教育体系资通安全管理规范实施自评表

《教育体系资通安全管理规范实施自评表》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、文件名稱教育體系資通安全暨個人資料管理規範(實施自評表文件編號EDU-ISCB-B-02-04機密等級敏感版次V3.0報告/紀錄編號（粗線框內資料由教育機構資安驗證中心填寫。）教育機構資安驗證中心教育體系資通安全暨個人資料管理規範實施自評表(資通安全)驗證申請單位：驗證地址：驗證標準：教育體系資通安全暨個人資料管理規範（中華民國10X年X月X日版）/附錄A資通安全管理規範自評日期：中華民國年月日驗證範圍：評分標準說明：符合:相關資訊安全管理制度規範已建立，且落實執行不符合:相關資訊安全管理制度規範未建立，或未落實執行不適用:該項控制項不適用(規範本文

2、條文均須適用)第30頁/共30頁文件名稱教育體系資通安全暨個人資料管理規範(實施自評表文件編號EDU-ISCB-B-02-04機密等級敏感版次V3.0報告/紀錄編號（粗線框內資料由教育機構資安驗證中心填寫。）查檢項目–規範本文條款章節條文自評結果相關參考文件/說明符合不符合不適用陸、適用性聲明(StatementofApplicability)擬建置ISMS之教育體系機關(構)與學校可依據前揭所提及之適用等級選擇控制措施，參考附錄A之控制措施，提出「ISMS適用性聲明」。各等級機關(構)與學校適用之控制措施請參照「附錄A資訊安全管理規範附件1各級教育

3、機構適用控制項對照表」。附錄A控制措施之排除僅限適用範圍內資訊系統無需執行，且排除後不影響該機關(構)與學校提供資通安全能力與責任之控制措施。教育機構如欲取得驗證，所有附錄A資訊安全管理規範內之控制項，除標註「建議」者外均應納入，同時應參考「資訊系統分級與資安防護基準作業規定」，鑑別適用範圍內資訊系統之安全等級，經資訊系統分級與鑑別後，識別出具有等級為「高」者之資訊系統，應加入A.14系統獲取、開發及維護與A.15供應者關係等控制領域所有控制措施，並於該控制措施中述明適用之資訊系統。□□□柒、建置步驟及需求一、組織全景第30頁/共30頁文件名稱教育體

4、系資通安全暨個人資料管理規範(實施自評表文件編號EDU-ISCB-B-02-04機密等級敏感版次V3.0報告/紀錄編號（粗線框內資料由教育機構資安驗證中心填寫。）(一)施行機關(構)或學校應依據相關法令要求、行政院及教育主管機關所下達之重要決定或指導(包括但不限於主管機關之行政指導、重要會議決議事項等)、組織透過相關會議所做成之決議(包括但不限於主管會報、行政會議或校務會議等之決)，針對資通安全或個人資料安全之維護需求進行評估，並據此建立或調整資通安全與個人資料管理範圍與目標。□□□(二)施行機關(構)或學校應依據決議事項確認其關注方(利害相關團體)

5、與要求事項，並留存文件化紀錄。□□□(三)上述事項之識別與分析應定期審查(每年至少一次)，或於施行機關(構)或學校遭遇重大變更、或有新增業務時重新檢視，並供管理審查時，評估管理系統及其適用範圍是否有調整之必要性。□□□二、領導作為(一)領導及承諾管理制度管理人或召集人應由施行機關(構)或學校之副首長以上擔任或指定，並藉由下列事項，展現對管理制度之領導與承諾：1.建立或核定機關(構)或學校之管理政策與目標。2.傳達管理制度要求事項之遵循與持續改善的承諾。3.提供管理制度運行所需資源及人力。□□□第30頁/共30頁文件名稱教育體系資通安全暨個人資料管理規

6、範(實施自評表文件編號EDU-ISCB-B-02-04機密等級敏感版次V3.0報告/紀錄編號（粗線框內資料由教育機構資安驗證中心填寫。）(二)建立政策與目標1.管理人或召集人應確保建立文件化的管理政策，並於機關(構)或學校內進行公告或傳達，同時依需要提供予利害相關團體。□□□2.管理政策應包含符合機關(構)或學校之管理目的與目標、滿足管理制度要求事項與、以及持續改善之承諾。□□□3.施行機關(構)或學校應依規劃期間或重大變更時，於透過管理審查管理活動評估管理政策與目標，並配合變更需求修訂政策與目標。□□□(三)單位角色、責任及權限管理人或召集人應建立

7、制度管理小組，依機關(構)或學校特性，指派人員並賦予其管理之責任與權限，以促進達成本規範之要求事項。□□□受指派人員應定期（每年至少一次）或於重大變更時向管理階層報告管理制度執行成效。ISMS與PIMS所配置人員應依據附錄A.6資訊安全組織與附錄B.2個人資料管理組織派任。□□□三、規劃(一)管理目標達成風險與機會之因應行動□□□第30頁/共30頁文件名稱教育體系資通安全暨個人資料管理規範(實施自評表文件編號EDU-ISCB-B-02-04機密等級敏感版次V3.0報告/紀錄編號（粗線框內資料由教育機構資安驗證中心填寫。）為確保達成制度管理目標，並預防

8、或減少非預期之影響，以達成持續改善，應依規劃期間或重大變更時，評估管理目標異動與達成情形，如有異動或未達成狀