資訊系統分類分級

1. 本年度個資檔案中增加指定「參照資訊系統」功能，將個資系統PIMS與本校ISMS系統結合。操作相關指引請參照連結。

2. 單位資訊系統個資專人及資安專人都可建立，填報個資檔案只需建立系統名稱即可，資訊系統風險評鑑可與資安專人討論後再進行評級，不影響個資清冊填報。資訊系統建立權限若有問題請洽電算中心。

事由

依教育部要求各級單位實施資訊安全管理，依「資訊系統分級與資安防護基準作業規定」，本校學校屬C級單位，需將資訊管理制度(ISMS)推行至全校，建立校園資訊安全防護作業。重點在「全校」，所以我們需要分級。

資訊系統分級好處

資安管理推行最大的困難是「資訊安全防護要做到多嚴格？」，同仁也經常會誤解資安要做到「完全沒有被攻擊、洩露、滲透的可能」。事實上，資安要防到什麼程度，是視系統的重要程度。我們不需要對萬一發生衝擊時損失只有500元的系統，花費100萬的資安防護成本。所以資安的首要工作，就是資訊系統「清點」與「分級」，才能確定我們要投入多少防護資源。

需要在PIM系統中登錄的系統

1. 處理利用個資的資訊系統

   1. 若使用校務系統來處理，這類共用系統(如校務系統、電子公文、數位學習系統、GMail等)已由中心事先建立，您只需個資清冊處指定對應資訊系統就可以。

   2. 非共用系統者，例如各單位自行請人開發的借用系統，需要由各單位於「ISMS>單位資訊系統」中建立，才能供個資檔案對應。

   3. 各單位使用之Google Drive、Google表單需要由各單位建立。

2. 其餘與個資處理無關但各單位日常業務使用之資訊系統

   1. 您需在「ISMS>單位資訊系統」中建立。

由於您主要會因為在處理個資而與資安發生關聯，所以ISMS您在PIMS系統內設定。

填寫位置說明如連結 PIM中ISMS單位資訊系統填寫說明

有哪些系統？系統類別說明

校內開發

• 例如全校共用系統，例如校務資訊系統、程式選單、電子公文、公版網站。由電算中心統一建立資料。

採購甲方委外

各單位主要業務使用系統，資料請由各單位建立，例如

• 執行業務使用的套裝或客製軟體系統，含有資料庫與維護介面。例如各單位自行開發之借用軟體、例如圖書館流通系統、會計出納系統。亦包括自行開發之網站(非公版網站)

• 執行業務使用的套裝或客製軟體系統，配合硬體提供一整套資訊服務。例如校園監視系統、門禁系統、環安系統。

• 自動化控制系統，配合硬體提供一整套資訊服務。例如門口閘道、電力監控

• 各自分散的資訊服務搭配起來，提供一整套資訊服務。例如，利用監視器+Line群組，建立校園安全通報系統。

• 沒有明確的資訊系統，而是用各種資訊服務搭配起來，來完成本單位主辦之業務。例如：利用某些單位Google雲端硬碟或者數台個人電腦儲存重要專利資料。

向上集中

• 使用外部提供之網站應用程式執行業務或交換資料。例如各種上級通報網站。

• 校內可能有別的單位要求您上傳資料

外部代收

使用外部提供之桌面應用程式執行業務或交換資料。例如報稅系統。

※只有單位的「校內開發」及「甲方委外採購」兩項需要權責屬於各單位，「向上集中」「外部代收」儘需建檔控管。

範圍

單位：系統僅供單位業務所需

全校：系統為開放給全校性使用，收集全校性個資

風險擁有者

1. 風險擁有者指的是誰有權決定要進行多大強度資安防護及分配多少資源(例如預算、人力、時間、政策)給這個資訊系統執行資安防護的人，通常會是單位內決定預算分配權限的人。

2. 如果系統事權非本校者、外部向上集中、代收者，本校只負資料流通，風險擁有者為二級主管。

參照報表

1. 各單位可參考前各單位前期執行過的「資訊系統分類分級」的檔資料進行填寫。

2. 參考「個資清冊」中提及的資訊系統填寫。

風險評鑑

1. 只有權責為貴單位的系統需要做風險評鑑

2. 各單位更新好系統後，將產生風險評鑑報表，請依機密性、完整性、可用性及適法性評級。

3. 風險評級部份會有限制，只有全校性系統可填寫到最高等級。

4. 機密性、完整性、可用性、適法性與收集處理之個資的價值有關係，請注意其連動。

5. 評級參閱 資訊系統CIA評級表

報表確認

完成風險評級後，電算中心另會公告時間由各單位主管確認。

實施保護

1. 依風險評級，對資訊系統實行安全管理措施，由風險擁有者所屬單位負責。實施之項目及水準參照防護基準。

2. 若單位的系統風險等級過高，可考慮進校務系統的可能性。 

資安評級與對應之防護措施