臺東縣臺東市仁愛國民小學資通安全維護計畫
臺東縣臺東市仁愛國民小學
資通安全維護計畫
機密等級：一般
承辦人簽章：
單位主管簽章：
資安長簽章：
校長簽章：
資通安全維護計畫
目 錄
壹、依據及目的.................................................... 4
貳、適用範圍...................................................... 4
參、核心業務及重要性............................................. 4
肆、資通安全政策及目標........................................... 6
一、資通安全政策..................................... 6
二、資通安全目標..................................... 6
三、資通安全政策及目標之核定程序..................... 6
四、資通安全政策及目標之宣導......................... 6
五、資通安全政策及目標定期檢討程序................... 7
伍、資通安全推動組織............................................. 6
一、資通安全長....................................... 6
二、資通安全推動組織................................. 7
陸、專職(責)人力及經費配置....................................... 8
一、專職(責)人力及資源之配置......................... 8
二、經費之配置....................................... 9
柒、資訊及資通系統之盤點......................................... 9
一、資訊及資通系統盤點............................... 9
二、機關資通安全責任等級分級........................ 10
捌、資通安全風險評估............................................ 90
一、資通安全風險評估................................. 9
二、核心資通系統及最大可容忍中斷時間................ 10
玖、資通安全防護及控制措施...................................... 10
一、資訊及資通系統之管理............................ 10
二、存取控制與加密機制管理.......................... 11
三、作業與通訊安全管理............................. 122
四、業務持續運作演練............................... 166
五、資通安全防護設備............................... 166
壹拾、資通安全事件通報、應變及演練相關機制.................... 166
壹拾壹、資通安全情資之評估及因應.............................. 166
一、資通安全情資之分類評估......................... 167
二、資通安全情資之因應措施......................... 177
壹拾貳、資通系統或服務委外辦理之管理........................... 18
壹拾參、資通安全教育訓練........................................ 18
