－ 1－
I CS 3 5 . 0 4 0
中華民國國家標準
CNS
資訊技術－安全技術－資訊安全
控制措施之作業規範
總號
27002
類號
X6040
Information technology − Security techniques − Code of practice for
information security controls
目錄
節次
頁次
前 言 .................................................................................................................... 3
0 . 簡 介 ................................................................................................................ 3
0 . 1 背 景 及 全 景 .................................................................................................... 3
0 . 2 資 訊 安 全 要 求 事 項 .......................................................................................... 4
0 . 3 選 擇 控 制 措 施 ................................................................................................. 4
0 . 4 發 展 自 有 指 導 綱 要 .......................................................................................... 4
0 . 5 生 命 週 期 考 量 ................................................................................................. 4
0 . 6 相 關 標 準 ........................................................................................................ 5
1 . 適 用 範 圍 .......................................................................................................... 6
2 . 引 用 標 準 .......................................................................................................... 6
3 . 用 語 及 定 義 ...................................................................................................... 6
4 . 本 標 準 之 結 構 ................................................................................................... 6
4 . 1 節 次 ............................................................................................................... 6
4 . 2 控 制 措 施 種 類 ................................................................................................. 6
5 . 資 訊 安 全 政 策 ................................................................................................... 6
5 . 1 資 訊 安 全 之 管 理 指 導 方 針 ................................................................................ 6
6 . 資 訊 安 全 之 組 織 ............................................................................................... 8
6 . 1 內 部 組 織 ........................................................................................................ 8
6 . 2 行 動 裝 置 及 遠 距 工 作 ...................................................................................... 10
7 . 人 力 資 源 安 全 .................................................................................................. 12
7 . 1 聘 用 前 .......................................................................................................... 12
7 . 2 聘 用 期 間 ....................................................................................................... 14
7 . 3 聘 用 之 終 止 及 變 更 ......................................................................................... 16
8 . 資 產 管 理 ......................................................................................................... 16
8 . 1 資 產 責 任 ....................................................................................................... 16
8 . 2 資 訊 分 級 ....................................................................................................... 18
8 . 3 媒 體 處 置 ....................................................................................................... 19
9 . 存 取 控 制 ......................................................................................................... 21
(共 80 頁 )
公
布
日
期
96 年 10 月 24 日
經濟部標準檢驗局印行
印 行 年 月 104 年 6 月
本標準非經本局同意不得翻印
修 訂 公 布 日 期
104 年 6 月 10 日
CNS 27002, X 6040
－ 2－
9 . 1 存 取 控 制 之 營 運 要 求 事 項 ...............................................................................21
9 . 2 使 用 者 存 取 管 理 .............................................................................................22
9 . 3 使 用 者 責 任 ....................................................................................................25
9 . 4 系 統 及 應 用 存 取 控 制 ......................................................................................26
1 0 . 密 碼 學 ..........................................................................................................29
1 0 . 1 密 碼 式 控 制 措 施 ...........................................................................................29
