資通安全管理法。

資通安全管理法施行細則。

為強化資通安全管理，建立安全及可信賴之電子化政府，確保資料、系統、設備、及網路安全，保障民眾權益，訂定本政策。

本署基於ISO/IEC27001國際標準訂定資通安全政策為「資通安全人人有責」，同仁應熟悉並遵循資通安全規範，落實資訊設備及系統之安全防護，以確保本署資通安全。

指防止資通系統或資訊遭受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，以確保其機密性、完整性及可用性。 

確保業務資訊之機密性、完整性及可用性。

確保資訊業務運作之有效性及持續性。

確保資安措施符合政策及法令要求。

確保個人資料資訊之妥善保護及利用。

建立「資通安全人人有責，資安防護由我開始，運用資通安全第一」之觀念。

知悉資安事件發生，可依規定之時間完成通報、應變及復原作業。

每人每年應接受 3 小時以上之資通安全通識教育訓練。

本署各項資通安全管理規定，必須遵守政府相關法規（如：刑法、國家機密保護法、專利法、商標法、著作權法、個人資料保護法等）之規定。

本署人員應接受與職務相關之資通安全教育訓練，並熟悉本身工作中之資通安全職責。

資通系統之存取權限配賦，應依業務需求，並考量最小權限、權責區隔及獨立性原則辦理。

應定期辦理資通安全稽核作業，及檢視資通安全管理制度之落實度。

應建立資通安全監控、通報與應變機制，以確保資通安全事件即時處理。

應訂定營運持續計畫，並定期測試演練，以確保業務持續運作。

本政策每年至少評估一次，並視需要修正，以反映政府資通安全管理政策、法令、技術及業務等最新發展現況，確保資通安全實務作業之可行性及有效性。 

本政策應以書面、電子或其他方式通知本署人員及與本署業務往來之公私機關（構）、提供資通服務之廠商共同遵行。

資通安全之範圍如下，有關組室及人員應就下列事項訂定相關管理規範或實施計畫，並定期評估實施成效：

人員安全管理。

電腦系統安全管理。

網路管理及使用規範。

存取控制管理。

應用系統開發及維護安全管理。

資訊資產安全管理。

實體與環境安全管理。

營運持續管理。

資通安全維護及稽核管理。

由督導資訊業務之副首長擔任資通安全長，負責推動及監督資通安全相關事務，並成立跨部門之「資通安全處理小組」，統籌資通安全政策、計畫、資源調度等事項之協調研議。

（一）資通安全管理分工原則如下：

1.資通安全政策、計畫、措施及技術規範之研議，與安全技術之研究、建置及評估等相關事項，由資訊室負責辦理。

2.資料及資通系統之安全需求研議、使用管理及保護等事項，由相關業務組室負責辦理。 
3.資訊機密維護及稽核事項，由政風室會同相關組室負責辦理。 

（二）依資通安全責任等級分級辦法規定設置資通安全專職（責）人員。

（三）資通安全人力、能力及經驗，如有不足之處，得洽請專家學者、組織或團體，提供顧問諮詢服務。

（一）維持與相關權責機關及利害關係者適切之連繫。

（二）依資通安全情資分享辦法規定辦理資通安全情資分享。

本署人員須遵守國家機密保護法、資通安全管理法暨其子法及個人資料保護法，及本署各項作業規範等資通安全相關法令之規定。 

各組室主管對於本政策及相關作業規範之遵循，負監督、執行之責。

本署執行資通安全作業有功人員，依「財政部國有財產署及所屬機關人員獎懲作業規定」及約用人員相關規定辦理。 

本署人員違反資通安全規定者，依「財政部國有財產署及所屬機關人員獎懲作業規定」及約用人員相關規定辦理；有「公務員懲戒法」第 2 條所定情事，應付懲戒者，依該法第 19 條規定辦理；有觸犯「刑法」之嫌疑者，應予移送司法機關調查；有涉及國家賠償事件者，應依「國家賠償法」等相關法律追究損害賠償責任。 

非本署人員違反資通安全規定時，依相關法律規定追究民刑事責任。

資通安全事件發生時，依據本署資通安全事件通報及應變作業程序辦理。

（一） 2A01 財政部國有財產署人員安全管理規範。 
（二） 2B01 財政部國有財產署電腦系統安全管理規範。 
（三） 2C01 財政部國有財產署網路管理及使用規範。 
（四） 2D01 財政部國有財產署存取控制管理規範。 
（五） 2E01 財政部國有財產署系統發展及維護安全管理規範。 
（六） 2F01 財政部國有財產署資訊資產安全管理規範。 
（七） 2G01 財政部國有財產署實體與環境安全管理規範。 
（八） 2H01 財政部國有財產署營運持續管理規範。 
（九） 2I01 財政部國有財產署資通安全維護及稽核管理規範。 
（十） 3001 財政部國有財產署資通安全處理小組設置要點。

（一）4001 財政部國有財產署資通安全四階文件表。 
（二）4002 國有非公用財產管理系統適用性聲明書。 
（三）4003 內外部議題彙總表。 
（四）4004 溝通傳達事項表。 
（五）4005 資通安全管理目標量測表。 
（六）4006 資通安全法規鑑別表。 

本政策奉署長核定後實施，修正時亦同。