A1.資訊資產盤點 - 合規週期
A2.資訊資產盤點 - 落實範圍為全校

不能只有全校完成率，也要抽查實際清冊內容，建議可以如此佐證：

1. 1. 全校資訊資產盤點進度統計表（必要核心證據）
      提供一份全校彙整表，確認盤點週期及各單位執行情形，不必要求每個單位分別製作一份進度報告。建議至少包含：115年實際啟動或辦理盤點的日期、納入盤點的全校單位總數、截至統計日已完成盤點的單位數、尚未完成預計後續完成的單位數、已完成單位數占應完成單位數的比例。若115年盤點尚未結束，應明確區分已完成、進行中及尚未完成的單位，不宜將預計完成數量直接列為已完成數量，建議附帶呈現114年完整盤點成果，避免只看到當年度進度，卻無法確認前一年度是否完整執行。

   2. 部分單位的資訊資產盤點清冊（必要核心證據）
      不必要求全校所有單位的清冊，但宜選取不同性質的單位，例如資訊中心、行政單位及教學研究單位，確認盤點並非只落實於資訊單位。抽選部分不同性質單位的清冊，檢視資訊資產欄位是否充分，以及盤點是否有實際更新、汰除或新增資產。

   3. 盤點週期及更新情形的佐證（可與前述資料整合）
      若盤點統計表已清楚呈現年度、執行日期及完成情形，可不必另外製作週期報告。如部分抽查清冊能看出資產新增、汰除或資料更新，則可直接作為實際執行的補強證據。

B.辦理全校(資訊資產盤點)教育訓練及成效評估

不能只有教育訓練紀錄，卻沒有任何成效評估資料，建議可以如此佐證：

1. 1. 資訊資產盤點教育訓練紀錄（必要核心證據）
      提供一份全校資訊資產盤點相關教育訓練的佐證，例如教育訓練簡報、通知、簽到紀錄或線上學習紀錄。應能確認訓練內容與資訊資產盤點作業有關，並涵蓋實際執行盤點所需的基本要求，例如：資訊資產盤點及清冊填寫方式、資產新增/異動/移轉及汰除的更新要求、資產管理權責及單位主管應辦事項、資產價值評估及盤點資料正確性的重要性。不必要求每個單位分別舉辦教育訓練，但應能說明如何讓全校相關資訊資產管理人員獲得必要的作業指引。

   2. 教育訓練成效評估紀錄（必要核心證據）
      只有教育訓練簡報、通知或簽到表，尚不足以證明已評估訓練成效。建議提供一份實際執行的成效評估紀錄，例如：
      - 內部稽核抽問紀錄： 抽問部分單位資訊資產管理人員，確認其是否了解盤點、清冊更新及資產汰除等作業要求。
      - 抽樣測驗結果： 以簡短測驗確認受訓人員是否理解盤點程序及清冊填寫原則。
      - 盤點清冊抽查結果： 抽查部分單位的清冊，確認欄位填寫及資產異動更新是否符合要求，並記錄發現的問題及改善情形。

C.定期檢視清冊內容正確性及評估資產價值

學校有定期檢視清冊正確性並評估資產價值，而不是只有定期要求各單位重新提交清冊，建議可以如此佐證：

1. 1. 內部稽核或其他有效檢視方式的紀錄（必要核心證據）
      提供一份實際執行的清冊檢視紀錄，例如內部稽核報告、資訊資產盤點抽查紀錄或其他有效的檢視文件。紀錄應能看出學校確實檢查清冊內容，而非只確認文件存在。若學校已透過內部稽核檢查資訊資產清冊，可以直接使用稽核報告及相關抽查紀錄佐證。若沒有透過內部稽核執行，也可以採用其他有效的檢視方式，但應能說明檢視範圍、檢視項目、發現結果及後續處理情形。

   2. 部分單位清冊檢視前後差異或缺失改善紀錄
      選取部分單位的實際案例，呈現檢視發現的問題及處理結果。例如：
      - 已汰除的設備仍列在清冊中，後續完成更新。
      - 資產管理責任人異動，後續完成修正。
      - 系統功能或重要性改變，重新評估資產價值。
      - 抽查發現清冊與實際使用情形不符，後續完成補正。