11 . 實 體 及 環 境 安 全 .............................................................................................31
11 .1 保 全 區 域 .....................................................................................................31
11 .2 設 備 ............................................................................................................33
1 2 . 運 作 安 全 .......................................................................................................37
1 2 . 1 運 作 程 序 及 責 任 ...........................................................................................38
1 2 . 2 防 範 惡 意 軟 體 ..............................................................................................40
1 2 . 3 備 份 ............................................................................................................41
1 2 . 4 存 錄 及 監 視 ..................................................................................................42
1 2 . 5 運 作 中 軟 體 之 控 制 .......................................................................................44
1 2 . 6 技 術 脆 弱 性 管 理 ...........................................................................................45
1 2 . 7 資 訊 系 統 稽 核 考 量 .......................................................................................46
1 3 . 通 訊 安 全 .......................................................................................................47
1 3 . 1 網 路 安 全 管 理 ..............................................................................................47
1 3 . 2 資 訊 傳 送 .....................................................................................................48
1 4 . 系 統 獲 取 、 開 發 及 維 護 ..................................................................................51
1 4 . 1 資 訊 系 統 之 安 全 要 求 事 項 .............................................................................51
1 4 . 2 於 開 發 及 支 援 過 程 中 之 安 全 .........................................................................53
1 4 . 3 測 試 資 料 .....................................................................................................58
1 5 . 供 應 者 關 係 ....................................................................................................58
1 5 . 1 供 應 者 關 係 中 之 資 訊 安 全 .............................................................................58
1 5 . 2 供 應 者 服 務 交 付 管 理 ....................................................................................61
1 6 . 資 訊 安 全 事 故 管 理 .........................................................................................62
1 6 . 1 資 訊 安 全 事 故 及 改 善 之 管 理 .........................................................................62
1 7 . 營 運 持 續 管 理 之 資 訊 安 全 層 面 ........................................................................66
1 7 . 1 資 訊 安 全 持 續 ..............................................................................................66
1 7 . 2 多 重 備 援 .....................................................................................................67
1 8 . 遵 循 性 ..........................................................................................................68
1 8 . 1 對 法 律 及 契 約 要 求 事 項 之 遵 循 ......................................................................68
1 8 . 2 資 訊 安 全 審 查 ..............................................................................................70
附 錄 A( 參 考 ) CNS 2 7 0 0 1 與 CNS 2 7 0 0 2 詞 彙 對 應 ...................................................73
參 考 資 料 ............................................................................................................74
名 詞 對 照 ............................................................................................................76
－ 3－
CNS 27002, X 6040
前言
本 標 準 係 依 據 2 0 1 3 年 發 行 之 第 2 版 I SO/I E C 2 7 0 0 2， 不 變 更 技 術 內 容 ， 修 訂 成 為 中 華
民國國家標準者。
本 標 準 係 依 標 準 法 之 規 定，經 國 家 標 準 審 查 委 員 會 審 定，由 主 管 機 關 公 布 之 中 華 民 國
國 家 標 準 。 CNS 2 7 0 0 2 :2 0 0 7 已 經 修 訂 並 由 本 標 準 取 代 。
依標準法第四條之規定，國家標準採自願性方式實施。但經各該目的事業主管機關引
用全部或部分內容為法規者，從其規定。
本標準並未建議所有安全事項，使用本標準前應適當建立相關維護安全與健康作業，
並且遵守相關法規之規定。
本標準之部分內容，可能涉及專利權、商標權與著作權，主管機關及標準專責機關不
負責任何或所有此類專利權、商標權與著作權之鑑別。
0. 簡 介
0.1 背 景 及 全 景
本 標 準 旨 在 供 組 織 依 據 CNS 2 7 0 0 1 實 作 資 訊 安 全 管 理 系 統 (info r matio n security
management system, I SMS) 過 程 中 ， 選 擇 控 制 措 施 之 參 考 ， 並 作 為 組 織 實 作 被 普 遍
接受之資訊安全控制措施的指引文件。本標準亦意圖作為指導綱要，供各產業及
組織，於將其資訊安全風險環境納入考量後，據以發展產業特定及組織特定之資
訊安全管理系統。
