跳到主要內容
:::

資訊安全政策 ISMS

目的

確保 台灣基督長老教會南神神學院（以下簡稱本校）所屬之資訊資產的機密性、完整性與可用性， 並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅 ， 進而保障全校教職員工生之權益 。

詳細內容請參閱附加檔案 

 資訊安全政策(檔案開啟PDF)

資訊安全事件通報與聯絡窗口 Information Security Contact

► Mail：isms@ttcs.edu.tw

資安事件通報流程

 請於知悉或懷疑是資安事件的1小時內通知資訊組。

 如果資訊設備、系統遭到入侵，請務必(1)關機、(2)拔除網路線、 (3)請求支援。

詳細流程請參閱附件

 資訊安全事件通報與應變作業流程(檔案開啟pdf)

電子郵件社交工程

 壹、 依據

  •  96年2月15日行政院核定修正之「建立我國通資訊基礎建設安全機制計畫」（94年至97年）辦理。
  •  國家資通安全會報96年10月5日資安發字第0960100562號函「防範惡意電子郵件社交工程施行方案」辦理。
  • 依教育部98年3月17日台電自第0980034942號函「98年度學術機構分組防範惡意電子郵件社交工程演練計畫」辦理。

貳、 目的
為提高本校教職同仁警覺性以降低社交工程攻擊風險，特訂定本執行方案，訂定本校社交工程防制年度目標、舉辦相關資安教育訓練與宣導、規劃辦理演練作業，以強化本校教職同仁資安意識並檢驗本校宣導社交工程防制成效。
參、 施行對象
本校專任之教職員工，具本校電子郵件帳號者。
肆、 年度目標
依據教育部訂定之B級單位之標準：預計於99年度惡意郵件開啟率、點閱率分別降至16%及9%以下，預計於100年度(含以後年度)惡意郵件開啟率、點閱率分別降至10%及6%以下。
伍、 防範作為
一、 系統調整
1. 透過電子郵件系統架構之調整，啟動SMTP認證寄信機制，提供教職同仁校外SMTP寄信服務。透過垃圾郵件防禦系統，加強「寄件者偽裝網域」信件之防禦與隔離。
二、 教育訓練

  •  資安教育訓練應納入社交工程防制有關之認知宣導，並著重攻擊實例說明。
  • 本校專任之教職員工每年至少需接受1小時社交工程防制宣導講習，並配合人事室辦理全校性教育訓練。
  • 對本校專任之教職員工推廣「網路文官學院」相關e-Learning課程，加強推廣教育訓練(http://elearning.nat.gov.tw)。
陸、 演練執行方式：
  • 本校由圖書資訊處負責統籌演練作業。目前均參與教育部的統一演練。
  •  演練期間有關惡意郵件、惡意程式、攻擊工具、滲透破壞程度等，均需為可控制、有限度之滲透入侵。
  •  郵件主題分為政治、公務、健康養生、旅遊等類型，郵件內容包含連結網址或word附檔。
  • 以偽冒公務、個人或公司行號等名義發送惡意郵件給演練對象，當收件人開啟郵件或點閱郵件所附連結或檔案時，應留下紀錄，俾利後續統計惡意郵件開啟率及點閱率。
  • 惡意郵件開啟率：開啟惡意郵件之人數 / 參演人數。
  • 惡意郵件點閱率：點閱惡意郵件所附連結或檔案之人數 / 參演人數。
  • 惡意郵件開啟下降率：–(本次惡意郵件開啟率–比較基準) / 比較基準。原則上，比較基準為前次演練之惡意郵件開啟率。
  •  惡意郵件點閱下降率：–(本次惡意郵件點閱率–比較基準) / 比較基準。原則上，比較基準為前次演練之惡意郵件點閱率。

 電子郵件社交工程宣導影片

http://youtu.be/zA-H0BXdmx0 (另開新視窗)  (行政院國家資通安全會報技術服務中心 提供)  

校園通用資安管理原則 (資訊系統管理者/資訊安全管理者)

