稽核分析

資安稽核是評估組織資訊安全措施和政策是否符合標準的關鍵程序。112至113年的內部稽核揭示了一些常見問題，可能對組織資訊安全構成風險。在本頁面中，我們將按角色分類，包括系統管理者、主管和系統開發者，介紹常見問題和解決方案。

資產盤點清冊與更新【所有人員】

稽核常見：

未執行資訊資產系統盤點作業。
資訊資產盤點作業應再落實，如未列出資訊系統、廠商人員、資料庫、跳板機等資訊資產。
未隨時維護更新資訊資產清冊及進行風險評估。

國教體系ISMS管理文件規範：

1. 1. 若委外單位已有ISMS文件與經驗，則以委外單位之資產清冊進行資產、資通系統盤點，並確認資料有效性；若委外單位尚未有ISMS文件與經驗，請依國教體系ISMS文件之「ISMS-2-001資訊資產管理程序書」落實盤點人員類、資訊類、硬體類、軟體類、環境保護類之資訊資產。
  2. 應確實盤點資產建立清冊，並定期更新資產清冊，委外單位若無ISMS文件與經驗，請參考國教體系ISMS文件之「ISMS-2-001-01資訊資產清冊」並定期更新與維護之。

建議事項：

🔸 資訊資產分類：

人員類：編制內人員、臨時鐘點人員、委外受託單位/駐點人員、委外委託單位

範例—正式編制人員、臨時人員、工讀生、專案人員、委外受託單位……等。

資訊類：作業文件、系統文件、契約資通紀錄(電子/紙本)、系統紀錄(Log)
範例：資料庫與資料檔案、備份資料、原始程式碼、網路架構圖、系統文件、操作或支援程序、使用手冊、教育訓練教材、管理制度文件、緊急應變& 復原計畫、營運持續計劃（BCP）、稽核日誌、契約與協議、報表、表單記錄……等。
硬體類：個人電腦、可攜式電腦、伺服器、資安設備、網路設備、可攜式儲存媒體、電腦保護設施、其他硬體

範例：

一般硬體：包含電腦設備（伺服器、筆記型電腦、個人電腦、工作站）、 CD/DVD 燒錄器、CD/DVD 光碟機、磁帶機、軟碟機、投影機、PDA、印表機……等。
通訊設備：集線器、橋接器、網路交換器、路由器、數據機、電話自動交換機（PBX）、網路纜線、防火牆、入侵偵測系統、視訊會議設備、傳真機、手機。
儲存媒體：CD/DVD（空白）、硬碟（無資料）、磁片（空白）、磁帶（空白）、移動式硬碟（空白）、錄音/影帶（無資料）……等。

4. 軟體類：作業系統、應用系統、套裝軟體、軟體開發工具、資通安全系統

範例：應用系統軟體、作業系統軟體、開發工具、套裝軟體、公用程式、防火牆軟體、防毒軟體、驗證軟體、資料庫管理系統(DBMS)、加密軟體、文件管理系統、內部開發程式、內部發展系統......等。

5. 環境保護類：一般辦公區域、特殊辦公區域、資通機房、倉庫、建築保護設施

範例：

建築類：電腦機房、會議室、辦公室、監控室、接待區、交貨區/裝載區……等。
環境保護設施：不斷電系統、第二電力供應迴路、穩壓器、機櫃、避雷裝置、警報系統、備用發電系統、環境控制系統（火偵測、熱偵測、水偵測、溫濕度偵測、自動消防滅火系統）……等。

🔸 資訊資產分級：

機敏：

含機密或敏感資訊,僅提供少數相關業務承辦人員及其權責單位主管,或被授權之單位及人員使用。
發生資通安全事件可能造成未經授權之資訊揭露,對機關之營運、資產或信譽等方面將產生非常嚴重或災難性之影響。
資訊資產存取權限須經由高階主管核准同意。

限閱：

含部分敏感資訊,僅供組織內部人員或被授權之外部單位使用。
發生資通安全事件可能造成未經授權之資訊揭露,對機關之營運、資產或信譽等方面將產生嚴重之影響。
資訊資產存取權限須經由權責單位主管核准同意。

一般：

為一般性資料可對外公開,但須遵守相關發布流程。
發生資通安全事件可能造成未經授權之資訊揭露，對機關之營運、資產或信譽等方面將產生有限之影響。
資訊資產存取權限只須經由資訊資產使用者同意。

身分驗證管理-使用者電腦【所有人員】

(new)身分驗證管理：資通系統及委辦計畫團隊所在場域或執行計畫相關業務之個人電腦密碼設定

稽核常見未達到：

密碼最長使用期限為90天
修改密碼不得與前3次（以上）密碼相同
密碼不得與帳號相同
密碼不得使用鍵盤連續字元組成（如：qwer）

國教體系ISMS管理文件規範：

1. 1. 檢核項目包括：
  2. A.符合政府組態基準（GCB）之帳號密碼原則。
  3. B.密碼最短長度為8碼。
  4. C.密碼最長使用期限為90天。
  5. D.密碼複雜度須為4取3原則(以下4種取其中3種組成密碼即為4取3原則):
  6. (A)英文字母大寫。(B)英文字母小寫。
  7. (C)阿拉伯數字。 (D)特殊符號。
  8. E.修改密碼不得與前3次（以上）密碼相同
  9. F.密碼最短使用期限為1天
  10. G.帳號3次（以下）嘗試登入失敗鎖定帳號
  11. H.帳號鎖定時間至少15分鐘
  12. I.密碼不得與帳號相同
  13. J.密碼不得使用鍵盤連續字元組成（如：qwer）

身分驗證管理-資通系統【系統開發員】

稽核常見：

帳號管理：資通系統之管理權限帳號設定
1. - 帳號以8碼以上組成，需包含英文大、小寫、數字以上3種字元之其中2種。
  - 帳號密碼不可相同。
  - 不可使用鍵盤順序鍵（如：qwer）。
  - 不可使用身分證字號。
身分驗證管理：資通系統之管理權限密碼設定
1. - 密碼以12碼以上組成，需包含英文大、小寫、數字、特殊符號以上4種字元之其中3種。
  - 帳號密碼不可相同。
  - 不可使用鍵盤順序鍵（如：qwer）。
建立帳號管理機制，包含帳號之申請、建立、修改、啟用、停用及刪除之程序。
具備帳戶鎖定機制，帳號登入進行身分驗證失敗達三次後，至少十五分鐘內不允許該帳號繼續嘗試登入或使用機關自建之失敗驗證機制。
使用密碼進行驗證時，應強制最低密碼複雜度；強制密碼最短及最長之效期限制。(對非內部使用者，可依機關自行規範辦理)
密碼變更時，至少不可以與前3次使用過之密碼相同。(對非內部使用者，可依機關自行規範辦理)
限制最高管理者權限帳號數量，不能超過3個為基準。

國教體系ISMS管理文件規範：

1. 1. 若無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-2-007帳號密碼及存取控制管理程序書」第6.6.2節之帳號密碼使用管理原則，各資通系統管理者每年應審查所有系統使用者及管理者帳號一次，以確保所有帳號及存取權限之合法使用，並將查核結果記錄於「ISMS-2-007-03系統帳號審查紀錄單」中備查。
  2. 若委外單位已有ISMS文件與經驗，請比對管理文件是否有符合國教署管理文件之查核規定。

建議事項：

1. 1. 系統具備帳號管理機制(申請、建立、修改、啟用、停用、刪除)。
  2. 定期檢視是否帳號異常建立、竄改或啟用等。
  3. 建立基準使用者設定檔並偵測異常行為，如以下操作：

在不尋常的時間嘗試登入
來自異常位置的登入嘗試
來自未知裝置的登入嘗試

1. 1. 密碼複雜度包含長度限制及組成字元種類，強制密碼最短效其目的防止短期內頻繁變換密碼後又改回原始密碼，強制最常效期目的避免固定使用同一密碼。實務可參考政府組態基準建議值。
  2. 前3次舊密碼應被保留(以雜湊值形式)，設定新密碼若雜湊值同前則拒絕之。
  3. 系統應實作帳戶鎖定機制，於鎖定期間禁止該帳號所有登入嘗試，超過鎖定時間則重新計次。