所 有 形 式 及 規 模 之 組 織 (包 括 公 部 門 及 私 部 門 、 營 利 及 非 營 利 )均 會 蒐 集 、 處 理 、
儲 存 及 傳 輸 多 種 形 式 之 資 訊 ， 包 括 電 子 、 實 體 及 口 語 資 訊 (例 ： 交 談 及 簡 報 )。 資
訊之價值超越書面之文字、數字及影像本身。知識、概念、構想及品牌均屬無形
資訊之事例。於互連世界中，其營運、處置及保護所涉及之資訊及相關之過程、
系統、網路與人員均屬資產，如同其他重要營運資產般，對組織之營運具價值，
因而值得或要求保護，以防範各種危害。
因相關過程、系統、網路及人員具有先天脆弱性，故資產會受蓄意及意外威脅。
營 運 過 程 及 系 統 之 變 更 ， 或 是 其 他 外 部 變 更 (例 ： 新 法 律 及 法 規 )， 可 能 產 生 新 的
資訊安全風險。因威脅能以多種方式利用脆弱性，傷害組織，故資訊安全風險恆
存在。有效之資訊安全，藉由保護組織防範威脅及脆弱性，以降低此等風險，進
而降低對其資產之衝擊。
資訊安全係藉由實作一組合適之控制措施達成，此等控制措施包括政策、過程、
程序、組織結構及軟硬體功能。必要時需建立、實作、監視、審查及改進此等控
制 措 施 ， 以 確 保 符 合 組 織 之 特 定 安 全 及 營 運 目 標 。 正 如 CNS 2 7 0 0 1 中 所 規 定 之
ISMS， 採 取 組 織 資 訊 安 全 風 險 之 全 面 及 協 調 觀 點 ， 俾 於 一 致 之 管 理 系 統 整 體 框 架
下，實作一套周全之資訊安全控制措施。
依 CNS 2 7 0 0 1 及 本 標 準 之 觀 點 而 言 ， 諸 多 資 訊 系 統 之 設 計 未 臻 安 全 。 能 透 過 技 術
手段達成之安全性有限，因此宜藉由適切之管理及程序支援之。識別宜備妥何等
控 制 措 施，必 須 謹 慎 規 劃 並 注 意 細 節。成 功 之 ISMS 要 求 組 織 中 全 體 員 工 的 支 援 。
CNS 27002, X 6040
－ 4－
亦可能要求股東、供應者或其他外部各方之參與。可能亦需外界專家之建議。
依較普遍之觀點而言，有效之資訊安全，亦向管理階層及其他利害相關者，保證
組織之資產具合理安全，並受保護防範傷害，從而使營運得以進行。
0.2 資 訊 安 全 要 求 事 項
組織識別其安全要求事項至為重要。安全要求事項有 3 項主要來源。
(a) 所 進 行 之 組 織 風 險 評 鑑 ， 將 組 織 整 體 營 運 策 略 及 目 標 納 入 考 量 。 經 由 風 險 評
鑑，識 別 資 產 所 面 臨 之 威 脅，評 估 脆 弱 性 及 發 生 之 可 能 性，並 估 計 潛 在 衝 擊 。
(b) 組 織 、 其 交 易 夥 伴 、 約 用 人 員 及 服 務 提 供 者 必 須 滿 足 之 法 律 、 法 令 、 法 規 及
契約的各項要求，以及其社會文化環境。
(c) 組 織 為 支 援 其 運 作 而 發 展 之 資 訊 處 置、處 理、儲 存 、溝 通 及 歸 檔 的 一 組 原 則 、
目標及營運要求事項。
對實作控制措施所使用之資源，需以欠缺該等控制措施時，安全事宜可能造成的
營運傷害相權衡。風險評鑑結果將有助於引導及決定，關於管理資訊安全風險及
實作防範此等風險所選擇之控制措施的適切管理作為與優先序。
CNS 2 7 0 0 5 提 供 資 訊 安 全 風 險 管 理 指 引，包 括 對 風 險 評 鑑、風 險 處 理 、風 險 接 受 、
風險溝通、風險監視及風險審查之建議。
0.3 選 擇 控 制 措 施
控制措施可由本標準或其他控制措施集之中選擇，亦可視情況，設計新控制措施
以符合特定需要。
控制措施之選擇視組織決策而定，其依據組織適用之風險接受準則、風險處理選
項及通用風險管理作法等，且亦受所有相關之國家及國際法律與法規約束。控制
措施選擇亦取決於提供縱深防禦時，控制措施間之互動方式。
本標準中某些控制措施可被視為資訊安全管理之指導原則，而適用於大多數組
織。以下，將對控制措施詳細解說並附上實作指引。更多有關選擇控制措施及其
他 風 險 處 理 選 項 之 資 訊 ， 可 參 照 CNS 2 7 0 0 5 。
0.4 發 展 自 有 指 導 綱 要
可將本標準視為發展組織特定指導綱要之起點。然並非本標準中之所有控制措施
及指引均適用。再者，可能要求本標準未涵蓋之額外控制措施及指導綱要。當發
展包含額外指導綱要或控制措施之文件時，儘可能納入與本標準節次之相互參
照，此對協助稽核者及營運夥伴進行遵循性核對，將可能有所助益。
0.5 生 命 週 期 考 量
資訊有其自然生命週期，由建立及起始，經過儲存、處理、使用及傳輸，至其最
終 銷 毀 或 衰 微。資 產 之 價 值 及 其 風 險，於 其 生 命 期 內 可 能 改 變 ( 例：公 司 財 務 帳 戶 ，
遭 未 經 授 權 之 揭 露 或 竊 取 ， 於 其 正 式 公 布 後 ， 即 無 足 輕 重 )， 然 而 於 所 有 階 段 中 ，
資訊安全均保持某種程度之重要性。
資訊系統具有生命週期，其中包括構思、訂定規格、設計、發展、測試、實作、
使用、維護及最終汰除與廢棄等各階段。於各階段均宜將資訊安全納入考量。發
展新系統及變更既有系統，於將實際事故與目前及預測之資訊安全風險納入考量
－ 5－
CNS 27002, X 6040
下，為組織提供更新及改善安全控制措施之機會。
0.6 相 關 標 準
本 標 準 提 供 普 遍 適 用 於 諸 多 不 同 組 織 之 廣 泛 資 訊 安 全 控 制 措 施 指 引 ， 而 CNS
27000 系 列 之 其 他 各 部 標 準 ， 對 管 理 資 訊 安 全 整 體 過 程 之 其 他 層 面 ， 提 供 補 充 建
議或要求事項。
ISMS 及 系 列 標 準 之 概 論 ， 參 照 CNS 2 7 0 0 0。 CNS 2 7 0 0 0 提 供 用 語 及 定 義 ， 正 式 定
義 使 用 於 整 個 CNS 2 7 0 0 0 系 列 標 準 之 大 部 分 用 語 ， 並 描 述 各 部 標 準 之 適 用 範 圍 及
目標。
CNS 27002, X 6040
－ 6－
1. 適 用 範 圍
本標準提供組織資訊安全標準之指導綱要，以及資訊安全管理之實務作法，包括將
組織資訊安全風險環境納入考量後之控制措施的選擇、實作及管理。
本標準係設計供具下列目的之組織使用。
( a ) 於 依 據 CNS 2 7 0 0 1 實 作 資 訊 安 全 管 理 系 統 之 過 程 中 ， 選 擇 控 制 措 施 。
(b) 實 作 被 普 遍 接 受 之 資 訊 安 全 控 制 措 施 。
(c) 發 展 自 有 之 資 訊 安 全 管 理 指 導 綱 要 。
2. 引 用 標 準
下 列 標 準 因 本 標 準 所 引 用，成 為 本 標 準 之 一 部 分。下 列 引 用 標 準 適 用 最 新 版 ( 包 括 補
充 增 修 )。
CNS 2 7 0 0 0 資 訊 技 術 － 安 全 技 術 － 資 訊 安 全 管 理 系 統 － 概 觀 及 詞 彙
3. 用 語 及 定 義
CNS 2 7 0 0 0 所 規 定 之 用 語 及 定 義 適 用 於 本 標 準 。
4. 本 標 準 之 結 構
本 標 準 共 包 含 1 4 個 安 全 控 制 節 次 ， 總 計 有 3 5 個 主 要 安 全 種 類 及 11 4 項 控 制 措 施 。
4.1 節 次
各定義安全控制措施之節次，含有一或多個主要安全種類。
本標準中之節次順序，不代表其重要性大小。依環境而定，各節次之任何及所有
安全控制措施可能均重要，因此，使用本標準之組織，宜識別適用之控制措施、
其重要性及其對個別營運過程的應用。此外，本標準中條列之項目，並非依其優
先次序列出。
4.2 控 制 措 施 種 類
各主要安全控制措施種類包含下列事項。
(a) 控 制 目 標 ， 陳 述 其 將 達 成 之 目 標 。
(b) 適 用 之 一 或 多 項 控 制 措 施 ， 可 據 以 達 成 控 制 目 標 。
控制措施之結構如下所述。
控制措施
定義特定之控制敘述，用以滿足控制目標。
實作指引
提供支援控制措施實作及符合控制目標之較詳細資訊。指引或許不全然適合或充
分於所有情況，且可能無法滿足組織特定之控制要求事項。
其他資訊
提供可能需考量之進一步資訊，例：法律考量及對其他標準之參引。若無其他資
訊可提供，則不顯現。
5. 資 訊 安 全 政 策
5.1 資 訊 安 全 之 管 理 指 導 方 針
目標：依營運要求及相關法律與法規，提供資訊安全之管理指導方針及支持。
－ 7－
CNS 27002, X 6040
5.1.1 資 訊 安 全 政 策
控制措施
資訊安全政策宜由管理階層定義並核准，且對所有員工及相關外部各方公布及
傳達。
實作指引
於 最 高 層 級 上 ， 組 織 宜 定 義〝 資 訊 安 全 政 策 〞， 明 列 組 織 管 理 其 資 訊 安 全 目 標 之
作法，並由管理階層核准。
資訊安全政策宜闡明下列事項所產生之要求事項。
(a) 營 運 策 略 。
(b) 法 律 、 法 規 及 契 約 。
(c) 目 前 及 預 想 之 資 訊 安 全 威 脅 環 境 。
資訊安全政策宜包含與下列事項相關之敘述。
(a) 資 訊 安 全 之 定 義 、 目 標 及 原 則 ， 用 以 指 引 資 訊 安 全 之 所 有 相 關 活 動 。
(b) 對 已 定 義 角 色 ， 指 派 一 般 及 特 定 之 資 訊 安 全 管 理 責 任 。
(c) 對 偏 差 及 異 常 之 處 置 過 程 。
於較低層級上，宜以特定主題之政策支持資訊安全政策，其進一步要求實作資
訊安全控制措施，且通常係結構化以因應組織內某些標的群組之需要或用以涵
蓋某些主題。
該等政策主題之範例包括下列各項。
(a) 存 取 控 制 (參 照 第 9 節 )。
( b ) 資 訊 分 級 ( 及 處 置 ) ( 參 照 8 . 2 )。
( c ) 實 體 及 環 境 安 全 ( 參 照 第 11 節 ) 。
(d) 終 端 使 用 者 導 向 主 題 ， 諸 如 下 列 各 項 。
(1) 資 產 之 可 被 接 受 使 用 (參 照 8.1.3)。
( 2 ) 桌 面 淨 空 及 螢 幕 淨 空 ( 參 照 11 . 2 . 9 ) 。
( 3 ) 資 訊 傳 送 ( 參 照 1 3 . 2 . 1 )。
( 4 ) 行 動 裝 置 及 遠 距 工 作 ( 參 照 6 . 2 )。
( 5 ) 軟 體 安 裝 及 使 用 之 限 制 ( 參 照 1 2 . 6 . 2 )。
( e ) 備 份 ( 參 照 1 2 . 3 )。
( f) 資 訊 傳 送 ( 參 照 1 3 . 2 )。
( g) 防 範 惡 意 軟 體 ( 參 照 1 2 . 2 )。
( h) 技 術 脆 弱 性 管 理 ( 參 照 1 2 . 6 . 1 )。
(i) 密 碼 式 控 制 措 施 ( 參 照 第 1 0 節 ) 。
(j) 通 訊 安 全 (參 照 第 13 節 )。
( k) 隱 私 及 個 人 可 識 別 資 訊 之 保 護 ( 參 照 1 8 . 1 . 4 )。
(l) 供 應 者 關 係 ( 參 照 第 1 5 節 ) 。
此等政策宜採用對預期之對象適切、可取得及可理解的形式，例：於〝資訊安
全 認 知 、 教 育 及 訓 練 計 畫 〞 ( 參 照 7 . 2 . 2 )內 容 中 ， 向 員 工 及 各 相 關 委 外 方 傳 達 。
CNS 27002, X 6040
－ 8－
其他資訊
各組織對資訊安全內部政策之需要各異。於較大且較複雜之組織中，若定義及核准
所 預 期 之 控 制 程 度 者 與 實 作 控 制 措 施 者 有 所 區 隔，或 是 政 策 適 用 於 組 織 內 許 多 不 同
人 員 或 部 門 之 情 形 下，內 部 政 策 特 別 有 用。資 訊 安 全 政 策 可 制 訂 為 單 一〝 資 訊 安 全
政 策 〞文 件 ， 或 是 一 組 相 關 之 個 別 文 件 。
若任何之資訊安全政策散布至組織外部，則宜謹慎，勿揭露機密資訊。
某 些 組 織 對 此 等 政 策 文 件 使 用 其 他 用 語 ， 諸 如〝 標 準 〞、〝 指 令 〞或〝 規 則 〞等 。
5.1.2 資 訊 安 全 政 策 之 審 查
控制措施
資訊安全政策宜依規劃之期間或發生重大變更時審查，以確保其持續的合宜
性、適切性及有效性。
實作指引
各項政策宜皆有擁有者，其負有經核准之發展、審查及評估政策的管理責任。
審查宜包括評鑑組織管理資訊安全之政策及作法的改善機會，以回應組織環
境、營運情況、法律條款或技術環境等之改變。
資訊安全政策之審查，宜將管理階層審查的結果納入考量。
修訂之政策宜獲得管理階層核准。
6. 資 訊 安 全 之 組 織
6.1 內 部 組 織
目標：建立管理框架，以於組織內啟動及控制資訊安全之實作及運作。
6.1.1 資 訊 安 全 之 角 色 及 責 任
控制措施
宜定義及配置所有資訊安全責任。
實作指引
宜 依 據 資 訊 安 全 政 策 (參 照 5.1.1)配 置 資 訊 安 全 責 任 。 宜 識 別 保 護 個 別 資 產 之 責 任
及實施特定資訊安全過程之責任。宜定義資訊安全風險管理活動之責任，特別是
接受剩餘風險之責任。必要時，對特定場域及資訊處理設施之此等責任，宜以更
詳細的指引增補之。宜定義保護資產及實施特定安全過程之區域個別責任。
被賦予資訊安全責任者，可將安全任務委派他人。然而，仍由其負起責任，且
其宜確定所有委派任務皆已正確履行。
宜敘明個人負責區域，尤其宜執行下列事項。
(a) 宜 識 別 並 定 義 資 產 及 資 訊 安 全 過 程 。
(b) 宜 指 派 負 責 各 項 資 產 或 安 全 過 程 之 個 體 ， 且 宜 以 文 件 記 錄 此 項 責 任 之 細 節
( 參 照 8 . 1 . 2 )。
(c) 宜 定 義 及 以 文 件 記 錄 授 權 層 級 。
( d ) 為 能 擔 負 起 資 訊 保 全 領 域 之 責 任 ，所 指 派 之 個 人 宜 勝 任 於 該 領 域 ，並 提 供 其
與時俱進之機會。
(e) 宜 識 別 及 以 文 件 記 錄 供 應 者 關 係 之 資 訊 安 全 層 面 的 協 調 及 監 督 。
－ 9－
CNS 27002, X 6040
其他資訊
諸多組織任命資訊安全管理者，負起資訊安全發展及實作之總責，並支援各項
控制措施之識別。
然而，取得資源及實作控制措施之責任，通常仍落於個別管理者上。一種共同
實務作法係為每項資產，指派一位擁有者，負責其日常之保護。
6.1.2 職 務 區 隔
控制措施
衝 突 之 職 務 及 責 任 範 圍 宜 予 以 區 隔，以 降 低 組 織 資 產 遭 未 經 授 權 或 非 蓄 意 修 改 或 誤
用之機會。
實作指引
宜注意，無任何人於可在無授權或未被察覺下，存取、修改或使用資產。事件
之啟動宜與其授權區隔。於設計控制措施時，宜考量串通之可能性。
小型組織可能發現難以實施職務區隔，但於可能或可行之情況下，宜儘可能使
用該原則。於難以區隔職務時，宜考量採行諸如活動監視、稽核存底及管理監
督等之其他控制措施。
其他資訊
職務區隔係降低意外或蓄意誤用組織資產之風險的方法。
6.1.3 與 權 責 機 關 之 聯 繫
控制措施
宜維持與相關權責機關之適切聯繫。
實作指引
組 織 宜 備 妥 程 序 ， 規 定 宜 聯 繫 權 責 機 關 (例 ： 執 法 單 位 、 監 理 機 關 及 主 管 機 關 )
之 時 機 及 人 員 ， 以 及 已 識 別 之 資 訊 安 全 事 故 ， 宜 如 何 以 及 時 方 式 通 報 (例 ： 若 有
違 法 疑 慮 )。
其他資訊
可能受網際網路攻擊之組織，可能需權責機關採取作為以抵禦攻擊源。
維 護 此 等 聯 繫 可 能 係 支 援 資 訊 安 全 事 故 管 理 (參 照 第 16 節 )或 營 運 持 續 及 應 變 規
劃 過 程 (參 照 第 17 節 )之 要 求 事 項 。 與 監 理 機 關 之 聯 繫 ， 對 組 織 必 須 實 作 之 法 律
或法規即將變更的預測及準備亦有助益。與其他權責機關之聯繫，包括公用事
業 (utility)、 緊 急 服 務 、 電 力 公 司 及 醫 療 衛 生 與 安 全 ， 例 ： 消 防 部 門 ( 與 營 運 持 續
有 關 )、 電 信 業 ( 與 線 路 選 路 及 可 用 性 有 關 )、 水 公 司 ( 與 設 備 之 冷 卻 設 施 有 關 ) 等 。
6.1.4 與 特 殊 關 注 各 方 之 聯 繫
控制措施
宜維持與各特殊關注方或其他各專家安全論壇及專業協會之適切聯繫。
實作指引
宜將加入特殊關注群組或論壇成為會員，視為達成下列目的之方法。
(a) 增 進 關 於 最 佳 實 務 之 知 識 並 即 時 取 得 最 新 相 關 安 全 資 訊 。
(b) 確 保 對 資 訊 安 全 環 境 之 瞭 解 為 現 行 及 完 備 。
CNS 27002, X 6040
－ 10－
(c) 收 到 有 關 攻 擊 及 脆 弱 性 之 預 警 警 訊 、 建 議 及 修 補 程 式 。
(d) 取 得 專 家 資 訊 安 全 建 議 之 管 道 。
(e) 分 享 並 交 換 關 於 新 科 技 、 產 品 、 威 脅 或 脆 弱 性 之 資 訊 。
( f) 於 處 理 資 訊 安 全 事 故 時 ， 提 供 合 適 之 聯 絡 窗 口 ( 參 照 第 1 6 節 ) 。
其他資訊
可擬定資訊共享協議以改善安全議題之合作及協調。此類協議宜識別對機密資
訊保護之要求事項。
6.1.5 專 案 管 理 之 資 訊 安 全
控制措施
不論專案之形式，宜於專案管理中因應資訊安全。
實作指引
宜將資訊安全整合入組織之專案管理方法中，以確保識別及處理資訊安全風險
為 專 案 的 一 環。此 通 常 適 用 於 所 有 專 案，而 不 論 其 性 質，例：核 心 業 務 過 程、I T 、
設施管理及其他支援過程。使用之專案管理方法宜要求下列事項。
(a) 資 訊 安 全 目 標 納 入 專 案 目 標 中 。
(b) 於 專 案 之 早 期 階 段 進 行 資 訊 安 全 風 險 評 鑑 ， 以 識 別 必 要 控 制 措 施 。
(c) 資 訊 安 全 係 採 用 之 專 案 方 法 的 所 有 階 段 之 一 部 分 。
所有專案均宜定期闡明及審查資訊安全意涵。宜定義資訊安全責任，並指派予
專案管理方法中所定義之規定角色。
6.2 行 動 裝 置 及 遠 距 工 作
目標：確保遠距工作及使用行動裝置之安全。
6.2.1 行 動 裝 置 政 策
控制措施
宜採用政策及支援之安全措施，以管理使用行動裝置所導致之風險。
實作指引
使用行動裝置時，宜採行特別防護措施，以確保不致危及營運資訊。行動裝置
政策宜考量於無保護之環境中以行動裝置工作的風險。
行動裝置政策宜考量下列事項。
(a) 行 動 裝 置 之 註 冊 。
(b) 實 體 保 護 之 要 求 事 項 。
(c) 軟 體 安 裝 之 限 制 。
(d) 行 動 裝 置 軟 體 版 本 及 套 用 修 補 程 式 之 要 求 事 項 。
(e) 連 接 至 資 訊 服 務 之 限 制 。
( f) 存 取 控 制 措 施 。
( g) 密 碼 技 術 。
( h) 防 惡 意 軟 體 。
(i) 遠 端 停 用 、 抹 除 或 閉 鎖 。
(j) 備 份 。
－ 11－
CNS 27002, X 6040
( k) 網 頁 服 務 及 網 頁 應 用 程 式 之 使 用 。
於公共場所、會議室及其他無保護區域使用行動裝置宜採行防護措施。宜備妥
保護措施，以避免經此等裝置儲存及處理之資訊被未經授權存取或揭露，例：
使 用 密 碼 技 術 (參 照 第 10 節 )及 強 制 使 用 秘 密 鑑 別 資 訊 (參 照 9.2.4)。
行動裝置亦宜受實體保護以防範竊盜，尤其當被留置於如車輛及其他交通工具
內、旅館房間、會議中心及聚會場所等處所時。宜為行動裝置遭竊或遺失之情
況，建立特定程序，將法律、保險及組織之其他安全要求事項納入考量。內載
重要、機敏、或關鍵營運資訊之裝置不宜無人看管，且宜儘可能實體上鎖，或
宜使用特殊鎖以保護裝置。
宜安排對使用行動裝置員工之訓練，以提升其對此種工作方式造成之額外風險
及宜實作之控制措施的認知。
當行動裝置政策允許使用私人擁有之行動裝置時，政策及相關安全措施亦宜考
量下列事項。
( a ) 區 隔 裝 置 之 私 用 及 營 運 使 用 ，包 括 使 用 軟 體 以 支 援 該 等 區 隔 ，及 保 護 於 私 有
裝置上之營運資料。
(b) 僅 於 使 用 者 已 簽 署 終 端 使 用 者 同 意 書 ， 確 認 其 ( 實 體 保 護 、 軟 體 更 新 等 ) 責
任 、放 棄 營 運 資 料 之 所 有 權 、允 許 組 織 於 該 裝 置 遭 竊 或 遺 失 或 不 再 被 授 權 使
用 服 務 時，可 由 遠 端 抹 除 資 料 之 後，方 提 供 其 對 營 運 資 料 之 存 取 權。此 政 策
需將隱私權法律納入考量。
其他資訊
行動裝置無線連接與其他形式網路連接類似，但於識別控制措施時，具有宜考
量之重要差異。典型之差異如下。
(a) 某 些 無 線 安 全 協 定 並 不 成 熟 ， 具 有 已 知 弱 點 。
(b) 儲 存 於 行 動 裝 置 中 之 資 訊 ， 可 能 因 有 限 之 網 路 頻 寬 ， 或 因 於 排 定 之 備 份 時
間，行動裝置無法連接而未能備份。
行動裝置通常與固接使用裝置共享共同功能，例：連網、網際網路存取、電子
郵件及檔案處理。行動裝置之資訊安全控制措施，通常包括於固接使用裝置上
採用之控制措施，以及因應其於組織場所外使用所引發之威脅的控制措施。
6.2.2 遠 距 工 作
控制措施
宜實作政策及支援之安全措施，以保護存取、處理或儲存於遠距工作場所之資訊。
實作指引
允許遠距工作活動之組織宜發布政策，定義使用遠距工作之條件及限制。於認
為適用且法律允許時，宜考量下列事項。
( a ) 遠 距 工 作 場 域 之 既 有 實 體 安 全 性 ，將 建 物 及 當 地 環 境 的 實 體 安 全 納 入 考 量 。
(b) 擬 議 之 實 體 遠 距 工 作 環 境 。
( c ) 通 信 安 全 要 求 事 項 ，將 對 遠 端 存 取 組 織 內 部 系 統 之 需 要 、透 過 通 信 連 結 將 被
存取及傳送之資訊的機敏性，以及內部系統的機敏性納入考量。
CNS 27002, X 6040
－ 12－
(d) 提 供 虛 擬 桌 面 存 取 ， 以 防 止 於 私 有 設 備 上 處 理 及 儲 存 資 訊 。
(e) 使 用 居 所 設 備 之 其 他 人 (如 家 人 及 朋 友 )未 經 授 權 存 取 資 訊 或 資 源 的 威 脅 。
( f) 家 用 網 路 之 使 用 ， 以 及 對 無 線 網 路 服 務 的 組 態 之 要 求 事 項 或 限 制 。
( g) 政 策 及 程 序 ， 用 以 預 防 關 於 在 私 有 設 備 上 所 發 展 之 智 慧 財 產 的 權 利 爭 議 。
( h) 為 查 證 機 器 之 安 全 性 或 於 調 查 期 間，存 取 私 有 設 備，此 可 能 為 法 律 所 不 允 許。
(i) 軟 體 授 權 協 議，使 得 組 織 可 能 要 為 員 工 或 委 外 方 使 用 者 私 有 工 作 站 上 之 使 用
端軟體授權承擔責任。
(j) 防 範 惡 意 軟 體 及 防 火 牆 要 求 事 項 。
所考量之指導綱要及安排宜包括下列事項。
( a ) 當 不 允 許 使 用 非 組 織 控 制 下 之 私 有 設 備 時，提 供 遠 距 工 作 活 動 的 適 當 設 備 及
儲存設施。
(b) 定 義 所 許 可 工 作 、 工 作 時 間 、 可 持 有 資 訊 之 分 級 ， 以 及 遠 距 工 作 人 員 被 授 權
存取之內部系統及服務。
(c) 提 供 適 當 通 信 設 備 ， 包 括 保 全 遠 端 存 取 之 方 法 。
(d) 實 體 安 全 。
(e) 對 家 人 及 訪 客 接 觸 設 備 及 資 訊 之 規 則 與 指 引 。
( f) 提 供 軟 體 及 硬 體 支 援 及 維 護 。
( g) 提 供 保 險 。
( h) 供 備 份 及 營 運 持 續 使 用 之 程 序 。
(i) 稽 核 及 安 全 監 視 。
(j) 遠 距 工 作 活 動 終 止 時 ， 授 權 及 存 取 權 限 之 撤 銷 ， 以 及 設 備 之 歸 還 。
其他資訊
遠 距 工 作 意 指 於 辦 公 室 以 外 工 作 之 所 有 形 式，包 括 非 傳 統 工 作 環 境，諸 如 稱 為〝 遠
程 辦 公 〞、〝 彈 性 工 作 地 點 〞、〝 遠 程 工 作 〞 及 〝 虛 擬 工 作 〞 等 環 境 。
7. 人 力 資 源 安 全
7.1 聘 用 前
目標：確保員工及約用人員瞭解其將承擔之責任，且適任其角色。
7.1.1 篩 選
控制措施
對所有可能被聘用者所進行之背景調查，宜依相關法律、法規及倫理，並宜相
稱於營運要求及其將存取之資訊的保密等級及組織所察覺之風險聘用。
實作指引
查證宜將所有相關之隱私權、個人資料保護及聘用的相關法規等納入考量，且
於允許時，宜包括下列各項。
(a) 對 人 格 特 質 是 否 符 合 要 求 之 有 效 參 考 來 源 ， 例 ： 一 為 公 司 而 一 為 個 人 。
(b) 查 證 應 徵 者 簡 歷 表 之 完 備 性 及 正 確 性 。
(c) 確 認 應 徵 者 所 宣 稱 之 學 歷 及 專 業 資 格 。
(d) 獨 立 之 身 分 查 證 (身 分 證 、 護 照 或 類 似 證 件 )。
－ 13－
CNS 27002, X 6040
(e) 更 詳 細 之 查 證 ， 諸 如 信 用 審 查 或 犯 罪 紀 錄 審 查 。
聘用擔任特定資訊安全角色之人員時，組織宜確保此候選者滿足下列事項。
(a) 具 備 必 要 能 力 ， 以 履 行 此 安 全 角 色 。
(b) 可 受 信 賴 ， 以 承 擔 此 角 色 ， 尤 其 是 組 織 之 關 鍵 角 色 。
於人員不論初任或晉升某職務，涉及擁有資訊處理設施之存取權限，特別是此
等 設 施 係 用 以 處 理 機 密 資 訊 (例：財 務 資 訊 或 高 度 機 密 資 訊 )時，組 織 宜 考 量 更 進
一步更詳細之查證。
各項程序宜定義供查證審查使用之準則及限制，例：何人有資格篩選人員，以
及如何、何時及為何進行查證審查。
亦宜確保具有適用於約用人員之篩選過程。於此等情況中，組織與約用人員間
之契約宜規定施行篩選的責任，以及若篩選未完成，或當篩選結果有疑慮時，
需遵守之通知程序。
組織內職位之所有考量中的候選者之資訊，宜依據相關管轄權中所有現行合宜
法規，蒐集及處置。依適用法規之不同，篩選活動可能宜事先通知候選者。
7.1.2 聘 用 條 款 及 條 件
控制措施
組織與員工及約用人員簽訂之契約化協議書，宜敘明雙方對資訊安全的責任。
實作指引
員 工 或 約 用 人 員 之 契 約 義 務 宜 反 映 組 織 資 訊 安 全 政 策，並 釐 清 及 陳 述 下 列 事 項 。
( a ) 所 有 被 賦 予 機 密 資 訊 存 取 權 之 員 工 及 約 用 人 員，宜 於 被 允 許 存 取 資 訊 處 理 設
施 之 前 ， 簽 署 保 密 協 議 ( 參 照 1 3 . 2 . 4 )。
( b ) 員 工 或 約 用 人 員 之 法 定 責 任 及 權 利，例：關 於 著 作 權 法 或 資 料 保 護 法 規 者 ( 參
照 18.1.2 及 18.1.4)。
( c ) 員 工 或 約 用 人 員 對 其 所 處 理 之 組 織 資 訊 、對 與 資 訊 相 關 聯 之 其 他 資 產 ，以 及
對 資 訊 處 理 設 施 及 資 訊 服 務 等 的 資 訊 分 級 責 任 及 管 理 責 任 (參 照 第 8 節 )。
(d) 員 工 或 約 用 人 員 處 置 接 收 自 其 他 公 司 或 外 部 各 方 之 資 訊 的 責 任 。
( e ) 員 工 或 約 用 人 員 違 反 組 織 安 全 要 求 事 項 時 ， 將 受 之 懲 處 ( 參 照 7 . 2 . 3 )。
宜 於 職 前 過 程 (pre-emp loyment process) 期 間，向 職 務 候 選 者 傳 達 資 訊 安 全 角 色 及
責任。
組織宜確保員工及約用人員同意關於資訊安全之條款及條件，相稱於其對與資
訊系統及服務相關聯之組織資產，將取得的存取權限之性質及範圍。
聘用條款及條件所包含之責任，宜儘可能於結束聘用關係後持續一段定義的期
間 ( 參 照 第 7 . 3 )。
其他資訊
可 使 用 行 為 規 範 ( c o d e o f c o nd uct)陳 述 組 織 對 員 工 或 約 用 人 員 ， 關 於 機 密 性 、 資
料保護、倫理、適切使用組織設備及設施，以及各項規範實務作法之資訊安全
責任的期望。可要求約用人員所屬之外部組織，為其所派遣人員簽署負連帶責
任之契約協定。
CNS 27002, X 6040
－ 14－
7.2 聘 用 期 間
目標：確保員工及約用人員認知並履行其資訊安全責任。
7.2.1 管 理 階 層 責 任
控制措施
管理階層宜要求所有員工及約用人員，依組織所建立政策及程序施行資訊安全
事宜。
實作指引
管理階層責任宜包括確保員工及約用人員達成下列事項。
( a ) 於 獲 得 對 機 密 資 訊 或 資 訊 系 統 之 存 取 權 限 前，已 被 正 確 告 知 其 資 訊 安 全 角 色
及責任。
(b) 發 給 指 導 綱 要 ， 闡 明 對 其 於 組 織 內 之 角 色 的 資 訊 安 全 期 望 。
(c) 激 勵 其 遵 行 組 織 之 資 訊 安 全 政 策 。
(d) 達 到 與 其 於 組 織 內 之 角 色 及 責 任 相 稱 的 資 訊 安 全 認 知 等 級 (參 照 7.2.2)。
(e) 符 合 聘 用 條 款 及 條 件 ， 包 括 組 織 資 訊 安 全 政 策 及 適 切 之 工 作 方 法 。
( f) 持 續 具 有 適 切 之 技 能 及 資 格 ， 並 定 期 接 受 教 育 。
