資通安全事件通報及應變管理程序

（依資通安全管理法第14條及本校資安維護計畫規定制定）

壹、目的

國立新化高及工業職業學校（以下簡稱本校）為遵照資通安全管理法第14條及本校資安全維護計畫之規定， 建立本校資通安全事件之通報及應變機制，以迅速有效獲知並處理事件， 特制定本資通安全事件通報及應變管理程序（以下稱本管理程序）。

貳、適用範圍

發生於本校之事件，系統、服務或網路狀態經鑑別而顯示可能有違反資通安全政策或保護措施失效之狀態發生， 影響資通系統機能運作，構成資通安全政策之威脅者。

參、責任

1. 本校所屬人員於發現資通安全事件時，應依本程序或權責人員之指示，執行通報及應變事務。
2. 本校應於資通安全事件發生前，確保所屬或監督之公務機關及所管之特定非公務機關是否制定及落實資通安全事件通報及應變管理程序， 並依規定指定其知悉資通安全事件之通報以及完成應變作業後之結案登錄方式。
3. 本校應視必要性，與受託機關約定，使其制定其資通安全事件通報及應變管理程序， 並於知悉資通安全事件後向本校進行通報；完成事件之通報及應變程序後，依本校指示提供相關之紀錄或資料。
4. 本校應於知悉資通安全事件後，依本程序規定儘速完成損害控制、復原與事件之調查及處理作業。 完成後，應依上級或監督機關及行政院指定之方式進行結案登錄作業，並送交調查、處理及改善報告。

肆、事件通報窗口及緊急處理小組

1. 本校之資通安全事件通報窗口及聯繫專線為：06-5903994#2078。
2. 本校應以適當方式使相關人員明確知悉本校之通報窗口及聯絡方式。
3. 本校所屬人員發現資通安全事件後，應立即向所屬單位主管及本校之通報窗口通報。
4. 本校應確保通報窗口之聯絡管道全天維持暢通； 若因設備故障或其他情形導致窗口聯絡管道中斷，且持續達一小時以上者， 應即告知相關人員並提供其他有效之臨時聯絡管道。 ≥ 1 小時
5. 負責事件處理之單位（該事件發生之單位）權責人員應與相關單位密切合作進行事件處理， 並使通報窗口適時掌握處理進度及其他相關資訊。
6. 事件經初步判斷可能屬重大資安事件或事態嚴重時，應即向資通安全長報告， 由資通安全長成立緊急處理小組，立即協助處理；接獲所屬機關或受託廠商通報之資通安全事件亦同。
7. 緊急處理小組成員由資通安全長指派機關之資通安全相關技術人員擔任， 或亦得由其他機關資通安全相關技術人員或外部專家擔任之。
8. 各相關權責人員應紀錄事件處理過程，檢討事件原因，著手改善並留存必要證據。

伍、通報程序

一、通報作業程序

• 判定事件等級之流程及權責：本校之權責人員或緊急處理小組應依下列事項， 於知悉資通安全事件後依規定完成「資通安全事件通報及應變辦法」之等級判斷：
  1. 事件涉及核心業務或關鍵基礎設施業務之資訊與否。
  2. 事件導致業務之資訊或資通系統遭竄改之影響程度，屬嚴重或輕微。
  3. 事件所涉資訊是否屬於國家機密、敏感資訊或一般公務機密。
  4. 業務運作若遭影響或資通系統停頓，是否可容忍中斷時間內能回復正常運作。
  5. 其他足以影響資通安全事件等級之因素。
• 除事件等級外，亦應對影響範圍、損害程度及本校因應能力進行評估。
• 完成等級判斷及評估後，應盡速報資通安全長核准。
• 除因網路或電力中斷等致無法依指定方式通報外，應於知悉事件後一小時內通報。 1 小時內
• 若無法依規定方式通報者，應於一小時內以電話或其他方式告知上級/監督機關及行政院；事由解除後補行通報。 1 小時內
• 事件等級變更時，應告知通報窗口續行通報。
• 委外合約應載明：廠商知悉事件應即向本校權責人員或窗口通報。
• 影響涉及其他機關或應由其他機關處理時，應於知悉事件後一小時內通知該機關。 1 小時內
• 得視情形向上級機關或直轄市、縣（市）政府提出技術支援或協助需求。

二、接獲自身、所屬單位或所管特定非公務機關（BOT餐廳）通報之評估作業程序

• 接獲通報後，應於下列時限內完成等級及相關事項審核：
  1. 第一級或第二級：接獲通報後八小時內。
  2. 第三級或第四級：接獲通報後二小時內。
• 審核過程中得請求提供級別判斷所需資料或紀錄。
• 必要時得變更等級，並於決定變更後一小時內通知行政院並提供依據資訊。 1 小時內

三、對所屬或所管特定非公務機關（BOT餐廳）之協助

所屬單位或特定非公務機關知悉事件向本校通報時，資通安全長應視必要性決定是否組成緊急處理小組：

• 第一級或第二級：完成複核後二小時內。
• 第三級或第四級：接獲通報後一小時內。

陸、應變程序

一、事件發生前之防護措施規劃

本校應於平時妥善實施資通安全維護計畫，並以組織營運目標與策略為基準， 透過整體之營運衝擊分析，規劃業務持續運作計畫並實施演練，以預防資安事件之發生。

二、損害控制機制

• 權責人員或緊急處理小組應完成以下應變事務並留存紀錄：
  1. 衝擊及損害控制作業。
  2. 損害復原作業。
  3. 鑑識及其他調查作業。
  4. 調查與處理及改善報告方式。
  5. 後續發展與關聯性監控。
  6. 重大事故/災難致業務中斷時，依緊急計畫應變以恢復持續運作。
  7. 其他應變相關事項。
• 第一、二級：知悉後七十二小時內完成並留存紀錄； 第三、四級：知悉後三十六小時內完成損害控制或復原並留存紀錄。 72h / 36h
• 完成通報及應變程序後，依指定方式結案登錄。
• 知悉委外廠商事件時： 第一、二級—七十二小時內確認完成； 第三、四級—三十六小時內確認完成。 委外確認

柒、資安事件後之復原、鑑識、調查及改善機制

1. 完成通報及應變程序後，應針對事件衝擊、損害及影響進行調查及改善。
2. 調查、處理及改善報告應包括：
   • 事件發生、完成損害控制或復原作業之時間。
   • 影響範圍及損害評估。
   • 損害控制及復原歷程。
   • 調查及處理歷程。
   • 再發防範措施（管理/技術/人力/資源）。
   • 措施之預定完成時程。
3. 應向所隸屬之主管機關提出報告，以供監督與檢討。
4. 如所屬單位或特定非公務機關逾期未提報告，除促其提出外，並為必要之監督與指示。

捌、紀錄留存及管理程序之調整

1. 應將通報與應變作業執行、事件影響範圍與損害程度等， 於「資安事件通報紀錄單」留存完整紀錄，並經承辦權責人員、資通安全長簽核。
2. 完成通報及應變後，應依「資安事件通報紀錄單」內容及實際處理情形， 必要時對本管理程序、人力配置或其他相關事項進行修正或調整。

玖、演練作業

1. 應配合直屬機關（構）辦理之社交工程演練、資通安全事件通報及應變演練。
2. 應配合行政院辦理之資通安全演練作業：
   • 社交工程。
   • 資安事件通報及應變。
   • 網路攻防。
   • 情境演練。
   • 其他資安演練。