一、資通安全教育訓練要求............................ 18
二、資通安全教育訓練辦理方式........................ 18
壹拾肆、公務機關所屬人員辦理業務涉及資通安全事項之考核機制... 19
壹拾伍、資通安全維護計畫及實施情形之持續精進及績效管理機制... 19
一、資通安全維護計畫之實施.......................... 19
二、資通安全維護計畫之持續精進及績效管理............ 19
壹拾陸、資通安全維護計畫實施情形之提出........................ 200
壹拾柒、相關法規、程序及表單................................... 200
一、相關法規及參考文件............................. 200
二、附件表單....................................... 201
壹、依據及目的
本計畫依據下列法規訂定：
一、 資通安全管理法第10條及其施行細則第6條。
二、 臺東縣政府資訊安全政策。
三、 其他相關業務法規名稱。
貳、適用範圍
本計畫適用範圍涵蓋臺東縣臺東市仁愛國民小學（以下簡稱本機關）。
參、核心業務及重要性
(一) 本機關之核心業務及重要性如下表：
|
核心業務 |
核心資通系統 |
重要性說明 |
業務失效影響說明 |
最大可容忍中斷時間 |
|
教務業務：課程發展、課程編排、教學實施、學籍管理、成績評量、教學設備、教具圖書資料供應、教學研究及教學評鑑，並與輔導單位配合實施教育輔導等事項 |
國小學籍系統 (向上集中) 國小成績系統(向上集中) |
為本機關依組織法執掌，足認為重要者。 |
可能使本校部分業務中斷 |
由上級管理單位訂之 |
|
學生事務：公民教育、道德教育、生活教育、體育衛生保健、學生團體活動及生活管理，並與輔導單位配合實施生活輔導等事項。 |
無 |
為本機關依組織法執掌，足認為重要者。 |
無 |
無 |
|
總務業務：學校文書、事務及出納等事項 |
公文系統 (向上集中) |
為本機關依組織法執掌，足認為重要者。 |
可能使本校部分業務中斷 |
由上級管理單位訂之 |
|
輔導業務：學生資料蒐集與分析、學生智力、性向、人格等測驗之實施，學生興趣、學習成就與志願之調查、輔導諮商之進行，並辦理特殊教育及親職教育等事項。 |
國小輔導系統(向上集中) |
為本機關依組織法執掌，足認為重要者。 |
可能使本校部分業務中斷 |
由上級管理單位訂之 |
(二) 各欄位定義：
1. 核心業務：請參考資通安全管理法施行細則第7條之規定列示。
2. 核心資通系統：該項核心業務所必須使用之資通系統名稱。
3. 重要性說明：說明該業務對機關之重要性，例如對機關財務及信譽上影響，對民眾影響，對社會經濟影響，對其他機關業務運作影響，法律遵循性影響或其他重要性之說明。
4. 業務失效影響說明：該項業務使用之系統失效後，機關業務運作有何影響。
5. 最大可容忍中斷時間單位以小時計(對外服務以小時，對內服務以工作小時計)。
(一) 本機關之非核心業務及說明如下表：
|
非核心業務 |
業務失效影響說明 |
最大可容忍中斷時間 |
|
學校首頁(向上集中) |
可能使本校部分業務中斷 |
由上級管理單位訂之 |
(二) 各欄位定義：
1. 非核心業務系統：公務機關非核心業務相關之資通系統，如差勤服務、郵件服務、用戶端服務等。(請依機關實際情形列出)
2. 業務失效影響說明：該項業務使用之系統失效後，機關業務運作有何影響。
3. 最大可容忍中斷時間單位以小時計(對外服務以小時，對內服務以工作小時計)。
肆、資通安全政策及目標