   3. 資產價值評估紀錄（必要核心證據）
      提供部分代表性資訊資產的價值評估紀錄，確認學校不只是更新資產基本資料，也有定期檢視資產價值或重要性是否仍然適當。若資產價值評估已整合在資訊資產清冊內，可直接提供相關欄位及代表性紀錄，不必另外製作重複表單。

A.定期盤點學校公務用IoT - 合規週期
B.定期盤點學校公務用IoT - 落實範圍為全校

符合週期、涵蓋全校，且能掌握設備及管理責任人，建議可以如此佐證：

1. 全校公務用 IoT 盤點進度統計表（必要核心證據）
   提供一份全校彙整表，呈現公務用 IoT 的盤點週期、執行範圍及完成情形。

2. IoT 獨立盤點清冊之部分內容（必要核心證據）
   提供部分IoT清冊，作為資安窗口掌握全校IoT的主要依據。建議將教學研究場域、行政單位的公務用 IoT 設備列入，以確認盤點範圍並非只涵蓋資訊中心管理的設備。書面審查不會對清冊逐筆檢視，但應該會確認設備識別資訊、管理單位、管理責任人及其他必要欄位充分完整。

3. 部分IoT清冊異動更新紀錄說明
   可確認IoT設備新增、移轉、停用或汰除時，清冊有相應更新。若更新紀錄已直接呈現在清冊的異動欄位或版本紀錄中，不必另外要求重複文件。

C.IoT安全管控(密碼複雜度/網路存取限制/漏洞修補等)

落實密碼安全、網路存取限制及漏洞修補等要求，建議可以如此佐證：

1. 1. IoT 安全管控措施紀錄或稽核報告（必要核心證據）
      依臺教資(四)字第 1100128345 號函要求，應檢視IoT設備是否落實：不得使用弱密碼、廠商預設密碼，並符合規範之密碼複雜度要求，以及設定適當網路存取限制。
      建議提供一份正式的安全檢查紀錄、內部稽核報告或IoT安全管控檢查表，並以紅框標示與本指標相關的內容。

   2. 發現缺失的改善或追蹤紀錄
      若抽查紀錄發現弱密碼、網路存取限制不足或漏洞未妥善處理等問題，應能提供改善及追蹤紀錄。若尚未完成改善，應能辨識負責單位、處理進度及後續安排。

A.主機弱點掃描(全部核心系統週期合規)
B.網站弱點掃描(全部核心系統週期合規)
C.滲透測試(全部核心系統週期合規)

全部核心系統是否完成適用檢測，且符合規定週期，建議可以如此佐證：

1. 全校核心系統清單（必要核心證據）
   提供一份經確認的核心系統清單，列出系統名稱及必要的識別資訊，例如主機 IP、網址或系統識別碼，以利與檢測報告逐一核對。這是本組指標的基礎。若沒有核心系統清單，即使提供多份檢測報告，也難以判斷是否已涵蓋全部核心系統。

2. 三類安全檢測報告的封面或摘要節錄（必要核心證據）
   分別提供主機弱點掃描、網站弱點掃描及滲透測試報告的必要頁面，不必提供所有完整報告。節錄內容應能辨識：
   - 檢測類型及執行日期。
   - 受測系統名稱、IP 或網址。
   - 檢測結果摘要及漏洞風險列表。
   - 報告所涵蓋的系統範圍。

3. 核心系統與檢測報告對照表（必要核心證據）
   以一份簡表將核心系統清單與三類檢測結果對應，標示各系統是否完成檢測、檢測日期及報告編號。

4. 檢測週期佐證（與前述資料整合即可）
   由檢測報告日期及年度檢測計畫或執行紀錄，確認各項檢測符合規定週期。若對照表已能呈現檢測日期、報告編號及週期，便可直接使用。

D.資安健診(應包含5項辦理項目細項)

五項是否完整辦理，檢測範圍與數量是否合理，建議可以如此佐證：

1. 1. 資安健診項目及辦理成果彙整表（必要核心證據）
      提供一份彙整表，列出本年度辦理的資安健診項目、執行單位或廠商、執行日期、經費及檢測結果摘要。應能確認健診涵蓋五項細部項目：網路架構檢視、網路惡意活動檢視、使用者端電腦惡意活動檢視、伺服器主機惡意活動檢視、目錄伺服器設定及防火牆連線設定檢視。

   2. 資安健診報告摘要及部分檢測紀錄（必要核心證據）
      不必提供全部健診報告，可提供報告封面、檢測項目清單、執行範圍、結果統計及部分代表性摘要，證明各項檢測確實辦理。其中，使用者端電腦惡意活動檢視容易被忽略，應特別確認有無實際執行紀錄，而不是只列在健診計畫中。

   3. 主機及使用者端電腦數量對照表（必要核心證據）
      教育體系的稽核共識是：原則上每個系統所在的主機及網路環境，以及具有系統管理權限使用者的電腦，均應納入資安健診範圍。就認定健診範圍完整，應提供系統清冊或設備清冊摘要，與資安健診實際檢測數量進行核對。應注意：
      - 伺服器主機： 以系統清單核對數量，確認系統所在主機均納入健診範圍。
      - 使用者端電腦： 確認具有系統管理權限之使用者電腦有納入健診，並提供檢測紀錄。
      - 網路環境： 確認系統所在的網路環境及相關健診項目有納入檢測範圍。

   4. 分年分批執行說明
      若健診採分年或分批執行，提供歷年執行數量及範圍彙整，說明各批次如何涵蓋全校應檢測的主機及使用者端電腦。

E.執行多於合規要求之檢測範圍
F.執行多於合規要求之檢測頻率(週期)

有實際執行超出最低要求的檢測，建議可以如此佐證：

1. 1. 法規要求與實際執行差異對照表（必要核心證據）
      提供一份簡表，明確比較最低合規要求與學校實際執行的檢測範圍及頻率。

   2. 額外檢測範圍佐證（E 指標）
      若學校將檢測範圍擴大至非核心系統或其他次網域，可提供額外受測清單，以及部分檢測報告封面或摘要，證明這些對象確實完成檢測。不必提供所有額外系統的完整報告，但應能從清單、網址或系統識別資訊及報告日期確認，所列額外範圍確實有執行檢測。

   3. 額外檢測頻率佐證（F 指標）
      若學校每半年或每季檢測，而非僅依最低要求每年檢測，應提供年度檢測計畫、各次執行日期及相應報告編號。例如，以同一核心系統為例，若要證明一年執行兩次檢測，應能從兩次檢測的日期及報告確認確實完成，而非只提供年度計畫表。

A.訂定全校系統資通系統防護等級與對應的控制措施

建立適用全校的管理方式，建議可以如此佐證：

1. 全校系統清冊及防護等級管理方式（必要核心證據）
   提供全校系統清冊或相關管理文件的摘要，說明學校如何盤點系統、判定防護等級，以及依防護等級對應應執行的控制措施。不必提出全校所有系統的完整評估資料，但應能看出學校已建立全校適用的管理方式，而非僅針對資訊中心管理的系統辦理。

2. 資通系統防護等級與控制措施對照資料（必要核心證據）
   提供學校採用的防護基準查檢表或對照文件，確認其內容包含具體的防護基準控制措施，而非只有系統防護等級的評估結果。

B.落實系統防護措施查檢表

實際查檢具體控制措施，且不只涵蓋資訊中心，建議可以如此佐證：

1. 1. 不同類型系統的實際查檢表（必要核心證據）
      提供少量具有代表性的已填寫查檢表，建議優先選擇資訊中心管理的系統、行政業務單位的系統、教學研究單位網站或系統，呈現學校有將防護措施查檢落實於不同單位，而非只查檢資訊中心的系統。

   2. 全校執行方式或涵蓋情形摘要
      以一份簡短說明或系統清冊摘要，說明學校如何要求各單位辦理查檢，以及如何掌握全校系統的執行情形。說明呈現全校管理方式，再搭配前述資訊中心、行政及教學研究單位等代表性案例補強實際執行情形即可。

C.經學校核定之系統防護措施查檢表(或相關檢驗文件)

經主管確認，並納入管理階層追蹤，建議可以如此佐證：

1. 1. 經單位主管核章的實際查檢表（必要核心證據）
      提供與 B 相同的代表性查檢表，但應能看到單位主管簽核或核章，證明查檢結果已經權責主管確認。若 B 提供的查檢表已填寫完整，且具備適當主管核章，即可同時作為 B、C 的佐證。

   2. 管理審查會議資料（重要補強證據）
      提供一份管理審查會議相關資料，例如管審簡報、會議紀錄或系統防護措施查檢執行情形彙整，說明學校已將查檢執行情形納入管理審查。建議將相關報告段落以紅框標示，讓審查者能快速確認此議題已提報管理階層。

   3. 顧問檢視紀錄
      若學校有委請顧問協助檢視，顧問檢視紀錄可以作為額外佐證；但若未來不會持續聘請顧問，就不應將顧問檢視設定為必要的常態作業。

A.資訊服務委外之作業程序已納入法遵要求。(如資安法施行細則第4條、機關應辦事項、資通系統防護基準等)

法規要求是否逐項對應至內部程序，建議可以如此佐證：

1. 法規要求與內部程序對照表（必要核心證據）
   提供一份法規對照表，將適用的資安法施行細則第 4 條、資通系統防護基準及機關應辦事項等要求，逐項對應至校內委外管理程序的相關章節。對照表建議包含法規或要求名稱、具體要求、內部程序文件名稱、對應章節及落實方式。

2. 現行資訊服務委外管理程序（必要核心證據）
   提供正式核定或現行有效的資訊服務委外管理程序，讓審查者能依對照表查閱實際條文，確認法遵要求已納入程序，而非僅在對照表中列出法規名稱。

3. 代表性委外作業文件
   提供一份代表性的委外需求文件、採購規範或委外稽核作業規定，佐證校內程序已將相關資安要求落實至實際作業。

B.已建立資訊服務委外契約範本(已納入資安法對受託者的要求)

資安責任是否納入契約，且實際簽約有採用，建議可以如此佐證：

1. 1. 正式資訊服務委外契約範本（必要核心證據）
      提供校內現行使用的資訊服務委外契約範本，確認契約已納入適用的資安要求及受託者責任。內容應依委外服務性質，涵蓋必要的資安責任、資料及系統保護、存取權限管理、資安事件通報與配合處理、稽核配合，以及契約終止後的資料返還或銷毀等事項。

   2. 契約資安條款對照表
      提供一份簡要對照表，列出重要資安要求及其在契約範本中的對應條款，方便審查者快速確認要求已納入契約。

   3. 實際委外契約節錄（代表性佐證）
      提供一份實際簽訂的資訊服務委外契約相關頁面，將資安責任及受託者義務的相關條款以紅框標示，證明校內不只是有範本，實際簽約時也有採用。

C.訂定並落實委外查核後續追蹤情形

當年度選案結果及選擇理由，讓審查者能理解為何查核這些廠商，建議可以如此佐證：

1. 1. 委外廠商查核及選案原則（必要核心證據）
      提供一份委外查核作業規定或年度查核規劃，說明如何決定當年度應查核的廠商，選案原則可依風險及重要性考量，例如：委外系統是否屬核心系統或涉及重要業務？是否處理敏感資料或具有較高系統存取權限？過去查核是否曾發現缺失？委外服務的風險程度及服務範圍？契約期間、服務變更或其他需要特別關注的因素？

   2. 實際填寫的委外查核紀錄（必要核心證據）
      提供至少一份已實際執行的委外查核紀錄，內容應包含查核對象、查核日期、查核項目、查核結果、缺失說明及查核人員等資訊。

