您现在的位置是:主页 > 红彩 > 修正「教育部补助委办採购维护伺服主机及应用系统网站资讯安全管

修正「教育部补助委办採购维护伺服主机及应用系统网站资讯安全管

时间:2019-05-26 13:06  来源:未知  阅读次数: 复制分享 我要评论

中华民国一百零六年十一月九日教育部台教资(四)字第1060098124B 号令修正发布名称及全文43点;并自即日生效(原名称:教育部补助 委办採购维护伺服主机及应用系统网站资讯安全管理要点) 第一章总则 1一、教育部(以下简称本部)为落实个人资料保护法、国家机密保护法、 行政院及所属各机关资讯安全管理要点及本部资讯安全管理规範等相 关规定,特订定本要点。 2二、本部各单位委请或补助机关(构)、学校办理建置与维护伺服主机及 应用系统网站相关业务,应以书面、电子传输或其他方式,将本要点 规範之义务告知受委请或补助办理之机关(构)、学校(以下简称执 行单位);执行单位并应规範其所属员工及相关人员(包括分包或临 时人员),依本要点办理。 3三、本部各单位委请或补助机关(构)、学校办理资讯业务时,应于事前 审慎评估可能之潜在安全风险(如资料或使用者通行码被破解、系统 被破坏或资料损失等风险),与执行单位签订适当之资讯安全协定, 课予相关之安全管理责任,并纳入契约条款。 4四、本部各单位委请或补助机关(构)、学校办理建置或维护之应用系统 (网站),其营运涉及个人资料蒐集、处理、利用等事项者,应依个 人资料保护法相关法规办理。 第二章综合管理 5五、执行单位应配合本部资讯安全规定,执行相关工作。 前项本部资讯安全规定,由本部依相关法规订定之,并公告于本部网 站首页。 6六、执行单位应填写资讯安全保密合约书(附件一)。相关人员执行业务 前,应填写保密承诺书(附件二)。保密合约书及相关人员之保密承 诺书应签署一式三份,其中二份由本部各该单位留存,另一份由执行 单位留存。 7七、执行单位应配合本部进行资讯安全事件处理、演练及紧急应变措施等 相关安全工作事项。执行单位与本部签订之契约条款中,应包括营运 持续管理(BCM,BusinessContinuityManagement)计画、要求服 务水準协议(SLA,ServiceLevelAgreement),并定义相关RTO( RecoverTimeObjective)、RPO(RecoverPointObjective)。 8八、资安事件发生时,执行单位相关人员应配合本部资安事件通报应变流 程,协助于时限内完成事件排除。 前项之处理时限,依行政院所定国家资通安全通报应变作业纲要及本 部资讯安全管理规範规定之时限。 9九、本部各单位应用系统(网站)委请机关(构)、学校开发时,应通过 安全性检测(弱点扫描、渗透测试)并持续维护,降低遭受入侵、窜 改或删除之风险。 本部各单位宜将安全性要求,或个人资料蒐集与利用之相关资料(资 料类别、目的及法规依据)纳入专案契约,并规划适当经费执行。 10十、本部各单位应每年定期维护应用系统(网站)业务负责人、应用系统 负责人及维护单位等相关通讯及联络资料,并告知资讯及科技教育司 (以下简称资科司)资讯安全业务承办人。 11十一、本部各单位应用系统(网站)委请机关(构)、学校办理者,其所 申请之网域(domain)、网路位址(IP)之使用期间,以三年为限 ,期满时应重新提出申请。 12十二、下列资讯安全事项,应纳入资讯业务委外之服务契约: (一)涉及机密性、敏感性或关键性之应用系统项目。 (二)应经核准始得执行之事项。 (三)执行单位配合本部资讯安全管理制度、营运持续运作(BCM, BusinessContinuityManagement)计画,执行相关作业。 (四)执行单位应遵守之资讯安全规範及标準,以及评鉴执行单位遵守 资讯安全标準之衡量及评估作业程序。 (五)执行单位处理及通报资讯安全(包括违反个人资料保护法)事件 之责任及作业程序。 13十三、应用系统(网站)开发,应预作下线或停止服务等退场机制,及保 留所有原始契约和源码(SOURCECODE),并于契约中详列本部及 执行单位个别之权利与义务。 14十四、本部各单位应监督执行单位建立应用系统(网站)之资讯安全防护 ,如未依本要点落实应用系统(网站)资讯安全管理,致发生资安 事件,依本部职员惩处要点相关规定议处。 第三章作业系统管理 15十五、伺服主机应安装主机型防火墙,阻绝不使用之网路通讯埠,及定期 检视防火墙策略清单是否符合资安要求。 16十六、所有伺服器应安装防毒软体,并随时更新病毒码及检查运作是否正 常。 17十七、伺服主机应即时进行作业系统及相关软体更新及修补,并定期或不 定期进行主机弱点扫描。 18十八、主机、系统维护时,应于加密管道进行(如SSH,TLS等),并限 制维护来源IP。 19十九、执行单位之系统维护人员不得使用任何远端遥控软体进行系统管理 、维护或更新。但有警急状况必须使用时,应于防火墙与伺服主机 内限定维护来源之IP,并设定时限。 20二十、系统管理者不在场时,主控台(Console)应置于登出状态,并设 置密码管理。 21二十一、执行单位建置之系统如需提供网路芳邻功能,应先建立网路及主 机之安全控制措施。 