為使本機關業務順利運作，防止資訊或資通系統受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，並確保其機密性（Confidentiality）、完整性（Integrity）及可用性（Availability），依據臺東縣政府資訊安全政策如下，以供全體同仁共同遵循：
(一) 安全：確保資訊不遭竊取、竄改、滅失或遺漏。
(二) 正確：資訊內容及處理過程精準無誤。
(三) 迅速：對資安事件之處理、通報與回復能快速完成。
(一) 適時因應法令與技術之變動，調整資通安全維護之內容，以避免資通系統或資訊遭受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，以確保其機密性、完整性及可用性。
(二) 達成資通安全責任等級分級之要求，並降低遭受資通安全風險之威脅。
三、 資通安全政策及目標之核定程序
資通安全政策由本機關簽陳資通安全長核定。
(一)本機關之資通安全政策及目標應每年透過教育訓練、內部會議、張貼公告等方式，向機關內所有人員進行宣導。
(二) 本機關應每年向利害關係人(例如IT服務供應商、與機關連線作業有關單位)進行資安政策及目標宣導。
資通安全政策及目標應定期於資通安全管理審查會議中檢討其適切性。
伍、資通安全推動組織
依本法第11條之規定，本機關擇請教務主任兼任本機關資通安全長，負責督導機關資通安全相關事項，其任務包括：
(一) 資通安全管理政策及目標之核定、核轉及督導。
(二) 資通安全責任之分配及協調。
(三) 資通安全資源分配。
(四) 資通安全防護措施之監督。
(五) 資通安全事件之檢討及監督。
(六) 資通安全相關規章與程序、制度文件核定。
(七) 資通安全管理年度工作計畫之核定
(八) 資通安全相關工作事項督導及績效管理。
(九) 其他資通安全事項之核定。
(一)本機關設置「資通安全推動小組」負責督導機關資通安全相關事項，為推動本機關之資通安全相關政策、落實資通安全事件通報及相關應變處理，由資通安全長召集人員代表成立資通安全推動小組，其任務宜包括：
1. 跨部門資通安全事項權責分工之協調。
2. 應採用之資通安全技術、方法及程序之協調研議。
3. 整體資通安全措施之協調研議。
4. 資通安全計畫之協調研議。
5. 其他重要資通安全事項之協調研議。
(二) 分工及職掌
1. 本機關之資通安全推動小組依下列分工進行責任分組，並依資通安全長之指示負責下列事項，本機關資通安全推動小組分組人員名單及職掌應列冊，並適時更新之。
2. 資通安全推動小組，其工作內容得參考下列事項：
(1) 資通安全政策及目標之研議。
(2) 訂定機關資通安全相關規章與程序、制度文件，並確保相關規章與程序、制度合乎法令及契約之要求。
(3) 依據資通安全目標擬定機關年度工作計畫。
(4) 傳達機關資通安全政策與目標。
(5) 其他資通安全事項之規劃。
(6) 資通安全相關規章與程序、制度之執行。
(7) 資訊盤點及風險評估。
(8) 資料安全防護事項之執行。
(9) 資通安全事件之通報及應變機制之執行。
(10)
其他資通安全事項之辦理與推動。
陸、專職(責)人力及經費配置
一、 專職(責)人力及資源之配置
(一) 本機關依資通安全責任等級分級辦法之規定，屬資通安全責任等級D級，其分工如下。
1. 資通安全認知與訓練業務，負責推動資通安全教育訓練等業務之推動。
2. 資通安全防護業務，資通安全防護設施建置及資通安全事件通報及應變業務之推動。
3. 資通安全管理法法遵事項業務，負責本機關對所屬公務務機關或所管特定非公務機關之法遵義務執行事宜。
(二) 本機關之承辦單位於辦理資通安全業務時，如資通安全人力或經驗不足，得洽請相關學者專家或專業機關（構）提供顧問諮詢服務。
(三) 本機關負責重要資通系統之管理、維護、設計及操作之人員，應妥適分工，分散權責，若負有機密維護責任者，應簽屬書面約定，並視需要實施人員輪調，建立人力備援制度。
(四) 本機關之首長及各級業務主管人員，應負責督導所屬人員之資通安全作業，防範不法及不當行為。