詳細內容可參考👉資安技術分享

安全性檢測：資通安全健診【所有人員】

稽核常見：

資通系統尚未移入機房

未執行使用者端電腦惡意活動檢視
未有修補紀錄。

資通系統已建置於機房

未執行使用者端電腦惡意活動檢視。

未檢視使用者端電腦檢測之完整性。

未定期執行。
未有修補紀錄。

國教體系ISMS管理文件規範：

1. 1. 若委外委託單位無相關ISMS文件，則可參考國教體系ISMS文件之「ISMS-2-006 網路安全管理程序書」第6.2.9.1節配合相關作業，須依系統防護等級定期執行資通系統弱點掃描、滲透測試、源碼檢測、資安健診等安全性檢測作業，補強結果紀錄於「ISMS-2-006-06 安全性檢測風險處理單」。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

可依據系統放置機房環境於政府電子採購網進行採購。

若檢測有相關弱點，補強紀錄於「ISMS-2-006-06 安全性檢測風險處理單」。

備份資料定期回復【系統管理員】【系統開發員】

稽核常見：

未進行備份回復測試，應定期測試以確保備份資料有效性。
備份作業應定期檢核執行狀況，依國教體系管理文件規定，定期執行資料回復測試並留存紀錄文件。
備份資料定期回復測試，僅有佐證資料未有完整簽核。

國教體系ISMS管理文件規範：

1. 1. 若委外單位無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-2-009資訊備份管理程序書」第6.5.6節配合相關作業，至少每年執行資料回復測試，以確認備份資料之可用性。並將測試結果紀錄於「ISMS-2-009-02備份資料回復測試紀錄表」。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

🔸資料備份

資料備份3-2-1原則
至少三份備份、分別放置兩種不同儲存媒體、一份存放於異地

🔸資料備份週期

視資料量成整速度、重要性、資料總量來制定備份週期。
備份週期直接與資通系統定義之RPO關聯。
備份週期關係到資源分配與備份成本。

🔸資料備份確認

國教體系「ISMS-2-009-01 資通系統備份計畫表」

🔸資通系統之備份涵蓋範圍

系統：系統設定檔、程式碼、資料庫、系統日誌等。
網通設備：交換器設定檔、防火牆設定檔、防火牆政策規則、
使用者個人資料：電子郵件資料庫、個人雲端文件庫
歷史資料：因法規或相關政策規範所必須留存之歷史資料。

日誌之監控與查核【系統管理員】【系統開發員】

稽核常見：

未定期檢視紀錄檔（3個月），並留存相關文件記錄。
系統稽核紀錄應包含OS事件、DB事件、AP事件、備份容量等事件Log（含稽核系統主機及所連線之防火牆，針對所有管理者及使用者帳號執行之各項紀錄檔）。
定期確認日誌備份情況及備份有效性。
無達到留存6個月日誌要求。
稽核資訊之保護：系統必須保存系統日誌或建置系統記錄伺服器

國教體系ISMS管理文件規範：

1. 1. 若委外單位無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-2-005實體與環境安全管理程序書」第5.5節規定，根據「ISMS-2-005-04主機系統/防火牆安全檢查表」第9大題要求定期做日誌查核。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

1. 1. 若委外單位使用其ISMS管理文件，需符合國教體系管理文件之規定，留存3個月之紀錄與審查文件。
  2. 需將查核紀錄留存，加註於ISMS-2-005-04主機系統/防火牆安全檢查表(或放入附件)。
  3. 與資通系統相關之軟硬體設備、均需建立必要之日誌留存機制。
  4. 日誌之產出、留存、審查及保存。
  5. 建立各資通系統日誌之保護與不可否認性。
  6. 系統日誌紀錄應包含紀錄應包含人、事、時、地、物等關鍵資訊。
  7. 系統登入資訊之留存，包含使用者與管理者帳號之正常登入與登入失敗之紀錄。
  8. 資通系統之日誌留存與保護目的為提供資安事件(故)之數位軌跡資訊，提供事件分析使用，應同時考量內部時鐘應依機關規定之時間週期與基準時間源進行同步。(中、高)

安全性檢測【系統管理員】【系統開發員】

稽核常見：

弱點掃描：全部核心與非核心資通系統每年辦理兩次網站安全弱點檢測，中級以上風險須於2週內完成修補。
源碼掃描：

系統源碼掃描頻率如下：

a.核心資通系統每半年辦理一次源碼掃描。

b.非核心系統每年辦理一次源碼掃描。

中級以上風險須於1個月內完成修補。並均經複掃確認。如業管單位未能依限改善，須提出風險處理計畫，並簽陳中心核可。
系統發展生命週期開發階段執行源碼掃描檢測規定，請參資通系統防護基準控制措施查核表。
**💡此題項明年查核重點：今年度檢測後是否有修補風險**

4.滲透測試：全部核心資通系統每二年辦理一次系統滲透測試，中級以上風險須於2週內完成修補，並均經複掃確認。如業管單位未能依限改善，

須提出風險處理計畫，並簽陳長官核可。

國教體系ISMS管理文件規範：

1. 1. 若委外單位無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-2-006網路安全管理程序書」第6.2.9.1節配合相關作業，依照資通安全責任等級A級之公務機關應辦事項規定，須依系統防護等級定期執行資通系統弱點掃描、滲透測試、源碼檢測、資安健診等安全性檢測作業，如業管單位未能依限改善，應填寫「ISMS-2-006-06安全性檢測風險處理單」，於處理說明補強措施，並簽陳國教署核可，以便進行追蹤列管，並留下處置紀錄。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

1. 1. 目前中心已提供主機弱掃、網頁弱掃、源碼檢測服務。(由委外建置系統單位提出檢測需求，中心固定每個月執行主機弱掃、每半年執行源碼檢測，若檢測報告有中高風險，由各組承辦進行管考與追蹤)

資通安全防護措施【系統管理員】

稽核常見：

端點偵測及應變機制(EDR)：初次受核定或等級變更後之二年內，完成端點偵測及應變機制導入作業，並持續維運及依主管機關指定之方式提交偵測資料。
政府組態基準(GCB)：初次受核定或等級變更後之一年內，依主管機關公告之項目，完成政府組態基準導入作業，並持續維運。導入政府組態基準可能會導致伺服器服務異常，建議於套用政府組態基準前將伺服器資料進行備份，或是確保備援系統正常運作，將伺服器套用政府組態基準後，持續觀察服務是否異常，一旦出現異常則使用備份系統或備援機制將伺服器服務還原。
資通安全弱點通報機制(VANS)：初次受核定或等級變更後之一年內，完成資通安全弱點通報機制導入作業，並持續維運及依主管機關指定之方式提交資訊資產盤點資料。
稽核事件：每3個月至少完成一次檢視主機紀錄檔及防火牆紀錄檔(log review)作業。

國教體系ISMS管理文件規範：

1. 1. 若委外單位無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-2-006網路安全管理程序書」第6.2.8.4節配合相關作業，依照資通安全責任等級B級之公務機關應辦事項規定，須依系統防護等級定期執行資通系統弱點掃描、滲透測試、源碼檢測、資安健診等安全性檢測作業，補強結果紀錄於「ISMS-2-006-02資通設備重大弱點補強紀錄表」。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

GCB安裝教學(可參考下方做法)
常見缺失為套用GCB Agent後未更改到組態，請進行確認｢密碼永久有效｣是否有勾稽。(可參考下方做法)

若尚未導入VANS，請跟各單位的聯絡窗口要載點。
若出現高風險弱點資料將通知各委外受託單位進行修復，若未能於期限內完成修補，需填寫「ISMS-2-006-06 安全性檢測風險處理單」。