 資訊系統管理與安全防護

一、 應視資訊系統重要性、系統架構與網路架構選擇適當之安全防護措施 ( 例如防火牆、入侵偵測 / 防禦系統、防毒軟體等 ) 來提升資安防禦能力。
二、 存放系統使用者申請或註冊的資料檔案，應採用適當授權管控方式或加密方式處理，以防資料外流。
三、 為保護重要檔案及資訊，應採行適當的措施 ( 例如檔案加密、資料備份等 ) ，以防止資料遺失、毀壞及被偽造或竄改。
四、 資訊系統應檢測與修補系統漏洞或弱點。於安裝相關 修補程式前，建議可先經過評估與測試，以確認不會對系統運作造成負面影響。
五、 不使用電腦設備時，宜採取登出、設定螢幕保護功能、關機或其他適當之保護措施。
六、 資訊系統應盡量避免共用帳號。
七、 系統重要資訊 ( 例如系統紀錄、稽核紀錄等 ) ，宜依照單位需求與相關規範來進行備份作業，並應確認備份作業結果之有效性。
八、 宜針對重要資訊系統毀損或失效來制訂相關系統復原計畫與執行步驟。
九、 應確認所管理之系統帳號皆為合法授權者，避免出現閒置 ( 無人使用 ) 帳號或非授權使用者帳號 ( 例如職務調動或離職者等 ) 。
十、 應針對會造成單位危害之資安事件來建立事件通報機制，以提升組織緊急應變處理能力。
十一、 單位宜根據組織安全防護需求與資訊系統重要性來建立弱點掃描機制與弱點修補機制。
十二、 建議定期瀏覽資安相關網站或論壇 ( 例如國家資通安全會報技服中心網站 ) 以獲得新的資訊安全相關訊息或知識。
十三、 定期檢視資訊系統之異常作業相關紀錄，以確認是否有未發現或潛在之資安威脅與弱點。
十四、 宜將資訊系統安全管理相關作法與活動進行文件化，讓資訊系統管理人員、系統維護人員與資安管理人員有更具體之作業指引。

密碼使用原則
一、 當發現管理者密碼可能遭到破解或竊取之可疑跡象時，應立即變更密碼。
二、 在資訊系統完成安裝作業後，應立即變更該系統預設的管理者密碼。
三、 應設定高防禦強度之管理者密碼，以下為建議設定原則：
‧ 密碼建議設定至少八碼以上。(本校程序書規定系統管理人員之密碼長度應至少10碼)
‧ 密碼可採用文數字混合、特殊字元符號與大小寫英文字母混合來進行設定。
‧ 密碼沒有明顯意義。
四、 妥善保管帳號及密碼，不隨意透漏或提供給他人使用。
五、 應定期 ( 例如每月、每季等 ) 變更管理者密碼。(本校程序書規定重要系統每四個月變更一次)

智慧財產權
一、 應尊重智慧財產權， 單位或個人使用、複製及修改電腦軟體，應依著作權法相關規定辦理。
二、 應定期清查單位內之軟體使用情形，以確認人員未使用非法或未經授權軟體，以落實使用合法軟體。

轉載自教育部資訊安全服務網 http://cissnet.edu.tw/Page/Detail/126

 校園通用資安管理原則 (網路管理者/網路安全管理者)
  網路管理

一、 應充分掌握並運用電腦及網路系統容量使用狀況的資訊，分析及找出可能危及系統安全的瓶頸，預先規劃補救措施。
二、 單位宜根據組織安全防護需求、網路服務 ( 設備 ) 重要性來建立弱點掃描機制與相關弱點修補機制。
三、 宜針對重要網路設備或網路服務系統毀損或失效來制訂相關復原計畫與執行步驟。
四、 宜監控單位人員網路資源運用情形，以避免出現網路資源被錯誤使用 ( 例如發送垃圾郵件、病毒郵件等 ) 。
五、 可定期檢視單位內是否有人員自行建置之對外連線網路，並評估該對外連線是否會對單位資訊安全造成危害，如經評估會造成資安危害，應採取適當防護措施。
六、 單位內部網路應視網路架構、網路服務特性、與服務主機架構來選擇適當之安全防護措施 ( 例如防火牆、入侵偵測 / 防禦系統、防毒閘道等 ) 來構建安全防護網。
七、 建有無線網路環境之單位應建立適當安全防護措施，以避免對內部網路與重要資訊系統造成安全危害。
八、 建議定期瀏覽資安相關網站或論壇 ( 例如國家資通安全會報技服中心網站 ) 以獲得新的網路安全相關訊息或知識。
九、 宜定期檢視網路設備與網路服務主機之異常作業相關紀錄以確認是否有未發現或潛在之安全威脅與弱點。
十、 宜將網路安全管理相關作法與活動進行文件化，讓網管人員、維護人員與網安管理人員有更具體之作業指引。

密碼使用原則
一、 當發現網路管理者密碼可能遭到破解或竊取之可疑跡象時，應立即變更密碼。
二、 在網路設備完成安裝作業後，應立即變更該設備之預設密碼。
三、 應設定高防禦強度之管理者密碼，以下為建議設定原則：
‧ 密碼建議設定至少八碼以上。(本校程序書規定系統管理人員之密碼長度應至少10碼)
‧ 密碼可採用文數字混合、特殊字元符號與大小寫英文字母混合來進行設定。
‧ 密碼沒有明顯意義。
四、 妥善保管帳號及密碼，不隨意透漏或提供給他人使用。
五、 應定期 ( 例如每月、每季等 ) 變更管理者密碼 。(本校程序書規定重要系統每四個月變更一次)

智慧財產權
一、 應尊重智慧財產權， 單位使用、複製及修改網路應用服務相關軟體，應依著作權法相關規定辦理。
二、 應定期清查單位內之網路應用服務相關軟體使用情形，以確認人員未使用非法或未經授權軟體，以落實使用合法軟體。

 轉載自教育部資訊安全服務網 http://cissnet.edu.tw/Page/Detail/127 

校園通用資安管理原則(一般人員)

個人電腦與資訊應用
一、 個人電腦應安裝防毒軟體，並經常修補系統漏洞。除定期更新病毒碼與系統漏洞修補程式外，每次開機使用前，建議可以先檢查是否已更新病毒碼及漏洞修補至最新版本。
二、 為避免感染病毒，建議關閉電子郵件預覽窗格功能。
三、 對於來路不明之電子郵件，不宜隨意打開，以免啟動惡意程式執行檔，使個人電腦與資訊系統遭到破壞。
四、 為避免導致他人電腦感染電腦病毒，不任意轉寄來歷不明之電子郵件。
五、 不瀏覽任何可疑或非法網站。
六、 不使用電腦設備時，宜採取登出、設定螢幕保護功能、關機或其他適當之保護措施。
七、 個人電腦應啟用螢幕保護程式功能，並設定密碼保護，於電腦暫時無人使用時可自行啟動。啟動螢幕保護程式的時間設定可依單位或個人之工作業務特性進行調整。
八、 不可運用電子郵件大量傳送廣告信或其他造成收信人困擾之垃圾郵件，避免影響郵件服務系統之正常運作。
九、 傳真機敏或重要之資訊文件時，接收與傳送端皆應確定有人，傳送完成後應立即從傳真機取走。
十、 建立個人資安防護意識，留意資安相關新聞與資訊。

密碼使用原則
一、 避免將帳號、密碼記錄於書面或張貼於容易洩漏之處 ( 例如以便條紙書寫個人帳號與密碼貼於電腦螢幕上 ) 。
二、 當發現密碼有可能遭受破解或竊取之可疑跡象時，應立即變更密碼。
三、 於應用軟體完成安裝作業後，應更改該軟體預設之使用者密碼。
四、 使用者第一次登入資訊系統時，應更改臨時性啟始 ( 首次使用 ) 密碼。
五、 應設定防禦強度較高之密碼，以下為建議設定原則：
‧ 密碼建議設定至少六碼以上。(本校程序書規定一般使用者之密碼的長度最少應有8位，系統管理人員之密碼長度應至少10位)
‧ 密碼可採用文數字混合、特殊字元符號與大小寫英文字母混合來進行設定。
‧ 密碼沒有明顯意義。
六、 不任意向任何人提供個人帳號及密碼
七、 不使用非授權帳號與密碼。
八、 宜定期 ( 例如每月、每季、每半年等 ) 變更密碼。(本校程序書規定每六個月變更一次)

智慧財產權
一、 應尊重智慧財產權，單位或 個人使用、複製及修改電腦軟體，應依著作權法相關規定辦理。
二、 不應使用任何非法或未經授權軟體，落實使用合法電腦軟體。
轉載自教育部資訊安全服務網 http://cissnet.edu.tw/Page/Detail/9 