22二十二、主机系统应定期依人事异动情形进行实际使用权限之调整,变更 使用者权限,协助本部各单位业务负责人检查各系统之使用者存 取权限(利用应用系统存取权限清单)。 23二十三、系统管理者应随时注意及观察分析系统之作业容量,以避免容量 不足而导致主机当机或资料毁损。 24二十四、系统管理者应进行电脑系统作业容量之需求预测,以确保足够之 电脑处理及储存容量。 25二十五、本部各单位应特别注意系统之作业容量,预留预算及採购行政作 业之前置时间,以利进行前瞻性之规划,并及时获得必要之作业 容量。 26二十六、系统管理者应随时注意及观察分析系统资源使用状况,包含处理 器、主储存装置、档案储存、印表机及其他输出设备及通信系统 之使用状况。 27二十七、系统管理者应随时注意前项设备之使用趋势,尤应注意系统于业 务处理及资讯管理上之应用情形。 28二十八、系统管理者应随时掌握与利用电脑及网路系统容量使用状况之资 讯,分析及找出可能危及系统安全之瓶颈,预作补救措施之规划 。 29二十九、系统管理者应準备适当及足够之备援设施,定期执行必要之资料 与软体备份及备援作业,以于灾害发生或储存媒体失效时,得迅 速回复正常作业。 30三十、系统资料备份及备援作业,应符合机关业务持续运作之需求。 31三十一、电脑作业人员应忠实记录系统启动及结束作业时间、系统错误及 更正作业等事项,并依实际需求保留所有纪录档。 32三十二、电脑作业人员之系统作业纪录,应定期交由客观之第三者查验并 律订保留期限,以确认其是否符合机关规定之作业程序。 第四章机密性及敏感性资料(包括个人资料)之管理 33三十三、本部各单位应建立机密性及敏感性资料(包括个人资料,以下同 )之处理程序,防止洩漏或不法及不当之使用。 34三十四、本部各单位应研订处理机密性及敏感性资料之输入及输出媒体之 安全作业程序(如文件、磁带、磁片、书面报告及空白支票、空 白收据等项目)。 35三十五、机密性及敏感性资料之安全处理作业,应包括下列事项: (一)输入及输出资料之处理程序及标示。 (二)依授权规定,建立收受机密性及敏感性资料之正式收文纪录。 (三)确保输入资料之真确性。 (四)儘可能要求收受者提出传送之媒体已送达之收讫证明。 (五)分发对象应以最低必要之人员为限。 (六)为提醒使用者注意安全保密,就机密资料应明确标示机密属性 、机密等级及保密期限。 (七)应定期评估机密性及敏感性资料之发文清单,及检讨评估内容 。 (八)应确保资讯系统内部资料与外部资料之一致性。 36三十六、系统流程、作业流程、资料结构及授权程序等系统文件,本部各 单位应予适当保护,以防止不当利用。 37三十七、本部各单位及执行单位应保护重要之资料档案,以防止遗失、毁 坏、被伪造或窜改。重要之资料档案应依相关规定,以安全之方 式保存。 38三十八、储存机密性及敏感性资料之电脑媒体,当不再继续使用时,应以 安全之方式处理(如以重物敲碎捣毁或以碎纸机处理,或将资料 从媒体中完全清除)。 39三十九、委请机关(构)、学校处理之电脑文具、设备、媒体蒐集及委请 机关(构)、学校处理资料,应慎选有足够安全管理能力及经验 之机构作为对象。 40四十、机关间进行资料或软体交换,应订定正式之协定,将机密性及敏感 性资料之安全保护事项及有关人员之责任列入。 41四十一、机关间资料及软体交换之安全协定内容,应考量下列事项: (一)控制资料及软体传送、送达及收受之管理责任。 (二)控制资料及软体传送、送达及收受之作业程序。 (三)资料、软体包装及传送之最基本之技术标準。 (四)识别资料及确定软体传送者身分之标準。 (五)资料遗失之责任及义务。 (六)资料及软体之所有权、资料保护之责任、软体之智慧财产权规 定等。 (七)记录及读取资料及软体之技术标準。 (八)保护机密或敏感性资料之安全措施(如使用加密技术)。 第五章应用系统(网站)管理 42四十二、本部各单位应于合约明定,网站及应用程式新开发或重大更新完 成后,由执行单位实施弱点扫描,及完成弱点修补,并验证修补 情形,完成后始得正式上线启用。 43四十三、应用系统(网站)资安管理之执行作业,得参考下列规定: (一)上线前: 1.应用系统应即时进行相关程式、服务软体、资料库系统等软 体弱点扫描,并针对所有弱点、漏洞更新修补。执行单位应 提供原始码以供检查。 2.应用程式所有输入及输出栏位应完成过滤及编码(encode) 排除特殊字元(如’"!$%^&*_|-><;等)或跳脱字元,以 避免被进行跨网站(XSS)及资料库注入攻击(SQL- injection)。(相关防护可参考OWASPEncoding Project)。 3.针对应用系统程式、资料及资料库应进行定期备份及配合本 部执行业务持续运作(BCM)演练。 (二)上线后: 1.应用系统应定期进行相关程式、服务软体、资料库系统等软 体弱点扫描并依扫描报告要求完成弱点、漏洞更新修补。执 行单位应提供原始码以供检查。 2.系统程式变更应依本部资安规範填具版本更新表,并保留所 有版本原始码于本部各单位负责人处。 3.相关个人资料及机敏性资料提供填报或资料上载应提供加密 机制(如SSH,TLS,SFTP等)。其因维护不当造成资料外 洩者,依个人资料保护法负法律责任。