(五) 專業人力資源之配置情形應每年定期檢討，並納入資通安全維護計畫持續改善機制之管理審查。
二、 經費之配置
(一) 資通安全推動小組於規劃配置相關經費及資源時，應考量本機關之資通安全政策及目標，並提供建立、實行、維持及持續改善資通安全維護計畫所需之資源。
(二) 各單位如有資通安全相關設備之需求，可向上級機關提出相關申請，由上級機關審核申請需求及相關資源來決議。
(三) 資通安全經費、資源之配置情形應每年定期檢討，並納入資通安全維護計畫持續改善機制之管理審查。
柒、資訊及資通系統之盤點
(一) 本機關每年辦理資訊資產盤點，依管理責任指定對應之資產管理人，並依資產屬性進行分類，分別為資訊資產、軟體資產、實體資產、支援服務資產等。
(二) 資訊及資通系統資產項目如下：
1. 資訊資產：以數位等形式儲存之資訊，如資料庫、資料檔案、系統文件、操作手冊、訓練教材、研究報告、作業程序、永續運作計畫、稽核紀錄及歸檔之資訊等。
2. 軟體資產：應用軟體、系統軟體、開發工具、套裝軟體及電腦作業系統等。
3. 實體資產：電腦及通訊設備、可攜式設備及資通系統相關之設備等。
4. 支援服務資產：相關基礎設施級其他機關內部之支援服務，如電力、消防等。
5. 人員資產：內部設備維運管理人員、主管、使用人員，以及委外廠商駐點人員等。
本機關自行辦理資通業務，未維運自行或委外開發之資通系統者，其資通安全責任等級為D級。
捌、資通安全風險評估
(一) 本機關應每年針對資訊及資通系統資產進行風險評估，若配合資訊資源向上集中計畫，資訊系統由上級或監督機關兼辦或代管，則不需進行。
(二) 執行風險評估時應參考行政院國家資通安全會報頒布之最新「資訊系統風險評鑑參考指引」，並依其中之｢詳細風險評鑑方法｣進行風險評估之工作。
(三) 本機關應每年依據資通安全責任等級分級辦法之規定，分別就機密性、完整性、可用性、法律遵循性等構面評估自行或委外開發之資通系統防護需求分級。
本機關配合資訊資源向上集中計畫，核心資訊系統均由上級或監督機關兼辦或代管，不再另行訂定。
玖、資通安全防護及控制措施
本機關依據前章資通安全風險評估結果、自身資通安全責任等級之應辦事項，採行相關之防護及控制措施如下:
(一) 資訊之保管
1. 資訊管理人應確保資訊已盤點造冊並適切分級，並持續更新以確保其正確性。
2. 資訊管理人應確保資訊被妥善的保存或備份。
3. 資訊理人應確保重要之資訊已採取適當之存取控制政策。
(二) 資訊及資通系統之使用
1. 本機關同仁使用資訊及資通系統前應經其管理人授權。
2. 本機關同仁使用資訊及資通系統時，應留意其資通安全要求事項，並負對應之責任。
3. 本機關同仁使用資訊及資通系統後，應依規定之程序歸還。資訊類資訊之歸還應確保相關資訊已正確移轉，並安全地自原設備上抺除。
4. 非本機關同仁使用本機關之資訊及資通系統，應確實遵守本機關之相關資通安全要求，且未經授權不得任意複製資訊。
5. 對於資訊及資通系統，宜識別並以文件記錄及實作可被接受使用之規則。
(三) 資訊之刪除或汰除
1. 資訊之刪除或汰除前應評估機關是否已無需使用該等資訊，或該等資訊是否已妥善移轉或備份。
2. 資訊之刪除或汰除時宜加以清查，以確保所有機敏性資訊及具使用授權軟體已被移除或安全覆寫。
3. 具機敏性之資訊，宜採取實體銷毀，或以毀損、刪除或覆寫之技術，使原始資訊無法被讀取，並避免僅使用標準刪除或格式化功能。
(一) 網路安全控管
1. 本機關應定期檢視防火牆政策是否適當，並適時進行防火牆軟、硬體之必要更新或升級。若為向上集中管理，則由上級單位統一辦理更新與升級。
2. 內部網路之區域應做合理之區隔，使用者應經授權後在授權之範圍內存取網路資源。
3. 使用者應依規定之方式存取網路服務，不得於辦公室內私裝電腦及網路通訊等相關設備。
4. 無線網路防護
(1) 機密資料原則不得透過無線網路及設備存取、處理或傳送。
(2) 無線設備應具備安全防護機制以降低阻斷式攻擊風險，且無線網路之安全防護機制應包含外來威脅及預防內部潛在干擾。
