中國科技大學 高教深耕計畫
校園資安強化規劃專章
CAMPUS INFORMATION SECURITY STRENGTHENING PLAN
本校相當重視資訊安全管理、個人資料保護作業，早在97年即透過工研院輔導導入資安管理系統，並於98年通過ISO/IEC 27001驗證取得證書。
驗證範圍為「圖書資訊中心負責之骨幹網路管理系統作業、機房實體環境安全及辦公室安全、校務行政資訊系統、教務系統、學務系統、總務系統」。其後配合教育部「教育體系資通安全管理規範」的實施進行轉版驗證，於103年取得「教育體系資通安全暨個人資料管理規範驗證證書」，本校每年均執行追蹤稽核，以維持證書的有效性，然教育機構資安驗證中心未來不再提供稽核服務，且國際資安管理系統標準明年調整改為ISO 27001:2022版本，因應資安形勢嚴峻，本校亟需藉由深耕計畫以強化各項資安與個資保護的重要工作
A1. 全校導入資訊安全管理系統
本校自97年起即請副校長擔任資安長推動校園資安工作迄今，103年起即已領先其他學校導入個資保護管理規範執行，推動與執行個資保護工作有相當的經驗和成果，然雖本校由圖資中心率先導入ISMS及個資保護執行，礙於成本未能普及全校各單位全面實施，故政策面需先依資安法要求，制定本校「資通安全維護計畫」以做為導入全校執行資訊安全管理系統制度的依據。配合ISO國際標準改版，擬於計畫導入國際ISMS標準，由原教育體系資通安全規範之認證範圍轉版改為導入ISO/IEC 27001:2022實地稽核驗證並取得證書。
A2. 強化學校資通安全認知與訓練
學校將依據「資通安全維護計畫」配置資通安全專職人員，每年提供相關人員參加資安訓練課程取得證照，以每年取得兩張國際資安證照為目標，提升專職人員資安職能；並依據資安責任分級作業辦法，提供全校教職員每人每年至少接受3小時教育訓練，以提升學校資通安全維運能量。
A3. 確保資通系統管理量能
除了原先校園IPS及防火牆等網路防護設備之外，搭配管理措施，校內伺服器服務需經登錄審核後，方能開放對外網路服務，以實現集中化管理的目標。為減少資通系統數量，採取嚴控各單位對外提供網頁服務伺服器，如屬外購軟體，則列管要求廠商提供更新維護契約，在技術執行面則導入校園網頁防火牆WAF，針對老舊且必要之網站進行資安防護工作。藉由定期掃瞄校園網路，封鎖未取得許可之校園NAS或IoT設備，依據掃瞄結果，每年檢討並關閉各單位閒置或不必要之網站，避免發生校園資安事故。
A4. 落實管理危害國家資通安全產品
為落實禁止公務使用大陸廠牌資通訊產品執行，實際修訂本校採購作業辦法，明定資通訊產品、IoT等設備需於請購流程內，經由圖資中心審定規格廠牌後，方能完成採購作業。落實執行清查及列管全校現有所有大陸廠牌資通訊設備，如經圖資中心審定為大陸廠牌設備，則先採用防火牆封鎖改為內網服務形態，並限定使用單位汰換不符合需求之設備。
