一、目標
本規範為規定果毅國小（以下簡稱本校）資通安全管理作業實施方式，以增進資訊作業之安全性，確保學校資料之機密性、完整性與可用性。
二、適用範圍
本校電腦、資訊與網路服務相關的系統、設備、程序、及人員。
三、實施規定
1.網路安全
- 網路控制措施
- 與外界連線，應僅限於經由教育局(處)網路管理單位之管控，以符合一致性與單一性之安全要求。
- 禁止以私人架設網路（如：電話線、 2G或 3G 網路等）連結機房內之主機電腦或網路設備。
- 宜依業務性質之不同，區分不同內部網路網段，例如：教學、行政、宿網等，以降低未經授權存取之風險。
- 對於開放提供外部使用者或廠商存取之服務，必須限制使用者之來源 IP及網路連線埠(Port)，以確保安全。
- 無線網路存取
- 禁止使用者私自將無線網路存取設備介接至校園網路；若有介接之必要應經權責管理人員同意並設定帳號通行碼或加密金鑰以防未經許可之盜用。
- 校園內應提供無線網路存取服務，並採取適當安全管控措施：
- 專供行政使用之無線網路熱點建議設定加密金鑰防護，並避免使用開放之無線網路存取重要資訊系統及處理敏感性資料。
- 於教學區域、會議室等場所佈建之無線網路熱點應具有使用者身分認證機制，並經由校園無線路漫遊服務系統提供外校來賓使用。
- 專供師生教學活動使用之無線網路熱點，若採用其他管理方式確有不便時，應採取限定開放時間及限制開放區域等管理措施，減少遭受不當利用之機會。
- 開放校外人士出入之公共空間可視需要提供民眾無線上網服務，其網段應與校園網路隔離，或委由網路服務業者提供。
1.3 服務委外廠商合約之安全要求委外開發或維護廠商必須簽訂安全保密切結書（切結書格式參見文件編號 A-1）。
- 系統安全
- 職責區隔
- 本校伺服器主機可依個別應用系統之需要，設置專屬電腦，例如網路服
- 務主機（電子郵件、網站主機）、教學系統主機（例如隨選視訊主機）。
- 本校的行政系統主機（例如財務、人事、公文系統等）電腦，由教育局
- 或市政府等單位統籌管理。
2.2 對抗惡意軟體、隱密通道及特洛依木馬程式校內的個人電腦應：
- -裝置防毒軟體，將軟體設定為自動定期更新病毒碼；或由伺服器端
- 進行病毒碼更新的管理。
- -設定「WindowsUpdate」之程式更新作業，以防範作業系統之漏洞。
- 本校內個人電腦所使用的軟體應有授權。
- 新伺服器系統啟用前，應經過掃毒與更新系統密碼程序，以防範可能隱藏的病毒或後門程式。（伺服主機啟用與報廢申請單格式參見文件編號 A-2 ）
2.3 資料備份
- 本校系統管理人員需針對學校重要系統（例如系統檔案、網站、資料庫等）定期進行備份工作或採用自動備份機制，週期為每週至少進行一次；並應使用設備執行異地備份或使用光碟、隨身碟或外接式硬碟執行異地存放。
2.4 操作員日誌
- 本校系統管理人員需針對重要的電腦系統進行檢查、維護、更新等動作時，應針對這些活動填寫日誌予以紀錄，作為未來需要時之檢查。（機房操作日誌文件參見文件編號 A-3 ）
2.5 資訊存取限制
- 本校內所共用的個人電腦應以特定功能為目的，並設定特定安全管控機制（例如限制從網路非法下載檔案行為、限制自行安裝軟體行為、限制特定資料的存取等）。
2.6 使用者註冊
- 人員報到或離退職應會辦資訊組長（教師），資訊組長（教師）應執行電腦系統使用的使用者註冊及註銷程序，透過該註冊及註銷程序來控制使用者資訊服務的存取，該作業應包括以下內容：
-使用唯一的使用者識別碼（ ID ）。
-檢查使用者是否經過系統管理單位之授權使用資訊系統或服務。
-保存一份包含所有識別碼註冊的記錄。
-使用者調職或離職後，應移除其識別碼的存取權限。
-每學期檢查並取消多餘的使用者識別碼和帳號。
-每學期檢查新增之帳號，若有莫名帳號產生，應關閉帳號權限。（帳號申請單格式參見文件編號 A-4 ）
2.7 特權管理
- 本校的電腦與網路系統資訊具有存取特權人員清單、及其所持有的權限說明，應予以文件化記錄備查。（特權帳號清單格式參考文件編號 A-5 ）
2.8 通行碼之使用
- 管制使用者第一次登入系統時，必須立即更改預設通行碼，預設通行碼
- 應設定有效期限。
果毅國小資通安全管理規範 Page3
- 資訊系統與服務應避免使用共同帳號及通行碼。
- 由學校發佈通行碼（ Password ）制定與使用規則給使用者，內容應包含以下各項：
-使用者應該對其個人所持有通行碼盡到保密責任。
-要求使用者的通行碼設定，應該包含英文字及數字，長度為 8 碼（含）以上。
- 因特殊需要擁有多個帳號時，可考慮使用一組複雜但相同的通行碼。
2.9 通報安全事件與處理
- 資訊安全事件包括：任何來自網路的駭客攻擊、病毒感染、垃圾郵件、資料或網頁遭竄改、以及通訊中斷等。
- 本校資訊安全事件等級，由輕微至嚴重區分等級如下：
-0 級：教育部及臺南市政府教育局檢舉信箱通告之資安事件。
-符合下列任一情形者，屬 1 級事件：
□非核心業務資料遭洩漏。
□非核心業務系統或資料遭竄改。
□非核心業務運作遭影響或短暫停頓。
-符合下列任一情形者，屬 2 級事件：
□非屬密級或敏感之核心業務資料遭洩漏。
□核心業務系統或資料遭輕微竄改。
□核心業務運作遭影響或系統效率降低，於可容忍中斷時間內回復正常運作。
-符合下列任一情形者，屬 3 級事件：
□密級或敏感公務資料遭洩漏。
□核心業務系統或資料遭嚴重竄改。
□核心業務運作遭影響或系統停頓，無法於可容忍中斷時間內回復正常運作。
-符合下列任一情形者，屬 4 級事件：
□國家機密資料遭洩漏。
□國家重要資訊基礎建設系統或資料遭竄改。
□國家重要資訊基礎建設運作遭影響或系統停頓，無法於可容忍中斷時間內回復正常運作。
- 本校任何人於校內發現異常情況或疑似資安事件及應立即向資訊組長（教師）通報，資訊組長（教師）應儘速進行處理並研判事件等級。
- 資訊組長（教師）當發生研判事件等級 3 （含）以上之事件，應立即通報資訊業務主管及校長，並以電話聯絡臺南市政府教育局資訊安全管理單位資安承辦人，由校長儘快召集會議研商處理方式。
- 當本校發生無法處理之資通安全事件，應通報臺南市教育局資訊安全管理單位協助處理。
- 教育機構資安通報平台（網址： https://info.cert.tanet.edu.tw/），帳號為
- 學校 OID ： 2.16.886.111.90028.90027.100005 。
- 資安通報依情報來源分為「告知通報」與「自行通報」，若收到「告知通報」事件通知，由資訊組長（教師）登入教育機構資安通報平台，完成通報及應變作業。
- 資安事件若為校內人員自行發現，由資訊組長（教師）登入教育機構資安通報平台進行「自行通報」完成通報及應變作業。
果毅國小資通安全管理規範 Page 4
- 資安事件須於發生後 1 小時內進行通報， 0 、 1 、 2 級事件於事件發生後 72 小時內處理完成並結案包括通報與應變()， 3 、 4 級事件於事件發生後 36 小時內完成並結案。
- 如有收到教育機構資安通報平台「資安預警情報」事件通知，由資訊組長（教師）登入教育機構資安通報平台，進行資安預警事件單處理作業。
- 相關通報應變流程請依照「教育機構資安通報應變手冊」規定辦理。