GCB安裝教學

安裝成功後，從「檔案總管」→確認C:\Program Files (x86)路徑下是否產生4MOSAn_GCB_Doctor目錄

若使用者帳戶啟用「密碼永久有效」之規定，GCB套用時無法覆蓋此原則，系統將不會要求使用者變更密碼，　導致使用者密碼永遠不會到期。

套用GCB Agent後未更改到組態，請進行確認｢密碼永久有效｣是否有勾稽。

履約檢核及督導管理【系統管理員】【主管】

稽核常見：

2023年在【履約檢核及督導管理】的要求上新增並調整了以下幾個項目：

受託機構應填寫「保密合約書」，相關人員均應簽訂簽訂「保密同意書」。
受託機構團隊成員不得為陸籍人士，並不得提供及使用大陸廠牌資通訊產品。
依「資通安全責任等級分級辦法」附表九「資通系統防護需求分級原則」載明資通系統防護需求等級(防護需求等級為普、中、高級)，並依「資通安全責任等級分級辦法」附表十「資通系統防護基準」完成相對應防護需求等級之資通系統防護基準控制措施。
經費編列明細表及投標清單明列資訊及資安經費，並資安經費須占資訊經費百分之五估算。
受託機構執行受託業務，違反資通安全相關法令或知悉資通安全事件時，應立即通知本署及採行之補救措施，提出緊急應變處置，並配合機關做後續處理；必要時，得由資通安全管理法主管機關於適當時機公告與事件相關之必要內容及因應措施，並提供相關協助。

國教體系ISMS管理文件規範：

1. 1. 國教體系ISMS文件之「ISMS-2-012資訊業務委外作業管理程序書」第6.8.2節之規定，應依據與委外受託單位所簽訂契約或任何安全協議中所陳述之資通安全規範。

建議事項：

1. 1. 該項目為2023年度新上榜的項目，主要是因要求上有做一些新增與調整，可參考上方【稽核常見】的說明，檢查委辦契約是否有加入或調整這些要求。

契約簽訂【系統管理員】【主管】

稽核常見：

委外系統應納入資安相關法規。
宜再確認委外合約之資安條款、違約罰則及個資保護之項目是否完備。
僅有申請機制，未簽約。
應再審視與委外廠商合約終止或解除時，廠商所留存機關系統機敏資料(如：備份檔、程式碼、組態檔...等)的處置要求與規範的適切性。

國教體系ISMS管理文件規範：

1. 1. 國教體系ISMS文件之「ISMS-2-012資訊業務委外作業管理程序書」第6.6.1.4節之規定，委外合約中應包含保密條款並簽署「保密同意書」，若須接觸機敏資訊時，應簽署「保密切結書」，並遵守相關法令法規及資通安全規範，有關同意書及切結書應採用公共工程委員會頒布之資訊服務採購契約範本之版本。
  2. 系統發展安全政策相關安全工程原則亦適用資通系統委外開發，並應納入合約規範並定期檢視，以確認供應商系統開發遵從相關安全程序與原則。[ISMS-2-008系統發展與維護管理程序書第6.2節]

建議事項：

🔸可於契約中加入下列文字：

1. 系統必須完全符合「資通安全責任等級分級辦法」附表十「資通系統防護基準」相關要求，且乙方應遵守資通安全管理法、其相關子法及行政院所頒訂之各項資通安全規範及標準，並遵守機關資通安全管理及保密相關規定。

2. 乙方應就承作本專案而蒐集、處理、利用之個人資料建構完備之資料控管保護機制，並遵守個人資料保護相關法令規定及資訊保密附加條款。

系統與資訊完整性-漏洞修復【系統開發員】

稽核常見：

系統漏洞應定期修補，以確保系統安全維運，如：測試平台的windows update、WinRAR安全漏洞...等。
資料庫主機作業系統為Windows Server2008，微軟公司已於2020年1月中止維護支援，宜盡速更新。
宜留意WordPress之漏洞修補及時做必要控制措施。