( g) 提 供 其 匿 名 反 應 管 道，用 以 反 應 違 反 資 訊 安 全 政 策 或 程 序 之 事 項 (〝 舉 發 〞) 。
管理階層宜展現對資訊安全政策、程序及控制措施之支持，並以身作則。
其他資訊
若員工及約用人員未認知其安全責任，可能引發對組織之巨大損害。受過激勵
之人員可能較可靠且較不會引發資訊安全事故。
管理不善可能令人員感覺被輕視，而造成對組織資訊安全之負面衝擊。例：管
理不善可能導致資訊安全被忽視或潛在之組織資產濫用。
7.2.2 資 訊 安 全 認 知 、 教 育 及 訓 練
控制措施
組織所有員工及相關之約用人員，均宜接受與其工作職能相關的組織政策及程
序之適切認知、教育及訓練，並定期更新。
實作指引
資訊安全認知計畫，宜著重於使員工及相關約用人員認知其資訊安全責任，以
及卸除該等責任之方式。
資訊安全認知計畫之制定宜與組織資訊安全政策及相關程序一致，將欲保護之
組織資訊，以及已實作用以保護資訊之控制措施納入考量。認知計畫宜包括若
干 提 升 認 知 之 活 動 ， 諸 如 宣 導 ( 例 ：〝 資 訊 安 全 日 〞 )， 以 及 發 行 小 冊 或 通 訊 報 導 。
認知計畫宜規劃將員工於組織中之角色，以及組織對相關約用人員之認知的期
望納入考量。認知計畫中之活動宜安排於一段時間，最好定期舉行，使活動重
複，而可涵蓋新進員工及約用人員。認知計畫亦宜定期更新，以保持與組織政
策及程序一致，並宜建立於資訊安全事故中習得之經驗教訓。
宜依組織資訊安全認知計畫之要求實施認知訓練。認知訓練可使用不同方式傳
授，包括課堂教學、遠距學習、網路課程、自訂進度學習及其他方式。
－ 15－
CNS 27002, X 6040
資訊安全教育及訓練亦宜涵蓋一般層面，諸如以下事項。
(a) 聲 明 管 理 階 層 對 全 組 織 資 訊 安 全 之 承 諾 。
(b) 對 熟 悉 及 遵 循 定 義 於 政 策 、 標 準 、 法 律 、 法 規 、 契 約 及 協 議 中 ， 適 用 之 資 訊
安全規則及義務的需要。
( c ) 對 個 人 之 作 為 及 不 作 為 的 個 人 可 歸 責 性 (p erso nal acco untab ility) ， 以 及 對 保
全或保護屬於組織及外部各方之資訊的一般責任。
(d) 基 本 資 訊 安 全 程 序 (諸 如 資 訊 安 全 事 故 陳 報 )及 基 準 控 制 措 施 (諸 如 通 行 碼 安
全 、 惡 意 軟 體 控 制 措 施 及 桌 面 淨 空 )。
(e) 對 資 訊 安 全 事 務 ( 包 括 更 進 一 步 之 資 訊 安 全 教 育 及 訓 練 教 材 ) 之 額 外 資 訊 及
諮詢的聯絡窗口與資源。
宜定期舉辦資訊安全教育及訓練。職前教育及訓練不僅適用於新進人員，亦適
用於調動至實質上具有不同資訊安全要求事項之新職位或角色的人員，且宜於
角色生效前舉辦教育訓練。
組織宜訂定教育訓練計畫，以便有效地實施教育訓練。此計畫宜與組織資訊安
全政策及相關程序一致，並將所要保護之組織資訊，以及用以保護資訊之已實
作控制措施納入考量。此計畫宜考量不同形式之教育及訓練，例：講授式或自
我學習。
其他資訊
製 作 認 知 計 畫 時 ， 不 僅 著 重 於 〝 內 容 〞 及 〝 作 法 〞， 亦 著 重 於 〝 緣 由 〞。 員 工 理
解 資 訊 安 全 之 目 的，以 及 其 自 身 行 為 對 組 織 正 面 與 負 面 的 潛 在 衝 擊，事 關 重 大 。
認 知 、 教 育 及 訓 練 可 為 其 他 訓 練 活 動 (例 ： 一 般 IT 或 一 般 安 全 訓 練 )之 一 部 分 或
與之協同實施。認知、教育及訓練活動宜適合且相關於該人員之角色、責任及
技能。
於認知、教育及訓練課程結束時，可對員工實施理解程度評鑑，以測驗知識傳
授效果。
7.2.3 懲 處 過 程
控制措施
宜具備正式及已傳達之懲處過程，以對違反資訊安全之員工採取行動。
實作指引
未 查 證 資 訊 安 全 違 例 已 發 生 之 前 ， 不 宜 開 始 懲 處 過 程 ( 參 照 1 6 . 1 . 7 )。
正式懲處過程宜確保涉嫌違反資訊安全之員工得到正確及公平的處置。正式懲
處過程宜採累進式處罰，將諸如違例之性質及嚴重性及其對營運之衝擊、是否
為初犯或累犯、違反者是否經過適當訓練、相關法規、營運契約等因素，以及
所要求之其他因素納入考量。
懲處過程亦宜用於嚇阻，以防範員工違反組織之資訊安全政策及程序，以及其
他資訊安全違例。對蓄意之違例可要求立即採取行動。
其他資訊
若定義對資訊安全傑出行為之正向獎勵，則懲處過程亦可成為動力或誘因。
CNS 27002, X 6040
－ 16－
7.3 聘 用 之 終 止 及 變 更
目標：將保護組織利益納入聘用變更或終止聘用過程之一部分。
7.3.1 聘 用 責 任 之 終 止 或 變 更
控制措施
宜對員工及約用人員定義、傳達於聘用終止或變更後，資訊安全責任及義務仍
保持有效，並執行之。
實作指引
所傳達之終止責任宜包括持續的資訊安全要求事項及法律責任，並儘可能包括
所 有 保 密 協 議 中 包 含 之 責 任 (參 照 13.2.4)， 亦 包 括 於 員 工 或 約 用 人 員 聘 用 結 束
後 ， 持 續 一 段 已 定 義 期 間 之 聘 用 條 款 及 條 件 (參 照 7.1.2)。
宜將於聘用終止後仍有效之責任及義務，納入員工及約用人員之聘用條款及條
件 ( 參 照 7 . 1 . 2 )中 。
宜將變更責任或變更聘用，視為終止目前責任或聘用，並啟始新責任或聘用般
管理。
其他資訊
人力資源部門通常負責整體終止程序，並與離職人員之主管一起工作，管理相
關程序之資訊安全層面。若係委外方所提供之約用人員，可由委外方依據本組
織與該委外方間之契約進行此終止過程。
關於人事及運作安排之變更，可能必須通知員工、客戶或約用人員。
8. 資 產 管 理
8.1 資 產 責 任
目標：識別組織之資產並定義適切之保護責任。
8.1.1 資 產 清 冊
控制措施
宜識別資訊，並識別與資訊及資訊處理設施相關聯之其他資產，且宜製作並維護
此等資產之清冊。
實作指引
組織宜識別與資訊生命週期有關之資產，並以文件記錄此等資產之重要性。資訊
生命週期宜包括建立、處理、儲存、傳輸、刪除及銷毀。文件宜視需要於專屬或
既有清冊中維護。
資產清冊宜精確、保持更新、一致並與其他清冊相符。
對 各 已 識 別 之 資 產 ， 宜 指 派 擁 有 權 ( 參 照 8 . 1 . 2 )並 識 別 其 安 全 等 級 ( 參 照 8 . 2 )。
其他資訊
資產清冊有助於確保採行有效之資產保護，其亦可能係因其他目的之要求而建
立 ， 諸 如 衛 生 安 全 、 保 險 或 財 務 (資 產 管 理 )等 原 因 。
CNS 2 7 0 0 5 提 供 組 織 於 識 別 資 產 時，可 能 需 要 考 量 之 資 產 範 例。彙 整 資 產 清 冊 之
過 程 係 風 險 管 理 之 重 要 先 備 事 項 ( 亦 參 照 CNS 2 7 0 0 0 及 CNS 2 7 0 0 5 ) 。
8.1.2 資 產 擁 有 權
－ 17－
CNS 27002, X 6040
控制措施
清冊中所維持之資產宜具擁有者。
實作指引
對資產生命週期擁有被核准之管理責任的個人及其他個體，可被指派為資產擁
有者。
通常需實作確保適時指派資產擁有權之過程。宜於產生資產或轉移至該組織
時，指 派 擁 有 權。資 產 擁 有 者 宜 於 整 個 資 產 生 命 週 期 中，負 責 資 產 之 適 當 管 理 。
資產擁有者宜履行下列工作。
(a) 確 保 資 產 已 盤 點 造 冊 。
(b) 確 保 資 產 已 適 切 分 級 並 受 保 護 。
( c ) 定 義 並 定 期 審 查 重 要 資 產 之 存 取 限 制 及 分 級，將 適 用 之 存 取 控 制 政 策 納 入 考 量。
(d) 當 刪 除 或 銷 毀 資 產 時 ， 確 保 適 當 處 置 。
其他資訊
所識別之擁有者可為個人或個體，其已被核准對控制資產之整個生命週期負有
管理責任。所識別之擁有者未必需對該資產具任何財產權。
例行工作可委派他人，例：委託管理員日常照顧資產，但責任仍在擁有者。
於複雜之資訊系統中，標示一起動作以提供特定服務之群組資產，可能有所助
益 。 於 此 情 況 下 ， 此 服 務 之 擁 有 者 負 有 交 付 服 務 (包 括 其 資 產 之 運 作 )的 責 任 。
8.1.3 資 產 之 可 被 接 受 使 用
控制措施
對 與 資 訊 及 資 訊 處 理 設 施 相 關 聯 之 資 訊 及 資 產，宜 識 別、以 文 件 記 錄 及 實 作 可 被
接受使用之規則。
實作指引
宜令使用組織資產或具有其存取權限之員工及委外方使用者，認知組織資訊之
資訊安全要求事項，並認知與資訊及資訊處理設施相關聯，以及與資源相關聯
之其他資產的資訊安全要求事項。此等人員宜對其使用之所有資訊處理資源負
責，並對其責任下所有該等使用之執行負責。
8.1.4 資 產 之 歸 還
控制措施
所有員工及委外方使用者於其聘用、契約或協議終止時，宜歸還其據有之全部
組織資產。
實作指引
宜明確訂定聘用終止過程，包括歸還所有先前配發之組織擁有或託管的實體及
電子資產。
若員工或委外方使用者購買組織之設備或使用其自有個人設備，則宜遵循程
序 ， 以 確 保 所 有 相 關 資 訊 已 移 轉 至 組 織 ， 並 安 全 地 自 設 備 上 抹 除 ( 參 照 11 . 2 . 7 ) 。
若員工或委外方使用者擁有對現行運作之重要知識，則宜以文件記錄該資訊，
並將其移轉至組織。
CNS 27002, X 6040
－ 18－
於 離 職 通 知 期 間，組 織 宜 控 制 離 職 員 工 及 約 用 人 員 對 相 關 資 訊 (例：智 慧 財 產 權 )
之未經授權複製。
8.2 資 訊 分 級
目標：確保資訊依其對組織之重要性，受到適切等級的保護。
8.2.1 資 訊 之 分 級
控制措施
資訊宜依法律要求、價值、重要性及對未經授權揭露或修改之機敏性分級。
實作指引
資訊之分級及其相關聯之保護式控制措施，宜考量對分享資訊或限制資訊之營
