資安政策

1. 機密性（Confidentiality）：使資訊不可用或不揭露給未經授權之個人、個體或過程的性質。
2. 完整性（Integrity）：保護資產的準確度（Accuracy）和完全性（Completeness）的性質。
3. 可用性（Availability）；經授權個體因應需求之可存取及可使用的性質。
4. 資訊安全：係避免因人為疏失、蓄意或自然災害等風險，運用系統化之控制措施，包含政策、實施、稽核、組織結構和軟硬體功能等，以確保本公司資訊資產受到妥善保護。
5. 資訊資產：凡本公司作業流程中使用之資訊資產，如內部人員、外部人員、紙本文件、電子文件、網路服務、電腦應軟體、應用系統、電腦硬體、網路設備、環控系統、建築保護設施與便利設施等皆屬之。

1. 本公司每年無發生公司員工密級資料外洩。
2. 本公司每年無發生公司員工資料(如:學生成績或使用者個人資料)遭竄改。
3. 確保本公司關鍵業務系統資訊機房維運服務達全年上班時間96.9%以上之可用性，並確保：
   (1) 因資通安全事件、異常事件、其他安全事故造成系統、主機異常而中斷營運服務之情事，每年不得超過8次。
   (2) 因資通安全事件、異常事件、其他安全事故造成系統、主機異常而中斷營運服務之情事，每次最長不得超過8工作小時。
4. 本公司關鍵業務系統服務達全年上班時間98.4%以上之可用性，中心關鍵業務系統因資通安全事件、異常事件、其他安全事故造成系統、主機異常而中斷營運服務之情事，每次最長不得超過4工作小時。
5. 資訊安全管理事項
     避免因人為疏失、蓄意或天然災害等因素，導致資料不當使用、洩漏、竄改、破壞等情事發生，對本公司帶來各種可能之風險及危害。資訊安全管理應涵蓋14項管理事項：
   (1) 資訊安全政策。
   (2) 資訊安全組織。
   (3) 人力資源安全。
   (4) 資產管理。
   (5) 存取控制。
   (6) 密碼學(加密控制)。
   (7) 實體與環境安全。
   (8) 運作安全。
   (9) 通訊安全。
   (10) 資訊系統取得、開發及維護。
   (11) 供應者關係。
   (12) 資訊安全事故管理。
   (13) 營運持續管理之資訊安全層面。
   (14) 遵循性。
6. 資訊安全管理原則
   (1) 重要之資訊資產應定期清查、分類分級與進行風險評鑑，並據以實施適當的防護措施。
   (2) 重要資訊資產存取權限應予以區分，考量人員職務授予相關權限，必要時得採行加解密(例rar)及身分鑑別機制，以加強資訊資產之安全。
   (3) 對於資訊安全事件須有完整的通報及應變措施，以確保資訊系統、業務的持續運作。
   (4) 應訂定營運持續計畫並定期演練，以確保重要系統、業務於資安事故發生時能於預定時間內恢復作業。
   (5) 相關人員應依規定接受資訊安全教育訓練與宣導，以加強資訊安全認知。
   (6) 定期執行資訊安全稽核作業，檢視存取權限及資訊安全管理制度之落實。
   (7) 違反本政策與資訊安全相關規範，依相關法規或本公司懲戒規定辦理。
   (8) 本政策每年至少評估一次，依業務變動、技術發展及風險評鑑的結果修訂。