1-7 ISMS適用範圍

是否將全部核心資通系統納入資訊安全管理系統(ISMS)適用範圍？ (A、B級機關：全部核心資通系統2年內完成ISMS導入，3年內通過公正第三方驗證，第三方核發之驗證證書應有我國標準法主管機關委託機構之認證標誌；C級機關：全部核心資通系統2年內完成ISMS導入) 

是否針對重要業務訂定適當之變更管理程序，且落實執行，並定期檢視、審查及更新程序(如業務調整後對外資訊更新等)？ 

是否訂定資訊作業委外安全管理程序，包含委外選商及監督相關規定，確保委外廠商執行委外作業時，具備完善之資通安全管理措施或通過第三方驗證？ 

針對自行或委外開發之資通系統是否依資通系統防護需求分級原則完成資通系統分級，且依資通系統防護基準執行控制措施？ 

此項已於「1-3 資通系統盤點(1.1)」做同等的查核，系統設計直接帶出前面評定的基本分、加分(但不重複計分)。 

是否訂定內部資通安全稽核計畫，包含稽核目標、範圍、時間、程序、人員等？是否規劃及執行稽核發現事項改善措施，且定期追蹤改善情形？ (A級機關：每年2次；B級機關：每年1次；C級機關：每2年1次) 

此項已於「1-5 內部稽核及委外稽核」查核，但因為所謂的 "導入ISMS" 完整概念是包含做到內部稽核為止，故仍在此列出此項。系統設計直接帶出前面評定的基本分、加分(但不重複計分)。

是否依本部110年12月30日函送之「國立大專校院資通安全維護作業指引」，學校辦理內部資通安全稽核，稽核範圍應包含全校各單位。各校得就資通系統（保有個人資料）風險高低、教學單位特性評估訂定推動先後順序，分年分階段規劃辦理，並明訂於各校資通安全維護計畫。

此項已於「1-5 內部稽核及委外稽核」查核，但因為所謂的 "導入ISMS" 完整概念是包含做到內部稽核為止，故仍在此列出此項。系統設計直接帶出前面評定的基本分、加分(但不重複計分)。

是否訂定資通安全政策及目標，由管理階層核定，並定期檢視且有效傳達其重要性？如何確認人員瞭解機關之資通安全政策，以及應負之資安責任？ 

此項將於「2-3 提升教職員資安意識」查核，但因為所謂的 "導入ISMS" 完整概念是包含透過內部稽核確認全機關人員瞭解資安政策及應負責任，故仍在此列出此項。系統設計直接帶出前面評定的基本分、加分(但不重複計分)。