3.實體安全
3.1 設備安置及保護
- 本校重要的資訊設備（如主機機房）應置於設有空調空間。
- 本校資訊設備主機機房及電腦教室區域，應設置偵煙、偵熱與滅火設備（氣體式滅火器），並禁止擺放易燃物或飲食。
- 本校資訊設備主機機房及電腦教室區域內的電源線插頭應有接地的連結或有避雷針等裝置，避免如雷擊事件所造成損害情況。
- 本校資訊設備主機機房及電腦教室區域，應於入出口處設置門禁的機制。
3.2 溫濕度控制
- 本校重要的資訊設備（如主機機房）應有溫濕度控制措施，以防止資訊設備意外損壞，溫度最好控制在 20℃~25℃，濕度最好控制在相對濕度 50 度~70 度。機房內應懸掛溫濕度計，以觀察實際之溫濕度情況。
3.3 電源供應
- 校重要的資訊設備（如主機機房）應有適當的電力設施，例如設置 UPS 、電源保護措施，以免斷電或過負載而造成損失，並設置緊急照明設備以作為停電照明之用。
3.4 纜線安全
- 本校資訊設備主機機房及電腦教室區域內網路線應建佈於高架地板或需設置保護設施。
3.5 設備與儲存媒體之安全報廢或再使用
- 所有包括儲存媒體的設備項目，在報廢前應先確保已將任何敏感資料和授權軟體刪除或覆寫。
3.6 設備維護
- 有需要，宜與設備廠商建立維護合約。
- 廠商進入機房前需先確認已簽訂安全保密切結書。
3.7 財產攜出
- 未經授權不應將學校的資訊設備、資訊或軟體攜出所在地。
- 當有必要將設備移出，應檢視相關授權，並實施登記與歸還記錄。
- 相關財產之攜出應依教育部或學校既有之相關規定處理。
3.8 桌面淨空與螢幕淨空政策
- 結束工作時，所有學校教職員工應將其所經辦或使用具有機密或敏感特性的資料（如公文、學籍資料等）及資料的儲存媒體（如 USB 隨身碟、磁碟片、光碟等）妥善存放。
- 本校提供教職員工或學生使用的個人電腦應設定保護裝置，如個人鑰匙、個人密碼以及螢幕保護。
4.人員安全
果毅國小資通安全管理規範 Page5
4.1人員安全責任
- 利用各種場合宣導各層級人員應負之資訊安全責任，以強化工作上之資訊安全意識。
- 因業務需要將機敏資料交付委外廠商時（如辦理保險、校外教學等），廠商必須簽訂安全保密切結書。
- 校臨時人員及志工因業務需要，而接觸公務機密、個人及事業單位權益相關之資料者須填寫校內人員保密切結書。（切結書格式參見文件編號 A-6 ）
4.2 資訊安全教育與訓練
- 本校系統管理人員應有足夠能力執行日常基礎之資安管理系統維護工作，並使其瞭解資安事件通報之程序。
- 本校鼓勵資訊組長/老師/系統管理人員以及所有教職員參與資訊安全教育訓練或宣導活動，以提昇資訊安全認知。
5.應對以下各項相關法令有基礎之認知
5.1 智慧財產權
- 著作權法
5.2 個人資訊的資料保護及隱私
- 個人資料保護法
- 個人資料保護法施行細則
5.3 電子簽章法
- 電子簽章法
- 電子簽章法施行細則
- 核可憑證機構名單
果毅國小資通安全管理規範 Page 6
文件編號： A-1
服務委外單位服務暨保密切結書
公司(以下簡稱為本公司)為配合臺南市柳營區果毅國民小學（以下簡稱為貴校）之業務需求，本公司提供服務項目如下：
一、
二、
三、
註：列出貴公司將會(提供之服務項目)
本公司願意在對貴校提供上述服務項目範圍內之服務時，保證因提供業務服務需存取貴校資料，凡屬與公務機密、個人及事業單位權益相關之資料，無論其內容之一部或全部，均負保密之責；相關資料均以留在貴校內部範疇內處理，倘須由本公司攜至校外處理，應簽奉貴校核可。
