-
1主要缺失1次
捌、四
ISMS之實施與操作：施行單位應確實實施控制措施，以符合控管的目標，並執行訓練與認知計畫，確保偵測安全事件的能力，以及迅速回應和應對處理的時效。
-
2主要缺失1次
A.10.6.2
使用公用或私用網路，應評估網路服務提供者之安全措施是否足夠，並提供明確的安全措施說明，另應考量使用該項網路對維持機關資料傳輸機密性、資料完整性及可用性等各種安全影響。
-
3主要缺失1次
A.12.5.1
實施變更作業應依循嚴格的變更管制措施。
-
4主要缺失1次
捌、五
ISMS之監控及審查：施行單位應針對ISMS進行監控程序與其他控制措施，即時鑑別資安事件的發生、處理順序與解決方法；定期審查ISMS之有效性(建議一學年至少一次)，並將相關有顯著影響之活動與事件記錄下來。
-
1次要缺失8次
A.11.1.4
施行單位應定期審查使用者存取權限。
-
2次要缺失5次
玖、十
ISMS之改進：ISMS的改進是持續的，必須藉由各資安事件與審查結果，做出適度的反應與改進，持續系統之有效性；另外，對應的矯正措施以及防範未然的預防措施，亦須予以制定並文件化。
-
3次要缺失4次
A.7.1.2
資訊資產應進行分級與標示，並考量重要資產的需求，於必要時制定保護措施及處理流程。
-
4次要缺失3次
A.10.4.1
施行單位應進行防備電腦病毒與惡意軟體之偵測及預防的控制措施，以及使用者認知程序。
-
5次要缺失3次
A.10.5.1
重要資訊與軟體應進行定期的備份。
-
6次要缺失3次
A.10.9.6
應定期校正系統作業時間，維持系統稽核紀錄的正確性及可信度，作為事後法律上或是紀律處理上的重要依據。
-
7次要缺失3次
A.11.1.1
應制定正式使用者註冊、註銷流程和條款，以供存取資訊系統及服務。
-
83次
A.11.1.2
限制與控管特許權限的分配及使用方式。
-
9次要缺失3次
A.12.4.2
系統之測試資料須予以保護與控管。
-
10次要缺失3次
A.12.6.1
應及時取得有關針對系統弱點的資訊，並評估該弱點暴露的程度及所造成的可能危機。
-
1觀察事項25次
玖、七
文件要求：關於ISMS文件化(電子檔案或紙本)，必須包含安全政策、安全目標、ISMS範圍、適用性聲明、資安事件記錄以及其他有助於提升ISMS成效之文件；上述之文件需接受保護與管制，並定期的審查及更新，確保文件之最新版本；任何過期文件需保留或銷毀，應予以適當的鑑別。
-
2觀察事項13次
A.9.2.1
施行單位應安置或保護設備，降低環境之威脅、災害以及未授權存取所造成的可能損失。
-
3觀察事項11次
A.14.1.2
永續運作計畫應進行測試與維護，確保該計畫的有效性。
-
4觀察事項9次
捌、四
ISMS之實施與操作：施行單位應確實實施控制措施，以符合控管的目標，並執行訓練與認知計畫，確保偵測安全事件的能力，以及迅速回應和應對處理的時效。
-
5觀察事項9次
A.6.1.3
施行單位之員工(包含正職員工、臨時雇員)應簽署獨立或包含保密條款之合約，確保其了解應有之資安責任與相關限制。
-
6觀察事項9次
A.15.1.1
蒐集相關法律條文(智慧財產權、資料隱私保護及其他相關法規)、管理規定及合約要求，了解與資訊處理設施、軟體系統的關係，並予以書面或其他方式留存。
-
7觀察事項9次
A.11.1.3
應建立使用者通行碼之管理制度。
-
8觀察事項8次
A.12.6.1
應及時取得有關針對系統弱點的資訊，並評估該弱點暴露的程度及所造成的可能危機。
-
9觀察事項7次
捌、五
ISMS之監控及審查：施行單位應針對ISMS進行監控程序與其他控制措施，即時鑑別資安事件的發生、處理順序與解決方法；定期審查ISMS之有效性(建議一學年至少一次)，並將相關有顯著影響之活動與事件記錄下來。
-
10觀察事項7次
捌、三
ISMS之建立：依據該單位之類型、規模、資源、業務性質等特性，定義ISMS之範圍；考慮相關法律、法規以及合約之要求，於適度評估風險及應對措施後，訂出經由管理階層核准之ISMS政策，並擬定一份適用性聲明書文件。
沒有留言: