資訊委外及請採購指南

依據《資通安全管理法》及其相關子法規定，公務機關及特定非公務機關應依所屬資通系統之性質、重要性及可能影響程度，採取適當之資訊安全防護措施。為協助各機關於本法適用範圍內，辨識不同資通系統之防護需求，並據以規劃相應之防護等級與管理措施，爰訂定資通系統防護需求分級原則，作為各機關進行系統分級與資安管控之依循依據。

依據《資通安全管理法》及相關子法規定，公務機關及特定非公務機關應依其資通系統之防護需求分級結果，採行相應之資訊安全防護措施。為協助各單位落實系統防護責任，並確保各項防護措施執行一致性與完整性，爰訂定資通系統防護基準查檢表，作為系統防護措施執行情形之檢核依據。

本查檢表係依據資通系統防護等級評估表所評定之防護等級，區分為「普」、「中」及「高」三種不同等級之查檢表，以利各單位依其系統重要性與風險程度，進行對應之自我檢核與管理作業，確保系統防護措施符合規範要求，並有效降低資通安全風險。

依據資通安全管理法(以下簡稱本法)第九條規定，公務機關或特定非公務機關於本法適用範圍內，委外辦理資通系統之建置、維運或資通服務之提供，應考量受託者之專業能力與經驗、委外項目之性質及資通安全需求，選任適當之受託者，並監督其資通安全維護情形。為協助公務機關及特定非公務機關於本法適用範圍內委外辦理相關作業，補充說明委託機關依本法施行細則第四條規定選任或監督受託者之相關行政流程及應注意事項，特訂定本措施。

依據資通安全管理法(以下簡稱本法)第九條規定，公務機關及特定非公務機關於辦理資通系統委外建置、維運或資通服務時，應對受託廠商之資訊安全管理能力進行適當之評估與監督。為協助各單位於委外作業中掌握廠商之資安管理現況，爰訂定委外廠商資訊安全自評表，作為蒐集廠商資訊安全措施落實情形之評估依據。

本自評表係透過廠商自行填報其資訊安全管理作為與執行情形，供本校進行初步資安風險評估之參考；後續並得視廠商自評結果及風險程度，評估是否安排實地資訊安全稽核或相關查核作業，以確保委外資通系統及服務之資訊安全符合相關規範要求。

依據《資通安全責任等級分級辦法》第 11 條規定，各機關自行或委外開發之資通系統，應依附表九完成防護需求分級，並依附表十執行相應之防護控制措施。為利於高風險或重要資通系統之防護措施規劃與管理，本校爰針對防護等級評估為「高」或系統開發金額達新臺幣一千萬元以上之資通系統，訂定資通系統風險評估報告，作為風險分析與防護措施選擇之依據。 

依據《資通安全責任等級分級辦法》第 11 條規定，各機關自行或委外開發之資通系統，應依附表九完成資通系統防護需求分級，並依附表十所定資通系統防護基準，於系統規劃、設計、開發、測試及上線等階段，納入相應之資訊安全控制措施。爰不論系統防護等級為「普」、「中」或「高」，其系統開發過程均應遵循安全系統開發生命週期（SSDLC）之相關原則與要求。

考量不同防護等級系統之風險程度與管理複雜度差異，為提升作業效率並聚焦資安管控重點，本校於文件管理與佐證作業上採行分級管理方式，針對資通系統防護等級判定為「高」，或系統開發金額達新臺幣一千萬元以上之採購案件，要求填寫並檢附安全系統開發生命週期（SSDLC）檢核表；其餘防護等級系統，雖未強制檢附該檢核表文件，惟其開發與建置過程仍須依附表十之規定，落實相關 SSDLC 控制措施。

適任性查核同意書是簽署人同意接受機關進行背景調查的書面文件，目的是確保其從事機密業務的適任性。這通常發生在受託執行涉及國家機密或重要業務的專案時，同意書內容涵蓋是否曾觸犯洩密罪、受過行政懲處或受外力脅迫等事項。 

委外廠商保密切結書是為了確保委外廠商及其人員在執行業務過程中，不會洩漏公司機密資訊的一份法律文件。其核心內容包括：要求廠商對所知悉的資訊嚴格保密，除已公開資訊外，非經同意不得向第三方披露；若違反保密義務導致損害，廠商將負擔法律責任。