(3) 行動通訊或紅外線傳輸等無線設備原則不得攜入涉及或處理機密資料之區域。
(4) 用以儲存或傳輸資料且具無線傳輸功能之個人電子設備與工作站，應安裝防毒軟體，並定期更新病毒碼。
(二) 加密管理
1. 本機關之機密資訊於儲存或傳輸時應進行加密。
2. 本機關之加密保護措施應遵守下列規定：
(1) 應避免留存解密資訊。
(2) 一旦加密資訊具遭破解跡象，應立即更改之。
(一)防範惡意軟體之控制措施
1. 本機關之主機及個人電腦應安裝防毒軟體，並時進行軟、硬體之必要更新或升級。
(1) 經任何形式之儲存媒體所取得之檔案，於使用前應先掃描有無惡意軟體。
(2) 電子郵件附件及下載檔案於使用前，宜於他處先掃描有無惡意軟體。
(3) 確實執行網頁惡意軟體掃描。
2. 使用者未經同意不得私自安裝應用軟體，管理者並應每年定期針對管理之設備進行軟體清查。
3. 使用者不得私自使用已知或有嫌疑惡意之網站。
4. 設備管理者應定期進行作業系統及軟體更新，以避免惡意軟體利用系統或軟體漏洞進行攻擊。
(二) 遠距工作之安全措施
1. 本機關資通系統之操作及維護以現場操作為原則，避免使用遠距工作，如有緊急需求時，應申請並經資通安全推動小組同意後始可開通。
2. 資通安全推動小組應定期審查已授權之遠距工作需求是否適當。
(三) 電子郵件安全管理
1. 本機關人員到職後應經申請方可使用電子郵件帳號，並應於人員離職後刪除電子郵件帳號之使用。
2. 應定期進行電子郵件帳號清查。
3. 電子郵件伺服器應設置防毒及過濾機制，並適時進行軟硬體之必要更新，若為向上集中管理，則由上級單位統一辦理。使用者使用電子郵件時應提高警覺，並使用純文字模式瀏覽，避免讀取來歷不明之郵件或含有巨集檔案之郵件。
4. 原則不得電子郵件傳送機密性或敏感性之資料，如有業務需求者應依相關規定進行加密或其他之防護措施。
5. 使用者不得利用機關所提供電子郵件服務從事侵害他人權益或違法之行為。
6. 使用者應確保電子郵件傳送時之傳遞正確性。
7. 使用者使用電子郵件時，應注意電子簽章之要求事項。
8. 本機關應配合上級機關舉辦電子郵件社交工程演練，並檢討執行情形。
(四) 確保實體與環境安全措施
1. 資料中心及電腦機房之門禁管理(有機房之機關參考)
(1) 資料中心及電腦機房應進行實體隔離。
(2) 機關人員或來訪人員應申請及授權後方可進入資料中心及電腦機房，資料中心及電腦機房管理者並應定期檢視授權人員之名單。
(3) 機關人員應隨時注意身分不明或可疑人員。
(4) 僅於必要時，得准許外部支援人員進入資料中心及電腦機房。
(5) 人員及設備進出資料中心及電腦機房應留存記錄。
2. 資料中心及電腦機房之環境控制(有機房之機關參考)
(1) 資料中心及電腦機房應安裝之安全偵測及防護措施，如熱度及煙霧偵測設備、火災警報設備、溫濕度監控設備、漏水偵測設備、入侵者偵測系統，以減少環境不安全引發之危險。
(2) 各項安全設備應定期執行檢查、維修。
3. 辦公室區域之實體與環境安全措施
(1) 應考量採用辦公桌面的淨空政策，以減少文件及可移除式媒體等在辦公時間之外遭未被授權的人員取用、遺失或是被破壞的機會。
(2) 文件及可移除式媒體在不使用或不上班時，應存放在櫃子內。
(3) 機密性及敏感性資訊，不使用或下班時應該上鎖。
(4) 機密資訊或處理機密資訊之資通系統應避免存放或設置於公眾可接觸之場域。
(5) 顯示存放機密資訊或具處理機密資訊之資通系統地點之通訊錄及內部人員電話簿，不宜讓未經授權者輕易取得。
(6) 資訊或資通系統相關設備，未經管理人授權，不得被帶離辦公室。
(五) 資料備份
1. 重要資料應進行資料備份，並執行異地存放。
2. 敏感或機密性資訊之備份應加密保護。
(六) 媒體防護措施
1. 使用隨身碟或磁片等存放資料時，具機密性、敏感性之資料應與一般資料分開儲存，不得混用並妥善保管。