運需要，以及法律要求事項。非資訊之資產的分級可依據資產中所儲存、所處
理，或以其他方式處置或保護之資訊而分級。
資訊資產之擁有者宜承擔資產所屬級別之責任。
分級方案宜包括審查隨時間改變之級別使用的分級及準則之規約。方案中之保
護等級宜依分析機密性、完整性及可用性，以及該資訊之其他所有要求予以評
鑑 。 分 級 方 案 宜 符 合 存 取 控 制 政 策 ( 參 照 9 . 1 . 1 )。
宜賦予各等級於分級方案應用全景中，具意義之名稱。
分級方案宜於整個組織內保持一致，以使所有人均以相同方式，將資訊及相關
資產分級、對保護要求事項有共識，以及使用適切之保護。
宜將分級納入組織之過程中，並於整個組織內保持一致且連貫。分級結果宜依
其機敏性及對組織之關鍵性，指出資產價值，例：依據機密性、完整性及可用
性。宜隨其於生命週期內之價值、機敏性及關鍵性變更而更新分級結果。
其他資訊
級 別 提 供 處 理 資 訊 之 人 員 如 何 處 置 及 保 護 資 訊 的 精 簡 指 示。建 立 具 相 似 保 護 需 要 之
資訊群組，並規定適用於各群組內所有資訊之安全程序，將有利於此作法。此作法
減少對逐案進行風險評鑑及訂製設計控制措施之需要。
資訊可能經一段時間後，不再具機敏性或關鍵性，例：當資訊已公開。宜將此
等層面納入考量，因分級過高可能導致實作非必要之控制措施，而產生額外費
用，或反之分級過低，可能危及營運目標之達成。
資訊機密性分級方案之範例，可為依據如下之 4 個等級。
(a) 揭 露 不 致 造 成 傷 害 。
(b) 揭 露 導 致 小 難 堪 或 小 運 作 不 便 。
(c) 揭 露 對 運 作 或 戰 術 目 標 有 顯 著 短 期 衝 擊 。
(d) 揭 露 對 長 期 策 略 目 標 有 嚴 重 衝 擊 或 對 組 織 生 存 產 生 風 險 。
8.2.2 資 訊 之 標 示
控制措施
宜依組織所採用之資訊分級方案，發展及實作一套適切的資訊標示程序。
實作指引
資訊標示之程序需涵蓋實體格式及電子格式的資訊，以及其相關資產。標示宜
－ 19－
CNS 27002, X 6040
反 映 8.2.1 中 建 立 之 分 級 方 案 。 標 籤 宜 易 於 辨 識 。 依 媒 體 形 式 ， 考 量 資 訊 如 何 存
取或資產如何處置，程序宜提供於何處及如何附加標籤之指引。程序可定義省
略標示之情況，以降低工作負荷，例：非機密資訊不需標示。宜使員工及約用
人員認知標示程序。
各系統之輸出，若包含分級為機敏或關鍵之資訊，則宜附加適切之分級標籤。
其他資訊
機 密 資 訊 之 標 示 係 資 訊 分 享 協 議 的 關 鍵 要 求 。 實 體 標 籤 及 詮 釋 資 料 (metadata)係
常用之標示形式。
資訊及其相關資產之標示有時會有負面效應。標示使機密資產較易識別，因而
易被內部人員或外部攻擊者竊取。
8.2.3 資 產 之 處 置
控制措施
宜依組織所採用之資訊分級方案，發展及實作處置資產之程序。
實作指引
宜 制 定 與 資 訊 之 分 級 ( 參 照 8 . 2 . 1 )一 致 的 處 置 、 處 理 、 儲 存 及 傳 達 程 序 。
宜考量下列事項。
(a) 支 援 各 分 級 等 級 之 保 護 要 求 事 項 的 存 取 限 制 。
(b) 維 護 經 授 權 之 資 產 接 收 者 的 正 式 紀 錄 。
(c) 保 護 資 訊 之 暫 存 或 永 久 複 本 ， 與 原 版 資 訊 保 護 等 級 一 致 。
(d) 依 據 製 造 商 之 規 格 儲 存 IT 資 訊 。
(e) 清 晰 標 示 所 有 媒 體 複 本 ， 以 提 醒 經 授 權 接 收 者 注 意 。
即使等級名稱類似，組織內使用之分級方案可能與其他組織使用之分級方案不
同。此外，即使其分級方案相同，於組織間移動之資訊的級別，可能依個別組
織之全景而改變。
與其他組織之協議若包含資訊分享，宜納入用以識別該資訊之分級，以及解譯
來自其他組織之分級標籤的程序。
8.3 媒 體 處 置
目標：防止儲存於媒體之資訊被未經授權之揭露、修改、移除或破壞。
8.3.1 可 移 除 式 媒 體 之 管 理
控制措施
宜依組織所採用之資訊分級方案，實作管理可移除式媒體之程序。
實作指引
宜考量下列對可移除式媒體之管理的指導綱要。
(a) 若 不 再 需 要 ， 則 宜 使 所 有 由 組 織 移 除 之 可 再 利 用 媒 體 的 內 容 ， 無 法 復 原 。
(b) 必 要 及 實 際 可 行 時 ， 自 組 織 移 除 媒 體 宜 要 求 授 權 ， 並 宜 保 存 該 移 除 之 紀 錄 ，
以維持稽核存底。
(c) 所 有 媒 體 宜 依 製 造 商 規 格 儲 存 於 安 全 且 保 全 之 環 境 。
( d ) 若 資 料 機 密 性 或 完 整 性 為 重 要 考 量，則 宜 使 用 加 密 技 術 保 護 可 移 除 式 媒 體 上
CNS 27002, X 6040
－ 20－
之資料。
(e) 為 降 低 媒 體 劣 化 之 風 險 ， 所 儲 存 資 料 仍 有 需 要 時 ， 宜 於 資 料 變 成 無 法 讀 取
前，將其轉移至全新的媒體。
( f) 有 價 值 資 料 之 多 份 複 本 宜 儲 存 於 不 同 個 別 媒 體 上，以 進 一 步 降 低 資 料 意 外 毀
損或遺失之風險。
( g) 宜 考 量 將 可 移 除 式 媒 體 註 冊 登 載 ， 以 減 少 資 料 遺 失 之 機 會 。
( h) 宜 僅 於 具 營 運 理 由 時 ， 方 可 使 用 可 移 除 式 媒 體 硬 碟 。
(i) 需 使 用 可 移 除 式 媒 體 時 ， 將 資 料 轉 移 至 該 媒 體 宜 受 監 視 。
宜以文件記錄程序及授權等級。
8.3.2 媒 體 之 汰 除
控制措施
當不再需要媒體時，宜使用正式程序加以安全汰除。
實作指引
宜建立媒體安全汰除之正式程序，以將機密資訊洩露給未經授權人員之風險降
至最低。用以安全汰除含有機密資訊之媒體的程序，宜與該資訊之機敏度成正
比。宜考量下列事項。
(a) 含 有 機 密 資 訊 之 媒 體 宜 安 全 地 儲 存 及 汰 除 ， 例 ： 經 由 燒 毀 或 粉 碎 ， 或 抹 除 資
料後使用於組織內其他應用。
(b) 宜 備 妥 程 序 ， 用 以 識 別 可 能 要 求 安 全 汰 除 之 項 目 。
( c ) 安 排 將 所 有 待 收 集 之 媒 體 項 目 並 將 其 安 全 汰 除，可 能 比 設 法 分 離 出 機 敏 項 目
較容易。
( d ) 諸 多 組 織 提 供 媒 體 之 收 集 及 汰 除 服 務。宜 謹 慎 選 擇 有 適 切 控 制 措 施 及 經 驗 之
合適委外方。
(e) 機 敏 項 目 之 汰 除 宜 予 存 錄 ， 俾 維 持 稽 核 存 底 。
當 累 積 待 汰 除 媒 體 時 ， 宜 考 量 聚 合 效 應 (aggr egation effect) ， 其 能 使 大 量 非 機 敏
資訊變成機敏。
其他資訊
可要求對包含機敏資料之受損設備實施風險評鑑，以決定設備是否宜實體破壞
而 非 送 修 或 廢 棄 ( 參 照 11 . 2 . 7 ) 。
8.3.3 實 體 媒 體 運 送
控制措施
宜保護含有資訊之媒體於運送時，不受未經授權的存取、誤用或毀損。
實作指引
保護運送含有資訊之媒體，宜考量下列指導綱要。
(a) 宜 使 用 可 靠 之 運 送 者 或 遞 送 者 。
(b) 經 授 權 之 遞 送 者 清 單 ， 宜 經 管 理 階 層 同 意 。
(c) 宜 制 定 查 證 遞 送 者 身 分 之 程 序 。
( d ) 包 裝 宜 足 以 保 護 內 容 物 ，防 範 運 送 中 可 能 發 生 之 任 何 實 體 損 壞 ，並 符 合 製 造
－ 21－
CNS 27002, X 6040
者 之 規 格，例：防 範 所 有 可 能 降 低 媒 體 恢 復 之 有 效 性 的 環 境 因 素，諸 如 暴 露
於熱源、濕氣或電磁場。
(e) 宜 保 存 日 誌 ， 其 識 別 媒 體 內 容 、 所 使 用 之 保 護 ， 並 記 錄 交 付 予 運 送 者 之 時 間
及送達目的地接收者之時間。
其他資訊
資 訊 於 實 體 運 送 過 程 (例：透 過 郵 寄 服 務 或 透 過 遞 送 者 寄 送 媒 體 )中，易 遭 受 未 經
授權之存取、濫用或毀損。於此控制措施中，媒體包括紙本文件。
當媒體上之機密資訊未加密時，宜考量額外之媒體實體保護。
9. 存 取 控 制
9.1 存 取 控 制 之 營 運 要 求 事 項
目標：限制對資訊及資訊處理設施之存取。
9.1.1 存 取 控 制 政 策
控制措施
存取控制政策宜依據營運及資訊安全要求事項，建立、以文件記錄並審查之。
實作指引
資產擁有者宜對其資產之特定使用者角色，訂定適切之存取控制規則、存取權
限及限制。此等事項宜具有與相關聯之資訊安全風險相稱的詳細程度及嚴謹程
度之控制措施。
宜 同 時 考 量 邏 輯 式 存 取 控 制 措 施 及 實 體 式 存 取 控 制 措 施 ( 參 照 第 11 節 ) 。 宜 交 付
予使用者及服務提供者一份營運要求事項之明確聲明，其係存取控制措施將符
合者。
該政策宜考量下列內容。
(a) 營 運 應 用 之 安 全 要 求 事 項 。
(b) 資 訊 散 播 及 授 權 之 政 策 ， 例 ： 僅 知 原 則 ， 以 及 資 訊 安 全 等 級 及 資 訊 分 級 (參
照 8 . 2 )。
(c) 系 統 及 網 路 中 ， 存 取 權 限 與 資 訊 分 級 政 策 間 之 一 致 性 。
( d ) 對 於 資 料 或 服 務 之 存 取 限 制 的 相 關 法 規 及 所 有 契 約 義 務 ( 參 照 1 8 . 1 )。
(e) 分 散 式 網 路 環 境 中 之 存 取 權 限 管 理 ， 辨 識 所 有 可 用 連 線 形 式 。
( f) 存 取 控 制 角 色 之 區 隔 ， 例 ： 區 隔 存 取 請 求 、 存 取 授 權 及 存 取 管 理 。