   3. 查核缺失改善及追蹤紀錄
      若查核發現缺失，提供一份代表性的改善追蹤紀錄，呈現缺失內容、改善要求、負責人員、預定完成期限、改善結果及複核情形。

   4. 年度委外查核彙整表
      提供一份簡要彙整表，列出年度規劃查核廠商、實際查核廠商、選案理由、查核結果及追蹤狀態。若當年度查核多家廠商，可用完整彙整表呈現整體執行情形，再附一份代表性查核報告及必要的改善紀錄，不必一開始就將所有廠商的完整查核文件全部送審。

D.受託者履約直接相關人員落實完成資安訓練

是否確認受託者專案成員實際完成資安訓練，建議可以如此佐證：

1. 1. 受託者專案成員清冊（必要核心證據）
      提供一份清冊，列出受託廠商中實際參與委外服務履約的人員，例如系統開發、維護、管理、技術支援或其他可接觸校內系統及資料的人員。清冊宜記載廠商名稱、人員姓名、履約工作內容及所屬委外案，以便與契約及訓練紀錄核對。

   2. 契約或需求文件中的資安訓練要求
      提供實際簽訂的契約、招標文件（RFP）或相關需求文件節錄，將要求受託者履約人員接受資安訓練的條款以紅框標示，證明學校已將訓練義務納入委外要求。

   3. 廠商人員實際參訓證明（必要核心證據）
      提供代表性訓練紀錄，例如教育訓練簽到表、訓練完成清冊、結業證明或相關課程紀錄。

A.落實重要資料異地備份規劃及回復測試(至少全部核心系統) 

實際還原驗證，建議可以如此佐證：

1. 還原測試紀錄表／測試報告（必要核心證據）
   至少包含測試日期、受測系統、還原來源與時間點、測試範圍、實際操作、驗證項目、測試結果及執行人員。這是審查者了解整個測試過程的主要依據。

2. 還原操作的原始佐證（必要核心證據）
   附上足以證明實際還原的系統操作紀錄、工作執行結果或適當的操作畫面，並能辨識測試日期、資料來源及還原目標。

3. 資料驗證或系統功能驗證紀錄（必要核心證據）
   附上與測試目標直接相關的結果，例如檔案清單比對、雜湊值驗證、資料庫一致性檢查，或系統負責人執行關鍵功能測試的紀錄。如果測試範圍只是檔案還原，就明確說明只驗證檔案；若要證明整個系統可復原，就必須有相應的系統或應用功能測試。

4. 測試結果確認及缺失改善
   由適當權責人員確認測試結果。若測試失敗，附上原因分析、改善措施及複測結果；若通過，則應說明依據哪些標準判定通過。

C.落實查核配套機制

備份作業與紀錄人工查核，建議可以如此佐證：

1. 備份基準清單＋人工查核表（必要核心證據）
   清楚列出查核期間、應有的備份時間點、實際核對結果、查核人員及日期。若查核表有「應有數量／實際數量／缺漏日期／異常處理」等欄位，審查者就能看出人工查核的實質內容。

2. 代表性備份原始報表（必要核心證據）
   選取一個完整且有代表性的查核期間，提供自動備份機制管理介面匯出報表或其他可信的原始紀錄，讓審查者能核對日期、執行結果及異地端狀態。不必附上全校所有備份資料，但必須讓報表的範圍、期間及所對應的查核表清楚可辨。

3. 異常處理或持續執行紀錄
   若有異常，選取一件可呈現「發現問題、分析原因、採取措施、確認改善」的完整案例。
   若該期間沒有異常，可提供連續月份的查核表，證明人工查核持續執行。

C.盤點全校資訊人員(含辦理系統委外人員)

證明盤點範圍不只限於資訊中心，建議可以如此佐證：

1. 1. 全校資訊人員清冊（必要核心證據）
      提供一份完整的全校資訊人員清冊(建議遮蔽部分姓名)，清冊宜記載所屬單位、人員類別、負責系統或業務，以及是否納入資安教育訓練統計，至少涵蓋以下三類人員：
      - 資訊中心人員。
      - 各單位系統管理人員，例如教務處、學務處及各系所的系統管理人員。
      - 資訊系統委外承辦或維護人員，例如駐點工程師、系統維護廠商及負責系統委外管理的承辦人員。

   2. 資訊人員盤點依據及彙整紀錄
      提供一份簡要的盤點說明，說明如何從組織人員資料、各單位系統管理人員名冊及系統委外資料彙整全校資訊人員。若資訊人員分散於各單位，建議保留各單位確認人員名單的紀錄，例如回覆郵件、名冊確認表或盤點簽認紀錄，可提供彙整後的確認結果及少量代表性紀錄。

D.統計並提報各類訓練執行比率於管理審查會議

將統計表、完成紀錄及會議紀錄相互對應，建議可以如此佐證：

1. 1. 各類人員教育訓練統計表（必要核心證據）
      提供一份全校資安教育訓練統計表，依適用的各類人員分類統計，統計表應明確列出各類人員的應受訓人數、實際完成訓練人數及訓練執行比率。

   2. 訓練完成情形彙整表或報表
      提供一份能支持統計結果的訓練完成紀錄，例如教育訓練平台匯出報表或各類人員完成情形彙整表。不必提交所有人員的個別訓練證明，但統計表上的完成數應能回溯至實際訓練紀錄。

   3. 管理審查會議紀錄（必要核心證據）
      提供已完成的管理審查會議紀錄，並將資安教育訓練統計及執行比率的相關段落以紅框標示，讓審查者能快速確認此項議題確實已提報管理審查會議。若會議有討論未完成訓練的人數、執行率不足的原因或後續改善措施，也可一併標示。

E.資訊人員參與資安相關增能課程或訓練

明確與資安相關的課程，並保留足以證明課程內容及實際參訓情形的紀錄，建議可以如此佐證：

1. 1. 資訊人員資安增能訓練紀錄（必要核心證據）
      提供資訊人員參與資安相關增能課程或訓練的彙整清冊，記載參訓人員、課程名稱、訓練日期、時數及辦理單位等資訊。課程內容應能辨識與資訊安全相關，例如資安技術、資安管理、系統安全、網路防護、弱點管理或資安事件應變等。

   2. 課程內容或課程簡介
      若僅從課程名稱無法判斷是否與資安相關，可附上課程簡介、訓練大綱或課程主題說明，協助審查者確認課程的資安專業關聯性。

   3. 代表性訓練證明
      提供少量代表性佐證，例如訓練證書、結業證明、主辦單位參訓紀錄或可確認參訓情形的課程紀錄。不必將每位資訊人員參加的所有課程證明全部附上，可先以完整的參訓彙整清冊為主，再提供代表性證明供書面審查核對。

A.通報程序宣導措施，並有成效評估。

校內人員是否知道發生資安事件時應通知誰、透過什麼管道通報，建議可以如此佐證：

1. 校內資安事件通報程序及通報流程（必要核心證據）
   提供正式的資安事件通報程序或校內通報流程圖，明確說明校內人員發現資安異常時，應通知的對象、通報管道、處理窗口及基本處理方式。

2. 校內宣導佐證
   提供一份具代表性的宣導紀錄，例如校內公告函文、電子郵件公告、教育訓練教材簡報或相關會議紀錄，證明通報程序已向校內人員宣導。宣導內容應能讓校內人員了解發生資安事件時該通知誰，而不只是提供資安法規或一般資安知識。

3. 宣導成效評估文件（必要核心證據）
   提供一份成效評估紀錄，說明如何確認宣導是否有效，例如透過測驗、問卷或情境題，了解受宣導人員是否知道通報窗口、通報方式及基本處理流程。

B.自辦資通安全事件通報及應變演練

校內是否實際演練過通報與應變流程，建議可以如此佐證：

1. 校內資安事件通報及應變演練計畫（必要核心證據）
   提供一份演練計畫，說明演練目的、情境、參與單位、演練時間、通報流程及預期驗證項目。演練情境應能檢驗校內人員發現異常後，是否知道如何通報，以及接獲通報的校內窗口如何進行初步判斷、通知相關人員及啟動後續處理。