2. 資訊如以實體儲存媒體方式傳送，應留意實體儲存媒體之包裝，選擇適當人員進行傳送，並應保留傳送及簽收之記錄。
3. 為降低媒體劣化之風險，宜於所儲存資訊因相關原因而無法讀取前，將其傳送至其他媒體。
4. 對機密與敏感性資料之儲存媒體實施防護措施，包含機密與敏感之紙本或備份磁帶，應保存於上鎖之櫃子，且需由專人管理鑰匙。
(七) 電腦使用之安全管理
1. 電腦、業務系統或自然人憑證，若超過十五分鐘不使用時，應立即登出或啟動螢幕保護功能並取出自然人憑證。
2. 禁止私自安裝點對點檔案分享軟體及未經合法授權軟體。
3. 連網電腦應隨時配合更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。
4. 筆記型電腦及實體隔離電腦應定期以人工方式更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。
5. 下班時應關閉電腦及螢幕電源。
6. 如發現資安問題，應主動循機關之通報程序通報。
7. 支援資訊作業的相關設施如影印機、傳真機等，應安置在適當地點，以降低未經授權之人員進入管制區的風險，及減少敏感性資訊遭破解或洩漏之機會。
(八) 行動設備之安全管理
1. 機密資料不得由未經許可之行動設備存取、處理或傳送。
2. 機敏會議或場所不得攜帶未經許可之行動設備進入。
(九) 即時通訊軟體之安全管理
1. 使用即時通訊軟體傳遞機關內部公務訊息，其內容不得涉及機密資料。但有業務需求者，應使用經專責機關鑑定相符機密等級保密機制或指定之軟、硬體，並依相關規定辦理。
2. 使用於傳遞公務訊息之即時通訊軟體宜考量下列安全性需求：
(1) 用戶端應有身分識別及認證機制。
(2) 訊息於傳輸過程應有安全加密機制。
(3) 應通過經濟部工業局訂定行動化應用軟體之中級檢測項目。
(4) 伺服器端之主機設備及通訊紀錄應置於我國境內。
(5) 伺服器通訊紀錄（log）應至少保存六個月。
本機關為D級機關無需針對核心資通系統制定業務持續運作計畫與演練。
(一)本機關應建置防毒軟體、防火牆，如有設置電子郵件伺服器應建立電子郵件過濾裝置，持續使用並適時進行軟、硬體之必要更新或升級。前項之防火牆、電子郵件伺服器若為向上集中管理，則由上級單位統一辦理更新與升級。
(二) 資安設備設定異動應保留相關修改紀錄，並定期檢討執行情形。
壹拾、 資通安全事件通報、應變及演練相關機制
為即時掌控資通安全事件，並有效降低其所造成之損害，本機關應訂定資通安全事件通報、應變及演練相關機制，詳資通安全事件通報應變程序。
壹拾壹、 資通安全情資之評估及因應
本機關接獲資通安全情資，應評估該情資之內容，並視其對本機關之影響、本機關可接受之風險及本機關之資源，決定最適當之因應方式，必要時得調整資通安全維護計畫之控制措施，並做成紀錄。
本機關接受資通安全情資後，應指定人員進行情資分析，並依據情資之性質進行分類及評估，情資分類評估如下：
(一) 資通安全相關之訊息情資
資通安全情資之內容如包括重大威脅指標情資、資安威脅漏洞與攻擊手法情資、重大資安事件分析報告、資安相關技術或議題之經驗分享、疑似存在系統弱點或可疑程式等內容，屬資通安全相關之訊息情資。
(二) 入侵攻擊情資
資通安全情資之內容如包含特定網頁遭受攻擊且證據明確、特定網頁內容不當且證據明確、特定網頁發生個資外洩且證據明確、特定系統遭受入侵且證據明確、特定系統進行網路攻擊活動且證據明確等內容，屬入侵攻擊情資。
(三) 機敏性之情資
資通安全情資之內容如包含姓名、出生年月日、國民身份證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病例、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接識別之個人資料，或涉及個人、法人或團體營業上秘密或經營事業有關之資訊，或情資之公開或提供有侵害公務機關、個人、法人或團體之權利或其他正當利益，或涉及一般公務機密、敏感資訊或國家機密等內容，屬機敏性之情資。