本公司亦不私自蒐集貴校所擁有之任何資訊。若所提供之業務服務，不符合上述之規定或經營之服務項目超出上述範圍，或違犯法令，本公司同意無異議接受接受法律制裁與及其訴訟費用，並負責所引發之各項損失賠償。此致
臺南市柳營區果毅國民小學
申請單位及負責人蓋章：
日期： 年 月 日
本服務暨保密切結書一式兩份，分別由 公司以及臺南市柳營區果毅國民小學保存
果毅國小資通安全管理規範 Page7
文件編號： A-2
伺服主機啟用與報廢申請單
|
申請人 |
|
申請日期 |
|
|
伺服主機用途 |
|
項目 |
□啟用□報廢 |
|
啟用檢查項目 |
□掃毒 □更新系統密碼
執行人： |
||
|
報廢檢查項目 |
□刪除硬碟資料
執行人： |
||
執行人主管覆核：
果毅國小資通安全管理規範 Page8
文件編號： A-3
機房操作日誌
填寫日期：民國 年 月 日
系統操作起始時間：上（下）午 時 分
系統操作結束時間：上（下）午 時 分
|
操作事項 |
□系統例行檢查 □系統維護 □系統更新操作 |
|
系統錯誤說明 |
|
|
採取改正措施說明 |
|
操作人員： 簽名欄
日誌填寫人員： 簽名欄
果毅國小資通安全管理規範 Page9
文件編號： A-4
帳號申請單
|
申請人 |
|
申請日期 |
|
||
|
所屬單位 |
|
分機 |
|
||
|
系統名稱 |
帳號 |
申請項目 |
|||
|
□1.
|
|
□新增□刪除□重新啟用 □停用□異動□重設密碼 |
|||
|
□2.
|
|
□新增□刪除□重新啟用 □停用□異動□重設密碼 |
|||
|
□3.
|
|
□新增□刪除□重新啟用 □停用□異動□重設密碼 |
|||
|
□4.
|
|
□新增□刪除□重新啟用 □停用□異動□重設密碼 |
|||
|
□5.
|
|
□新增□刪除□重新啟用 □停用□異動□重設密碼 |
|||
|
申請權限 |
|||||
|
|
|||||
|
執行紀錄 |
|||||
|
資訊組長（教師）： |
|||||
帳號使用注意事項
1.使用者須妥善保管帳號密碼，不可告知他人或書寫於他人可取得之處，如便條紙、螢幕或主機外殼等，亦應避免放置於其他易遭他人窺視之場所。
2.使用者密碼的長度最少應由 8 個字元組成，並且英文與數字混和。
3.使用者密碼應避免包含使用者相關之個人資訊，如電話號碼、生日或姓名。
4.使用者密碼宜定期變更，並避免重複使用或循環使用舊密碼。
5.使用者離職須移除其系統帳號始完成離職手續。
果毅國小資通安全管理規範 Page10
文件編號： A-5
系統特權帳號清單
填寫日期：
|
系統名稱 |
帳號 |
人員姓名 |
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
填寫人： 主管覆核：
果毅國小資通安全管理規範 Page11
文件編號： A-6
校內人員保密切結書
(以下簡稱為本人)擔任臺南市果毅國小之資訊聯絡人職務。本人願意在學校執行業務時，存取學校資料凡屬與公務機密、個人及事業單位權益相關之資料，無論其內容之一部或全部，均負保密之責；相關資料均以留在學校內部處理，未得許可絕不以各種方式攜出校外及對外透露。
本人亦不私自蒐集學校所擁有之任何資訊，若因本人造成學校損失，同意無異議接受相關法律責任，並負責所引發之各項損失賠償。此致
臺南市柳營區果毅國小
簽署人：
姓名：
身分證統一編號：
戶籍地址：
日期：
本保密切結書一式兩份，分別由簽署人以及臺南市柳營區果毅國小保存
果毅國小資通安全管理規範 Page12
承辦人： 主任： 校長：