2. 校內通報及應變演練紀錄（必要核心證據）
   提供一份已完成的演練紀錄，記載演練情境、參與人員或單位、事件發現方式、通報管道、通報時間、接收窗口及處理過程。可搭配演練紀錄表、通報訊息、會議紀錄或必要的過程截圖，作為實際執行的佐證。

3. 校內通報演練報告及成效檢討
   提供一份演練結果報告，說明演練是否達到預期目標、通報流程是否順暢、是否發生通報延遲或聯絡不到窗口等問題，以及後續改善措施。

A.訂定遠端連線限制管理程序 

落實管理程序，建議可以如此佐證：

1. 遠端連線管理程序（必要核心證據）
   提供正式的遠端連線管理程序，內容應明確規定原則禁止、例外允許，以及申請、核准、開放、使用、關閉及異常處理等流程。

2. 代表性遠端連線申請單
   提供一份已完成核准及結案的遠端維護申請單，呈現申請人、維護目的、連線對象、預定時段及核准紀錄。

3. 遠端維護作業紀錄
   提供同一案件的維護完成或結案紀錄，證明申請程序確實落實，而非只有書面規定。

B.管控防護措施

管控防護執行，建議可以如此佐證：

1. 1. 遠端存取防護設定（必要核心證據）
      提供代表性的防火牆或 VPN 設定節錄，呈現來源、目的主機、服務及允許條件等限制，證明遠端連線受到技術管控。

   2. 遠端存取架構或管控方式說明
      以簡要架構圖或文字說明遠端人員如何經由防火牆、VPN、跳板機等機制連線至校內系統，以及相關防護措施。

   3. 核准申請單與實際設定的對照紀錄
      選取一件已核准的遠端維護案件，對照申請內容與實際防護設定，確認來源、目標及服務範圍一致。

C.限制外部人員開放時段及時長(如非工作時間管控)

申請單應明確記載確切時段，並能以防火牆規則等證據證明該時段確實生效，建議可以如此佐證：

1. 1. 遠端連線申請單（必要核心證據）
      提供一份已核准的遠端維護申請單，明確記載開始及結束日期、時間，以及維護目的與連線對象。

   2. 防火牆時段設定或規則有效期間（必要核心證據）
      提供與該申請單對應的防火牆排程、規則設定或其他技術紀錄，證明允許連線的時段符合核准內容。

   3. 開放及關閉的執行紀錄
      若採人工開放及關閉，提供相關操作紀錄；若採自動排程，則提供能佐證排程設定及生效情形的紀錄。

D.定期檢視遠端存取授權適切性

掌握目前仍有效的遠端存取權限，建議可以如此佐證：

1. 1. 定期授權檢視紀錄（必要核心證據）
      提供最近一次已完成的檢視表或清冊覆核紀錄，載明檢視日期、檢視人員、檢視範圍及檢查結果，證明已實際確認授權是否仍有必要。

   2. 授權調整或撤銷紀錄
      若發現不再需要的帳號或權限，提供一件代表性停用、撤銷或調整紀錄，證明檢視結果有實際落實。

E.應存錄核心系統遠端連線之活動，且應保護及定期審查該日誌。

即使沒有開放遠端連線，也應審查阻擋紀錄，並保留防火牆 Deny Log 的定期審查紀錄，建議可以如此佐證：

1. 1. 日誌設定及保存規範（必要核心證據）
      提供日誌管理規範或相關設定節錄，說明核心系統遠端連線活動的記錄範圍、保存位置、保存期限及存取權限。

   2. 代表性遠端連線日誌
      提供指定期間的代表性原始 Log，例如允許連線（Allow Log）、遭拒絕連線（Deny Log）或驗證失敗紀錄，作為人工審查的依據。

   3. 日誌定期審查紀錄（必要核心證據）
      提供已完成的日誌審查表或審查工作單，記載審查期間、審查人員、檢視範圍、審查結果及異常處理情形。

   4. 異常處理紀錄
      若發現可疑來源、非預定時段連線或其他異常，提供一件代表性調查及處理紀錄，證明異常有被追蹤。