國立臺中科技大學資通安全政策

98年3月30日97學年度第2學期第1次資訊安全推行委員會議通過
101年1月17日100學年度第1學期第4次(總第345次)行政會議通過
103年7月22日102學年度第2學期第1次資訊治理管理委員會會議通過
104年10月13日104學年度第1學期第2次(總第370次)行政會議通過
108年9月17日108學年度第1學期第1次(總第394次)行政會議通過
110年8月31日109學年度第2學期第1次資訊治理委員會會議通過

一、為確保資訊資產安全及資訊作業順利執行，依據「資通安全管理法」、「資通安全管理法施行 細則」、「行政院及所屬各機關資訊安全管理規範」、「行政院及所屬各機關資訊安全管理要 點」、「個人資料保護法」、「國立臺中科技大學資訊治理管理委員會設置要點」等相關法令 ，制訂本校資通安全政策。

二、資訊資產定義：指電腦軟體、硬體、網路通訊設施、資料庫、文件、技術、服務等有形或無形的資產。

三、資通安全定義：為了避免因人為疏失、蓄意或自然災害等風險，運用適當的控制措施，包括政策、實踐、步驟、組織結構和自動化系統等，確保資訊資產受到妥善的保護。

四、資通安全目標：確保資訊的機密性（保護資訊避免未經授權的存取）、完整性（保護資訊避免未經授權的修改）與可用性（確保經過授權的使用者在需要時可以存取相關資訊資產），保護資訊資產免遭不當使用、洩漏、竄改、破壞等情事，確保資訊蒐集、處理、傳送、儲存及流通之安全。

五、資通安全範圍：資通安全管理涵蓋十四項管理事項，避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，帶來各種可能之風險及危害。管理事項如下：

六、各項資通安全防護及管理規定，均應符合政府資通安全相關政策、規定及法令要求。

七、內部人員、委外服務廠商與訪客皆應遵守本政策，任何違反本政策或發生其他危及資訊安全之行為，將視情節輕重訴諸適當之處置程序或法律行動。

八、本政策應每年定期評估檢討，以反映政府法令、技術發展及業務需求等，以落實資通安全作業。

九、本政策經本校「國立臺中科技大學資訊治理管理委員會資訊安全規劃組」核定後施行，修正時亦同。

一、目的

二、目標

(一)本校在執行外部業務與內部行政作業時，有關個人資料之蒐集、處理及利用等活動，應符合機密性、完整性及可用性，使危及資料保護相關事故發生機率降至最低。

(二)建立本校與個人資料保護相關之標準作業程序，避免人為作業疏失及意外，並加強本校同仁對於個人資料保護之安全意識。

(三)保護本校所管理之個人資料，防範人為意圖不當或不法使用，降低駭客、病毒等入侵及破壞之風險。

三、適用範圍

四、個人資料之蒐集、處理與利用

(一)本校為執行各項業務專案、學術研究計畫與內部行政作業等需要所蒐集之個人資料，除法律另有規定或經當事人同意分享個人資料外，所有個人資料之蒐集作業與特定目的具有正當合理之關聯。且適當、相關、不過度且公平與合法地從事個人資料之處理。

(二)本校僅於下列情形之下，得為特定目的外之利用：

(三)個人資料之國際傳輸依據本校「個人資料保護管理政策」個人資料之利用及國際傳輸要求辦理。

五、個人資料之保護

(一)本校資訊治理管理委員會已設置個人資料保護規劃組，建立與實施個人資料保護管理制度。

(二)本校考量個人資料保護法及相關標準規範要求，定期進行個人資料之風險評估，並採取適當安全措施，以善盡個人資料保護之責。

(三)本校針對處理個人資料之同仁，進行適當之存取權限管控，僅開放其業務需求之最小權限，並實施權責區隔與獨立性審查。

(四)本校每年定期辦理個人資料保護宣導教育訓練，以提升同仁個人資料保護安全意識。

(五)本校因業務所保有之個人資料，均負有保密義務，除當事人要求及下列情形除外：

(六)個人資料蒐集之特定目的消失或保存期限屆滿時，本校將主動或依當事人之請求，刪除、停止處理或利用其個人資料。但因執行法定職務或業務所必須或經當事人書面同意者，不在此限。

(七)若有發生違反個人資料保護法或相關規範之個資事故，本校將立即進行緊急通報應變作業，並依相關法規與本校人事規定懲處失職人員。

六、當事人權利

七、個人資料保護聯繫管道

本校由電子計算機中心教學資訊組擔任個人資料保護聯絡窗口，受理個人資料抱怨、申訴與外洩事件，以及負責個人資料保護業務之協調聯繫，聯絡管道如下：

個人資料保護聯絡窗口電話：(04)-22195523

個人資料保護申訴信箱：cc12@nutc.edu.tw

八、參考依據

(一)個人資料保護法。

(二)個人資料保護法施行細則。