TCU Center for Health and Welfare Data Science

中心資訊安全政策

版本V2.0 更新於2024年03月01日

  • 目的 

確保衛生福利部衛生福利資料科學中心慈濟大學研究分中心(以下簡稱本中心)資訊資料之安全性,設備服務正常且安全穩定的運作,規範本中心之資訊安全管理制度最高指導方針,以建立安全、可信賴之資訊安全管理體系,並確保本中心之資訊資產之機密性、完整性、可用性及符合相關法規之要求,維持業務持續運作,降低資訊作業風險,進而保障使用者之權益。

  • 適用範圍

為提供本中心衛生福利資料統計應用服務之安全性,依據本中心組織與全景、關注方之需求與期望,將本中心、資訊機房、網路及衛生福利資料應用作業定為本中心資訊安全管理範圍權責。

  • 定義

一、 資訊安全
係避免因人為或自然災害等風險,運用系統化之控制措施,以確保資訊安全管理制度範圍內之資訊資產受到妥善保護。
二、 資訊資產
凡本中心、資訊機房,如文件、人員、軟體、硬體、服務與建築等皆屬之。

  • 作業內容

一、 權責
(一)、 資訊安全管理組為本中心資訊發展暨安全管理階層決策組織。
(二)、 資訊安全工作小組主要進行資訊安全管理制度規劃、建立、實施、維護、審查與持續改善,並將資訊安全相關議題於資訊安全管理組提報。
(三)、 本中心所有同仁皆應共同遵守本資訊安全政策。
(四)、 使用者及提供本中心資訊服務之廠商皆應共同遵守本資訊安全政策。
二、 目標
(一)、 維持本中心營運服務持續順暢正常運作。
(二)、 保護本中心資訊資產,防止人為意圖不當或不法使用,遏止駭客、病毒等入侵及破壞之行為,以保障個人資料等資訊資產之機密性、完整性、可用性。
(三)、 建立本中心業務服務之標準作業程序,避免人為作業疏失及意外,同時加強同仁資訊安全意識。
(四)、 辦理本中心資訊安全目標之規劃、量測、審查及改善,以因應不同資訊安全之要求與期望,力求達成資訊安全管理之目標。
三、 內容
(一)、 應考量相關法律規章及營運要求,進行資訊資產之風險評估與威脅情資蒐集分享,確定資訊作業安全需求,採取適當資訊安全措施,確保資訊資產安全。
(二)、 依角色及職能為基礎,建立評估或考核制度,並視實際需要辦理資訊安全教育訓練及宣導。
(三)、 定期執行資訊安全稽核作業,檢視資訊安全管理制度之落實。
(四)、 資訊資產存取權限之賦予,應業務需求並考量最小權限與權責區隔。
(五)、 違反本政策與資訊安全相關規範,依相關法規或人事規定辦理。
(六)、 建立資訊安全事故通報及應變程序,以確保本中心、資訊機房持續運作。
(七)、 訂定營運持續計畫並定期演練,以確保本中心、資訊機房於重大資安事故發生時,能妥善回應。
(八)、 依據個人資料保護法及個人資料保護法施行細則、資通安全管理法及資通安全管理法施行細則、政府資訊公開法、著作權法之相關規定,審慎處理及保護個人資訊與智慧財產權。
(九)、 為確保本中心同仁及相關關注方皆知悉本中心資訊安全要求,應於本中心網站公告此政策。
四、 修訂與公告
本政策由資訊安全管理組每年定期審議,另組織、業務、法令或實體環境等因素之變迭時,予以適當修訂,視需要召開臨時會議審議。本政策經資訊安全管理組核定後公布施行,修正時亦同。