-
1主要缺失1次
A.10.4.1
施行單位應進行防備電腦病毒與惡意軟體之偵測及預防的控制措施，以及使用者認知程序。
-
2主要缺失1次
A.10.9.1
建立及製作例外事件及資訊安全事項的稽核軌跡，並保存一段的時間，以作為日後調查及監督之用。
-
3主要缺失1次
A.11.1.2
限制與控管特許權限的分配及使用方式。
-
4主要缺失1次
A.11.1.4
施行單位應定期審查使用者存取權限。
-
5主要缺失1次
A.12.6.1
應及時取得有關針對系統弱點的資訊，並評估該弱點暴露的程度及所造成的可能危機。
-
1次要缺失18次
玖、七
文件要求：關於ISMS文件化(電子檔案或紙本)，必須包含安全政策、安全目標、ISMS範圍、適用性聲明、資安事件記錄以及其他有助於提升ISMS成效之文件；上述之文件需接受保護與管制，並定期的審查及更新，確保文件之最新版本；任何過期文件需保留或銷毀，應予以適當的鑑別。
-
2次要缺失5次
A.10.1.1
安全政策所規定之作業程序，應文件化並定期維護。
-
3次要缺失5次
A.11.1.4
施行單位應定期審查使用者存取權限。
-
4次要缺失5次
A.9.2.4
資訊處理設備應予以適當的維護，確保其持續運作。
-
5次要缺失5次
捌、三
ISMS之建立：依據該單位之類型、規模、資源、業務性質等特性，定義ISMS之範圍；考慮相關法律、法規以及合約之要求，於適度評估風險及應對措施後，訂出經由管理階層核准之ISMS政策，並擬定一份適用性聲明書文件。
-
6次要缺失4次
A.12.6.1
應及時取得有關針對系統弱點的資訊，並評估該弱點暴露的程度及所造成的可能危機。
-
7次要缺失4次
A.7.1.1
應製作所有資訊資產之清冊，並定期維護、更新。
-
84次
捌、五
ISMS之監控及審查：施行單位應針對ISMS進行監控程序與其他控制措施，即時鑑別資安事件的發生、處理順序與解決方法；定期審查ISMS之有效性(建議一學年至少一次)，並將相關有顯著影響之活動與事件記錄下來。
-
9次要缺失4次
捌、六
ISMS之維持及改進：施行單位應定期實行改進活動，採取適當的矯正與預防措施，並得到管理階層之同意，並確保各項措施達到預期目標。
-
10次要缺失3次
A.14.1.2
永續運作計畫應進行測試與維護，確保該計畫的有效性。
-
1觀察事項44次
玖、七
文件要求：關於ISMS文件化(電子檔案或紙本)，必須包含安全政策、安全目標、ISMS範圍、適用性聲明、資安事件記錄以及其他有助於提升ISMS成效之文件；上述之文件需接受保護與管制，並定期的審查及更新，確保文件之最新版本；任何過期文件需保留或銷毀，應予以適當的鑑別。
-
2觀察事項16次
A.9.2.1
施行單位應安置或保護設備，降低環境之威脅、災害以及未授權存取所造成的可能損失。
-
3觀察事項16次
捌、四
ISMS之實施與操作：施行單位應確實實施控制措施，以符合控管的目標，並執行訓練與認知計畫，確保偵測安全事件的能力，以及迅速回應和應對處理的時效。
-
4觀察事項14次
A.7.1.1
應製作所有資訊資產之清冊，並定期維護、更新。
-
5觀察事項14次
捌、五
ISMS之監控及審查：施行單位應針對ISMS進行監控程序與其他控制措施，即時鑑別資安事件的發生、處理順序與解決方法；定期審查ISMS之有效性(建議一學年至少一次)，並將相關有顯著影響之活動與事件記錄下來。
-
6觀察事項13次
A.12.6.1
應及時取得有關針對系統弱點的資訊，並評估該弱點暴露的程度及所造成的可能危機。
-
7觀察事項13次
A.14.1.1
施行單位應建立業務永續運作之程序及架構，鑑定測試以及維護之優先順序，訂定與維護永續運作之計畫。
-
8觀察事項13次
A.15.1.1
蒐集相關法律條文(智慧財產權、資料隱私保護及其他相關法規)、管理規定及合約要求，了解與資訊處理設施、軟體系統的關係，並予以書面或其他方式留存。
-
9觀察事項13次
A.8.2.1
施行單位內所有員工、合作廠商與第三方使用者應接受適當之資安訓練與有關資安政策、程序之宣導課程。
-
10觀察事項13次
捌、三
ISMS之建立：依據該單位之類型、規模、資源、業務性質等特性，定義ISMS之範圍；考慮相關法律、法規以及合約之要求，於適度評估風險及應對措施後，訂出經由管理階層核准之ISMS政策，並擬定一份適用性聲明書文件。
沒有留言: