本機關依據前章資通安全風險評估結果、自身資通安全責任等級之應辦事項及核心資通系統之防護基準，採行相關之防護及控制措施如下:
(一)資訊及資通系統之使用
1.本機關同仁使用資訊及資通系統前應經其管理人授權。
2.本機關同仁使用資訊及資通系統時，應留意其資通安全要求事項，並負對應之責任。
3.本機關同仁使用資訊及資通系統後，應依規定之程序歸還。資訊類資訊之歸還應確保相關資訊已正確移轉，並安全地自原設備上抺除。
4.非本機關同仁使用本機關之資訊及資通系統，應確實遵守本機關之相關資通安全要求，且未經授權不得任意複製資訊。
5.對於資訊及資通系統，宜識別並以文件記錄及實作可被接受使用之規則。
(二)資訊及資通系統之刪除或汰除
1.資訊及資通系統之刪除或汰除前應評估機關是否已無需使用該等資訊及資通系統，或該等資訊及資通系統是否已妥善移轉或備份。
2.資訊及資通系統之刪除或汰除時宜加以清查，以確保所有機敏性資訊及具使用授權軟體已被移除或安全覆寫。
3.具機敏性之資訊或具授權軟體之資通系統，宜採取實體銷毀，或以毀損、刪除或覆寫之技術，使原始資訊無法被讀取，並避免僅使用標準刪除或格式化功能。
(一)網路安全控管
1.本機關之網路區域劃分如下：
(1)外部網路：對外網路區域，連接外部廣網路（Wide Area Network, WAN）。
(2)內部區域網路（Local Area Network, LAN）：機關內部單位人員及內部伺服器使用之網路區段。
2.外部網路及內部區域網路間連線需經防火牆進行存取控制，非允許的服務與來源不能進入其他區域。
3.應定期檢視防火牆政策是否適當，並適時進行防火牆軟、硬體之必要更新或升級。
4.對於通過防火牆之來源端主機 IP 位址、目的端主機 IP 位址、來源通訊埠編號、目的地通訊埠編號、通訊協定、登入登出時間、存取時間以及採取的行動，均應予確實記錄。
5.本機關內部網路之區域應做合理之區隔，使用者應經授權後在授權之範圍內存取網路資源。
6.對網路系統管理人員或資通安全主管人員的操作，均應建立詳細的紀錄。並應定期檢視網路安全相關設備設定規則與其日誌紀錄，並檢討執行情形。
7.使用者應依規定之方式存取網路服務，不得於辦公室內私裝電腦及網路通訊等相關設備。
8.無線網路防護
(1)機密資料原則不得透過無線網路及設備存取、處理或傳送。
(2)無線設備應具備安全防護機制以降低阻斷式攻擊風險，且無線網路之安全防護機制應包含外來威脅及預防內部潛在干擾。
(3)行動通訊或紅外線傳輸等無線設備原則不得攜入涉及或處理機密資料之區域。
(4)用以儲存或傳輸資料且具無線傳輸功能之個人電子設備與工作站，應安裝防毒軟體，並定期更新病毒碼。
(二)資通系統權限管理
1.本機關之資通系統應設置通行碼管理，通行碼之要求需滿足：
(1)通行碼長度 6 碼以上。
(2)通行碼複雜度應包含英文及數字。
(3)使用者應該對其個人所持有通行碼盡保密責任。
2.使用者使用資通系統前應經授權，並使用唯一之使用者 ID，除有特殊營運或作業必要經核准並紀錄外，不得共用 ID。
3.使用者無繼續使用資通系統時，應立即停用或移除使用者 ID，資通系統管理者應定期清查使用者之權限。
(三)加密管理
1.本機關之機密資訊於儲存或傳輸時應進行加密。
2.本機關之加密保護措施應遵守下列規定：
(1)應落實使用者更新加密裝置並備份金鑰。
(2)應避免留存解密資訊。
(3)一旦加密資訊具遭破解跡象，應立即更改之。
(一)防範惡意軟體之控制措施
1.本機關之主機及個人電腦應安裝防毒軟體，並時進行軟、硬體之必要更新或升級。
(1)經任何形式之儲存媒體所取得之檔案，於使用前應先掃描有無惡意軟體。
(2)電子郵件附件及下載檔案於使用前，宜於他處先掃描有無惡意軟體。
(3)確實執行網頁惡意軟體掃描。
2.使用者未經同意不得私自安裝應用軟體，管理者並應每半年定期針對管理之設備進行軟體清查。
3.使用者不得私自使用已知或有嫌疑惡意之網站。
4.設備管理者應定期進行作業系統及軟體更新，以避免惡意軟體利用系統或軟體漏洞進行攻擊。
(二)遠距工作之安全措施
1.本機關資通系統之操作及維護以現場操作為原則，避免使用遠距工作，如有緊急需求時，應申請並經資通安全處理小組同意後始可開通。
2.資通安全處理小組應定期審查已授權之遠距工作需求是否適當。
3.針對遠距工作之連線應採適當之防護措施（並包含伺服器端之集中過濾機制檢查使用者之授權），並且記錄其登入情形。
(1)提供適當通訊設備，並指定遠端存取之方式。
(2)提供虛擬桌面存取，以防止於私有設備上處理及儲存資訊。
(3)進行遠距工作時之安全監視。
(4)遠距工作終止時之存取權限撤銷，並應返還相關設備。