密碼設定與使用原則

 使用者首次使用系統時，應立即更改密碼設定，並妥善保管帳號與維持密碼之機密性。

  1. 應保護密碼，維持密碼的機密性；一般資訊系統之使用者應至少每6個月更換密碼一次，重要系統之密碼應至少每4個月更換，並避免重複使用相同的密碼。
  2. 應避免將密碼記錄在書面上，或張貼於個人電腦、螢幕或其它容易洩漏秘密之場所。
  3. 當有跡象顯示系統及密碼可能遭破解時，應立即更改密碼。
  4. 使用者每次存取系統時應輸入密碼登入系統，避免使用記錄密碼功能，導致開機時自動登入系統。
  5. 使用者禁止共用帳號密碼。
  6. 使用者之密碼的長度最少應有8位，系統管理人員之密碼長度應至少10位，且應符合密碼設置原則。
  7. 密碼設置原則，應同時包含英文及數字或符號，儘量避免使用易猜測或公開資訊為設定，如：
  • 個人姓名、出生年月日、身分證字號。
  • 機關或單位名稱識別代碼或是其他相關事項。
  • 使用者識別碼、使用者姓名、群體使用者之識別碼或是其他系統識別碼。
  • 電腦主機名稱、作業系統名稱、或電腦上使用者的名稱。
  • 電話號碼。
  • 英文或是其他外文字典的字彙。
  • 專有名詞。
  • 空白。

密碼設定可考慮下列原則：

  • 參雜數字、英文字母、特殊符號、大小寫
  • 特殊意義詞彙 

資訊安全宣導事項

資安宣導短片(另開新視窗)

資安宣導海報(另開新視窗)

避免使用危害國家資通安全產品(包含軟體、硬體及服務)

 依據

 數位發展部「各機關對危害國家資通安全產品限制使用原則」。

  1. 教育部109年12月31日台教資(四)字第1090184423號函，函轉行政院秘書長109年12月18日院臺護長字第1090201804A號函)。
  2. 111年9月5日「111年全國大專校院資安長會議紀錄」。
採購與使用注意事項
  1. 本校資通訊產品(含軟、硬體及服務)之採購與使用，應避免採購與使用「涉及危害國家資通安全產品」。
  2. 現有已使用之資通訊產品(含軟體、硬體及服務)，如有「涉及危害國家資通安全產品」，相關處理原則如下：
    1. ) 已使用「涉及危害國家資通安全產品」者，需進行列冊管理,且停止與公務網路環境介接，如因故需介接於校園網路，須辦理申請核可及強化存取管理。
    2. ) 如已達可狀換年限者，請速辦理狀換更新作業。
  3. 各項資通訊產品請務必定期變更設備上所有使用者的密碼，並嚴禁使用「預設密碼」。
  4. 與外單位合作辦理活動，或本校出租場域亦不得使用「涉及危害國家資通安全產品」。
  5. 新購資通產品時，如對「涉及危害國家資通安全產品」有疑義，應於採購時請廠商出具相關佐證資料，以利日後備查。

已知涉及危害國家資通安全產品

  1. 應用範圍：個人電腦、筆記型電腦、伺服器主機 、攝影機、網路攝影機、監視器主機、智慧型手機、平板電腦、網路分享器、路由器、無人機、空拍機、智慧家電、軟體
  2. 數發部判定不應採購與使用之廠牌清單：包括但不限於下列清單： Boox、CREALITY、CRF PLASMA、CZUR、Dahua(浙江大華技術公司)、Dimension、DJI(深圳大疆創新科技公司)、DLAB、FOCUCY、Foscam、FOXTECH、HARMANKARDON、Hikvision(海康威視)、Hisense(海信)、Huawei(華為)、Hunan Kecheng Instrument and equipment、HYREAD、INNO3D、Insta360、Korno、Livox、LREALITY(創想)、MEIZU(魅族)、MI(小米集團)、Micsig、Mind Sensor(意念精靈)、Nanhua、Nubia(努比亞)、OBSBOT、OPPO(廣東歐加控股公司／廣東行動通訊公司）、OPT Machine Vision Tech、Partulab(百力博)、QTS、REALME(真我)、RIGOL、RisingCam、RMY、Royal(賓利皇家)、Seeed Studio、SEGWAY、Snapmaker、Sugar、Tenda、TLC、TOTOLINK、TP-Link(普聯技術公司)、vivo、YUDIAN、ZOTAC(索泰)、中興通訊、嘉兆、映眾、步進電機、石頭科技、螞蟻源科學儀器、銳太、騰達...等廠牌。
  3. 以上資訊滾動修正，請依最新發布內容為準。(112.11.15更新)

如因特殊因素必須使用相關產品，須依據「各機關對危害國家資通安全產品限制使用原則」相關規定辦理。

相關資料
  檔案下載