國教體系ISMS管理文件規範：

1. 1. 若委外單位無ISMS文件與經驗，則可參考國教體系ISMS文件之「ISMS-3-001一般資通設備安全管理作業標準書」第5.3節規定，電腦使用者或管理者應定期更新作業系統及其它應用程式之弱點修補程式，並保持更新至最新狀態。
  2. 若委外單位有ISMS文件與經驗，則以委外單位之ISMS文件作為稽核參考。

建議事項：

應定期進行軟體元件漏洞修復與更新，包含作業系統、資通系統伺服器、開發框架，以及第三方函式庫等軟體元件。

可參考資安技術網頁的說明。

個人資料管理【所有人員】

稽核常見:

🔸個人資料檔案盤點

加強個人資料檔案盤點的完整性，如個資的備份資料、保密承諾書等。

加強個資盤點紀錄之保存期限與銷毀期限識別。

機關宜再審視個人資料盤點清冊各欄位之定義，完善相關說明。

🔸個人資料檔案風險評估

未進行個人資料檔案盤點。
威脅分析之衝擊分析簡易於國教署管理文件。
未定義資料保存期限，並定期執行銷毀作業。
未進行個資風險評估。

國教體系ISMS管理文件規範：

🔸個人資料檔案盤點

1. 1. 若委外委託單位無相關PIMS文件，則可參考國教體系PIMS文件之「PIMS-2-001個人資料盤點作業管理程序書」第6.2節應就業務之流程，屬於個人資料作業、流程及範圍內進行個人資料識別、清查與盤點，各單位每年至少進行1次盤點作業，盤點紀錄於「PIMS-2-001-01 個人資料項目盤點表」。
  2. 若委外單位有PIMS文件與經驗，則以委外單位之PIMS文件作為稽核參考。

🔸個人資料檔案風險評估

若委外委託單位無相關PIMS文件，則可參考國教體系PIMS文件之「PIMS-2-002個人資料風險評鑑與處理管理程序書」第6.3節規範。
若委外單位有PIMS文件與經驗，則以委外單位之PIMS文件作為稽核參考。

建議事項：

確認目的與範圍

確認個人資料儲存的地點、使用情境及風險。
確定哪些系統、部門或流程涉及個人資料。
涉及的個人資料類型（如姓名、身分證號碼、聯絡資訊、健康資料等）。

資料盤點流程

(1) 定義資料清單:確認組織內哪些資料屬於個人資料。

按照資料類型進行分類：
一般資料（如姓名、電話、地址）
敏感資料（如健康紀錄、財務資訊、犯罪紀錄）

(2) 盤點資料來源：個人資料從何處收集

網站表單
實體文件
第三方提供
自動化系統收集（如監控、打卡）

(3) 確認資料儲存位置：確認資料儲存在

紙本檔案：如文件櫃或倉庫。
電子檔案：如伺服器、雲端存儲、個人電腦、隨身碟。

(4) 確認資料的使用與流向

資料如何使用：

用於業務需求？行銷用途？稽核檢查？

資料的共享對象：

內部使用、跨部門共享，還是提供第三方（如外包商）。

(5) 確認資料保存期限

確認資料保存多久。
是否有政策來刪除不必要的資料。

風險評估

風險類型

資料洩露：未加密或未妥善保護。
未經授權使用：內部人員濫用權限。
保存期限過久：增加風險與責任。....

風險處理措施

增加資料加密。
建立權限控管與稽核記錄。
實施資料刪除程序。 ....

文件化與報告

建立個人資料盤點清單，內容包括：

資料名稱與類型。
使用目的。
儲存位置。
保存期限。
涉及部門。
資料擁有者。

匯整盤點結果，生成報告，供內部審核或主管機關查核。

改善與追蹤

制定改進計畫：

修訂資料保護政策。
增加安全防護措施。
定期檢視資料保存情況。

安排定期盤點（建議每年一次）。

可參考國教署PIMS文件之「PIMS-2-001-01個人資料檔案盤點表」

Page updated

Report abuse