(三)電子郵件安全管理
1.本機關人員到職後應經申請方可使用電子郵件帳號，並應於人員離職後刪除電子郵件帳號之使用。
2.電子郵件系統管理人應定期進行電子郵件帳號清查。
3.電子郵件伺服器應設置防毒及過濾機制，並適時進行軟硬體之必要更新。
4.使用者使用電子郵件時應提高警覺，並使用純文字模式瀏覽，避免讀取來歷不明之郵件或含有巨集檔案之郵件。
5.原則不得電子郵件傳送機密性或敏感性之資料，如有業務需求者應依相關規定進行加密或其他之防護措施。
6.使用者不得利用機關所提供電子郵件服務從事侵害他人權益或違法之行為。
7.使用者應確保電子郵件傳送時之傳遞正確性。
8.使用者使用電子郵件時，應注意電子簽章之要求事項。
9.本機關應定期舉辦（或配合上級機關舉辦）電子郵件社交工程演練，並檢討執行情形。
(四)確保實體與環境安全措施
1.辦公室區域之實體與環境安全措施
(1)應考量採用辦公桌面的淨空政策，以減少文件及可移除式媒體等在辦公時間之外遭未被授權的人員取用、遺失或是被破壞的機會。
(2)文件及可移除式媒體在不使用或不上班時，應存放在櫃子內。
(3)機密性及敏感性資訊，不使用或下班時應該上鎖。
(4)機密資訊或處理機密資訊之資通系統應避免存放或設置於公眾可接觸之場域。
(5)顯示存放機密資訊或具處理機密資訊之資通系統地點之通訊錄及內部人員電話簿，不宜讓未經授權者輕易取得。
(6)資訊或資通系統相關設備，未經管理人授權，不得被帶離辦公室。
(五)資料備份
1.重要資料應進行資料備份，其備份之頻率應滿足復原時間點目標之要求，並執行異地存放。
2.敏感或機密性資訊之備份應加密保護。
(六)媒體防護措施
1.使用隨身碟或磁片等存放資料時，具機密性、敏感性之資料應與一般資料分開儲存，不得混用並妥善保管。
2.資訊如以實體儲存媒體方式傳送，應留意實體儲存媒體之包裝，選擇適當人員進行傳送，並應保留傳送及簽收之記錄。
3.為降低媒體劣化之風險，宜於所儲存資訊因相關原因而無法讀取前，將其傳送至其他媒體。
4.對機密與敏感性資料之儲存媒體實施防護措施，包含機密與敏感之紙本或備份磁帶，應保存於上鎖之櫃子，且需由專人管理鑰匙。
(七)電腦使用之安全管理
1.電腦、業務系統或自然人憑證，若超過十五分鐘不使用時，應立即登出或啟動螢幕保護功能並取出自然人憑證。
2.禁止私自安裝點對點檔案分享軟體及未經合法授權軟體。
3.連網電腦應隨時配合更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。
4.筆記型電腦及實體隔離電腦應定期以人工方式更新作業系統、應用程式漏洞修補程式及防毒病毒碼等。
5.下班時應關閉電腦及螢幕電源。
6.如發現資安問題，應主動循機關之通報程序通報。
7.支援資訊作業的相關設施如影印機、傳真機等，應安置在適當地點，以降低未經授權之人員進入管制區的風險，及減少敏感性資訊遭破解或洩漏之機會。
(八)行動設備之安全管理
1.機密資料不得由未經許可之行動設備存取、處理或傳送。
2.機敏會議或場所不得攜帶未經許可之行動設備進入。
3.員工一律禁用私人的可攜式設備及可攜式儲存媒體等設施，如公務上須使用則須提出申請經權責主管核准後方可使用。
4.可攜式設備及可攜式儲存媒體僅限於公務使用，禁止使用於私人用途，使用時應僅防資訊外洩或中毒。
5.使用者如需使用外來的可攜式資訊設備或可攜式儲存媒體，必須先進行掃毒，確認其不含病毒與惡意程式，掃毒後方可進行資料之上傳及寫入作業，以避免受到惡意程式的威脅。
6.將機密資料存放於可攜式儲存媒體上時，得採取適當加密處理或設定密碼保護（如Word、Excel或壓縮軟體之密碼功能），避免可攜式儲存媒體遺失時造成資訊外洩。
7.筆記型電腦應安裝防毒軟體，並定期檢查作業系統修正程式與更新病毒碼為最新版本。
8.存有重要機密性資訊之可攜式資訊設備或儲存媒體攜出時，設備管理人員應負保護之責不得離身，且針對相關檔案資料須執行加密或先清除其機密資訊，以避免資料洩露，另作業完成後須徹底抹去媒體上相關資料。
9.可攜式設備及儲存媒體遺失時應立即通報單位主管，並評估資料遺失是否具有機密性，依情節之重大程度決定是否向上呈報。
(九)即時通訊軟體之安全管理
使用即時通訊軟體傳遞機關內部公務訊息，其內容不得涉及機密資料。但有業務需求者，應使用經專責機關鑑定相符機密等級保密機制或指定之軟、硬體，並依相關規定辦理。
1.本機關應建置防毒軟體、網路防火牆、電子郵件過濾裝置，持續使用並適時進行軟、硬體之必要更新或升級。
資安設備應定期備份日誌紀錄，定期檢視並由主管複核執行成果，並檢討執行情形。
資通安全...