本署資安事件通報機制，通報所發現之資通安全事件或資通安全弱點。

七、本署同仁若未遵守本政策或發生任何違反本政策之行為時，由資訊室視情節輕重專案簽報，若涉及風紀及洩密之事宜應知會政風室。

八、本署所有往來廠商皆須簽署保密協議書，並遵守本政策以及相關程序之規定，未經授權不得使用或濫用本署之各類資訊資產。

玖、資訊安全管理系統與資通安全政策之修訂及公告

一、當本署需要對資訊安全管理系統變更時，應召開相關會議討論或以簽陳方式執行變更。

二、本政策應由資通安全推動小組每年定期或因業務、法令或環境等因素之更迭時，予以適當修訂，陳署長或資通安全長核准後公告實施，並通知相關往來廠商或關注方。