環境部氣候變遷署全球資訊網

為確保環境部氣候變遷署（以下簡稱本署）資通安全作業順利執行，依據「資通安全管理法」及其子法，並配合「個人資料保護法及施行細則」等相關法令、本署業務需求目標及以及ISO/CNS 27001資訊安全管理制度（Information Security Management System，簡稱ISMS）資訊安全標準，制訂以下資通安全政策，以資各單位及全體人員遵循。

• 2.1 本政策適用於本署所有單位及人員（含約聘僱人員、替代役、各連線使用單位、協力廠商之駐署人員等）及資訊資產（包括置於本署辦公大樓、委辦廠商及委託研究機構處之資訊設施）。
• 2.2 ISMS導入至本署各單位，以利共同遵循。

• 3.1 機密性－Confidentiality：
  使資訊不可用或不揭露給未經授權之個人、個體或過程的性質。
• 3.2 完整性－Integrity：
  保護資產之準確度和完全性的性質。
• 3.3 可用性－Availability：
  在授權個體要求時，可取得及使用之性質。
• 3.4 適法性－Legality：
  確保資訊與處理方式過程，須遵守法律、規定、合約義務或本署內部政策、章程之規範要求。

• 4.1 本署各項資通安全防護及管理規定，應符合政府資通安全相關政策、規定及法令要求。
• 4.2 所有資通作業相關措施，應確保本署業務資料之機密性、完整性與可用性，防止敏感性資料與民眾個人資料外洩或遺失。
• 4.3 資訊資產（包括軟體、硬體、網路通訊設施及資料庫等）應予適當保護，採行合宜之備援回復措施及作業，防止未經授權或因作業疏忽對資產所造成之損害，並定期演練前項備援回復作業。
• 4.4 所有資通安全事件或可疑之安全弱點，應即時依程序通報反映，並予以適當調查及處理。
• 4.5 應定期實施資通安全教育訓練，並加強資通安全政策宣導。
• 4.6 各單位及人員違反本政策，或發生其他任何危及本署資通安全之行為，都將訴諸適當之處置程序或法律行動。

• 5.1 確依規劃、執行、檢查及行動的流程方法，建置及持續維護符合法令的資訊安全管理制度。
• 5.2 落實身分認證與存取權限控管等安全措施，防止機敏資料外洩。
• 5.3 加強各項內外部資訊發布流程控管與覆核，防止資訊錯誤或被竄改。
• 5.4 完善系統日常維運與營運持續管理作業，充分支援業務活動與服務民眾需求。
• 5.5 持續優化相關管理措施，以有效達成本署資通安全目標。

• 6.1 本政策應每年至少進行1次管理審查(可採召開會議或書面審查方式辦理)，以反映政府法令、技術及業務等最新發展情況，確保本署業務永續運作之能力。
• 6.2 資通安全組織、主管機關（或法令、法規要求）或專家學者等利害關係人如有資通安全相關回饋事項，應列入管理審查之討論議題。

本政策經資通安全長核定後實施，修訂時亦同。