(四) 涉及核心業務、核心資通系統之情資
資通安全情資之內容如包含機關內部之核心業務資訊、核心資通系統、涉及關鍵基礎設施維運之核心業務或核心資通系統之運作等內容，屬涉及核心業務、核心資通系統之情資。
本機關於進行資通安全情資分類評估後，應針對情資之性質進行相應之措施，必要時得調整資通安全維護計畫之控制措施。
(一) 資通安全相關之訊息情資
由資通安全推動小組彙整情資後進行風險評估，並依據資通安全維護計畫之控制措施採行相應之風險預防機制。
(二) 入侵攻擊情資
由經指派之人員判斷有無立即之危險，必要時採取立即之通報應變措施，並依據資通安全維護計畫採行相應之風險防護措施，另通知各單位進行相關之預防。
(三) 機敏性之情資
就涉及個人資料、營業秘密、一般公務機密、敏感資訊或國家機密之內容，應採取遮蔽或刪除之方式排除，例如個人資料及營業秘密，應以遮蔽或刪除該特定區段或文字，或採取去識別化之方式排除之。
(四) 涉及核心業務、核心資通系統之情資
資通安全推動小組應就涉及核心業務、核心資通系統之情資評估其是否對於機關之運作產生影響，並依據資通安全維護計畫採行相應之風險管理機制。
壹拾貳、 資通系統或服務委外辦理之管理
本機關委外辦理資通系統之建置、維運或資通服務之提供時，可由上級機關認證後，考量其之專業能力與經驗、委外項目之性質及資通安全需求，選任適當之受託者，並監督其資通安全維護情形。
壹拾參、 資通安全教育訓練
本機關依資通安全責任等級分級屬D級，一般使用者與主管，每人每年接受3小時以上之一般資通安全教育訓練。
(一) 承辦單位應於每年年初，考量管理、業務及資訊等不同工作類別之需求，擬定資通安全認知宣導及教育訓練計畫，以建立員工資通安全認知，提升機關資通安全水準，並應保存相關之資通安全認知宣導及教育訓練紀錄。
(二) 本機關資通安全認知宣導及教育訓練之內容得包含：
1. 資通安全政策(含資通安全維護計畫之內容、管理程序、流程、要求事項及人員責任、資通安全事件通報程序等)。
2. 資通安全法令規定。
3. 資通安全作業內容。
4. 資通安全技術訓練。
(三) 員工報到時，應使其充分瞭解本機關資通安全相關作業規範及其重要性。
(四) 資通安全教育及訓練之政策，除適用所屬員工外，對機關外部的使用者，亦應一體適用。
壹拾肆、 公務機關所屬人員辦理業務涉及資通安全事項之考核機制
本機關所屬人員之平時考核或聘用，依據公務機關所屬人員資通安全事項獎懲辦法，及本機關各相關規定辦理之。
壹拾伍、 資通安全維護計畫及實施情形之持續精進及績效管理機制
為落實本安全維護計畫，使本機關之資通安全管理有效運作，相關單位於訂定各階文件、流程、程序或控制措施時，應與本機關之資通安全政策、目標及本安全維護計畫之內容相符，並應保存相關之執行成果記錄。
(一) 本機關之資通安全推動小組應每年定期召開資通安全管理審查會議，確認資通安全維護計畫之實施情形，確保其持續適切性、合宜性及有效性。
(二) 管理審查議題應包含下列討論事項：
1. 與資通安全管理系統有關之內部及外部議題的變更，如法令變更、上級機關要求、資通安全推動小組決議事項等。
2. 資通安全維護計畫內容之適切性。
3. 資通安全績效之回饋，包括：
A.資通安全政策及目標之實施情形。
B.資通安全人力及資源之配置之實施情形。
C.資通安全防護及控制措施之實施情形。
D.不符合項目及矯正措施。
4. 風險評鑑結果及風險處理計畫執行進度。
5. 重大資通安全事件之處理及改善情形。
6. 利害關係人之回饋。
7. 持續改善之機會。
(三) 持續改善機制之管理審查應做成改善績效追蹤報告，相關紀錄並應予保存，以作為管理審查執行之證據。
壹拾陸、 資通安全維護計畫實施情形之提出
本機關依據本法第12條之規定，應於次年向上級或監督機關，提出上年度資通安全維護計畫實施情形，使其得瞭解本機關上年度資通安全計畫實施情形。
臺東縣臺東市仁愛國民小學資通安全維護計畫.pdf