( g) 存 取 請 求 之 正 式 授 權 ( 參 照 9 . 2 . 1 及 9 . 2 . 2 ) 的 要 求 事 項 。
( h) 存 取 權 限 之 定 期 審 查 ( 參 照 9 . 2 . 5 )的 要 求 事 項 。
(i) 存 取 權 限 之 移 除 ( 參 照 9 . 2 . 6 )。
( j ) 關 於 使 用 者 身 分 及 安 全 鑑 別 資 訊 之 使 用 及 管 理 ，所 有 重 要 事 件 之 記 錄 存 檔 。
( k) 具 特 殊 存 取 權 限 之 角 色 ( 參 照 9 . 2 . 3 )。
其他資訊
規定用以考量下列事項之存取控制規則時，宜謹慎。
(a) 依 據〝 除 非 許 可 ， 否 則 一 律 禁 止 〞之 前 提 建 立 規 則 ， 而 非 依 據 較 弱 之〝 除 非
禁止，否則一律許可〞規則。
CNS 27002, X 6040
－ 22－
(b) 更 改 由 資 訊 處 理 設 施 自 動 加 上 ， 或 由 使 用 者 自 行 加 上 之 資 訊 標 籤 ( 參 照
8.2.2)。
(c) 更 改 由 資 訊 系 統 自 動 賦 予 ， 或 由 系 統 管 理 者 賦 予 之 使 用 者 權 限 。
(d) 實 施 前 須 特 定 核 准 之 規 則 ， 以 及 不 須 特 定 核 准 之 規 則 。
存 取 控 制 規 則 宜 以 正 式 程 序 ( 參 照 9 . 2 、 9 . 3 、 9 . 4 )及 已 定 義 責 任 ( 參 照 6 . 1 . 1 、 9 . 3 )
支持之。
諸 多 組 織 成 功 使 用 角 色 式 存 取 控 制 (role based access control, RB AC)作 法 ， 連 結
存取權限與營運角色。
指引存取控制政策之 2 項常用原則如下。
( a ) 僅 知 ( ne e d -to -kno w)：僅 授 予 對 履 行 任 務 所 需 資 訊 之 存 取 權 限 ( 不 同 任 務 /角 色
意 指 不 同 僅 知 ， 因 此 有 不 同 存 取 剖 繪 )。
( b ) 僅 用 ( ne e d -to -use ) ： 僅 授 予 對 履 行 任 務 / 工 作 / 角 色 所 需 資 訊 處 理 設 施 ( I T 設
備 、 應 用 系 統 、 程 序 、 房 間 )之 存 取 權 限 。
9.1.2 對 網 路 及 網 路 服 務 之 存 取
控制措施
宜僅提供使用者存取其已被特定授權使用之網路及網路服務。
實作指引
宜制定關於網路及網路服務之使用的政策。此政策宜涵蓋下列項目。
(a) 所 允 許 存 取 之 網 路 及 網 路 服 務 。
(b) 授 權 程 序 ， 用 以 決 定 何 使 用 者 可 存 取 哪 些 網 路 及 網 路 服 務 。
(c) 管 理 控 制 措 施 與 程 序 ， 用 以 保 護 網 路 連 線 及 網 路 服 務 。
( d ) 存 取 網 路 及 網 路 服 務 之 方 式 ( 例 ： 使 用 VP N 或 無 線 網 路 ) 。
(e) 使 用 者 鑑 別 要 求 事 項 ， 用 以 存 取 各 種 不 同 網 路 服 務 。
( f) 網 路 服 務 使 用 之 監 視 。
使 用 網 路 服 務 之 政 策 宜 與 組 織 的 存 取 控 制 政 策 一 致 (參 照 9.1.1)。
其他資訊
未經授權及不安全之網路服務連接，可能影響整個組織。對於與機敏或關鍵營
運 應 用 之 網 路 連 接 ， 或 與 位 於 高 風 險 處 (例 ： 組 織 無 法 進 行 資 訊 安 全 管 理 及 控 制
之 公 眾 或 外 部 區 域 )的 使 用 者 之 網 路 連 線 時 ， 此 控 制 措 施 特 別 重 要 。
9.2 使 用 者 存 取 管 理
目標：確保經授權使用者對系統及服務之存取，並防止未經授權之存取。
9.2.1 使 用 者 註 冊 及 註 銷
控制措施
宜實作正式之使用者註冊及註銷過程，俾能指派存取權限。
實作指引
管 理 使 用 者 ID 之 過 程 ， 宜 包 括 下 列 事 項 。
(a) 使 用 唯 一 之 使 用 者 ID， 連 結 使 用 者 與 其 行 為 ， 並 負 其 責 任 。 宜 僅 於 營 運 或
作 業 必 要 時 ， 方 允 許 使 用 共 用 I D， 並 宜 經 核 准 並 以 文 件 記 錄 。
－ 23－
CNS 27002, X 6040
( b ) 使 用 者 離 開 組 織 時 ， 立 即 停 用 或 移 除 其 使 用 者 ID( 參 照 9 . 2 . 6 )。
( c ) 定 期 識 別 並 移 除 或 停 用 多 餘 之 使 用 者 I D。
(d) 確 保 同 一 使 用 者 ID 未 配 發 其 他 使 用 者 。
其他資訊
提供或撤銷對資訊或資訊處理設施之存取，通常係 2 個步驟之程序。
( a ) 指 派 及 啟 用 ， 或 撤 銷 使 用 者 I D。
( b ) 對 該 使 用 者 I D 提 供 或 撤 銷 存 取 權 限 ( 參 照 9 . 2 . 2 )。
9.2.2 使 用 者 存 取 權 限 之 配 置
控制措施
宜實作正式之使用者存取權限配置程序，以對所有形式之使用者對所有系統及
服務，指派或撤銷存取權限。
實作指引
指 派 或 撤 銷 使 用 者 ID 存 取 權 限 之 配 置 過 程 ， 宜 包 括 下 列 事 項 。
( a ) 取 得 資 訊 系 統 或 服 務 擁 有 者 之 授 權，以 使 用 資 訊 系 統 或 服 務 ( 參 照 8 . 1 . 2 控 制
措 施 )。 管 理 階 層 亦 得 個 別 核 准 存 取 權 限 。
( b ) 查 證 所 授 予 存 取 等 級 合 乎 存 取 政 策 ( 參 照 9 . 1 )，並 與 諸 如 職 務 區 隔 ( 參 照 6 . 1 . 2 )
之其他要求事項一致。
(c) 確 保 存 取 權 限 於 授 權 程 序 完 成 前 ， 不 被 啟 動 (例 ： 由 服 務 提 供 者 )。
( d ) 維 護 集 中 之 存 取 權 限 紀 錄 ， 此 等 權 限 係 授 予 某 使 用 者 I D， 供 其 據 以 存 取 資
訊系統及服務。
( e ) 對 角 色 或 職 務 已 變 更 之 使 用 者 ，調 整 其 存 取 權 限 ，並 立 即 移 除 或 封 鎖 離 職 使
用者之存取權限。
( f) 定 期 與 資 訊 系 統 或 服 務 之 擁 有 者 ， 審 查 存 取 權 限 ( 參 照 9 . 2 . 5 )。
其他資訊
宜考量依據營運要求建立使用者存取角色，其將數個存取權限彙總成典型的使
用者存取剖繪。於該等角色之層級上，較於特定權限之層級上，易於管理存取
請 求 及 審 查 ( 參 照 9 . 2 . 4 )。
宜考量於聘用契約及服務契約中加入相關條款，規定員工或約用人員若試圖進
行 未 經 授 權 之 存 取 行 為 將 受 懲 處 ( 參 照 7 . 1 . 2 、 7 . 2 . 3 、 1 3 . 2 . 4 、 1 5 . 1 . 2 )。
9.2.3 具 特 殊 存 取 權 限 之 管 理
控制措施
宜限制及控制具特殊存取權限之配置及使用。
實作指引
宜 依 相 關 存 取 控 制 政 策 (參 照 控 制 措 施 9.1.1)， 經 正 式 授 權 過 程 ， 控 制 特 殊 存 取
權限之配置。宜考量下列步驟。
(a) 宜 識 別 與 各 系 統 或 過 程 (例 ： 作 業 系 統 、 資 料 庫 管 理 系 統 )相 關 聯 之 特 殊 存 取
權限，並宜識別需配置此等特殊存取權限之各應用及使用者。
( b ) 宜 遵 循 存 取 控 制 政 策 ( 參 照 9 . 1 . 1 )， 依 僅 用 原 則 及 逐 案 ( event-b y-event) 方 式 ，
CNS 27002, X 6040
－ 24－
為使用者配置特殊存取權限，亦即依其功能角色之最低要求配置。
(c) 宜 維 護 所 配 置 特 殊 存 取 權 限 之 授 權 過 程 及 紀 錄。宜 於 完 成 授 權 過 程 後，方 授 予
特殊存取權限。
(d) 宜 定 義 特 殊 存 取 權 限 逾 期 之 要 求 事 項 。
( e ) 對 特 殊 存 取 權 限 ， 宜 指 派 與 日 常 營 運 活 動 不 同 之 使 用 者 I D。 日 常 營 運 活 動
不 宜 由 特 殊 權 限 ID 履 行 。
( f) 宜 定 期 審 查 具 特 殊 存 取 權 限 使 用 者 之 資 格 ， 俾 查 證 是 否 與 其 職 務 相 符 。
( g) 為 避 免 通 用 系 統 管 理 者 I D 之 未 經 授 權 使 用 ， 宜 依 系 統 之 組 態 能 力 ， 建 立 並
維護特定程序。
( h) 共 用 通 用 系 統 管 理 者 I D 時 ， 宜 維 護 秘 密 鑑 別 資 訊 之 機 密 性 ( 例 ： 經 常 變 更 通
行 碼，以 及 當 特 殊 權 限 使 用 者 離 職 或 變 更 工 作 時，立 即 變 更 通 行 碼，並 以 適
當 機 制 於 特 殊 權 限 使 用 者 間 傳 達 此 資 訊 )。
其他資訊
不 當 使 用 系 統 管 理 之 特 殊 權 限 (資 訊 系 統 之 任 何 功 能 或 設 施 ， 能 讓 使 用 者 藉 以 篡 越
系 統 或 應 用 之 控 制 )， 可 能 係 系 統 失 效 或 危 害 系 統 之 主 要 因 素 。
9.2.4 使 用 者 之 秘 密 鑑 別 資 訊 的 管 理
控制措施
宜以正式之管理過程控制秘密鑑別資訊的配置。
實作指引
過程宜包括下列要求事項。
(a) 宜 要 求 使 用 者 簽 署 聲 明 ， 對 個 人 秘 密 鑑 別 資 訊 保 密 ， 且 保 持 群 組 (亦 即 共 享 )
秘密鑑別資訊僅限於群組成員間。此份簽署聲明可列入聘用條款及條件中
( 參 照 7 . 1 . 2 )。
( b ) 於 使 用 者 被 要 求 維 護 其 自 己 之 秘 密 鑑 別 資 訊 的 情 況 下，宜 開 始 先 提 供 安 全 之
暫時秘密鑑別資訊，並強制於首次使用時變更。
( c ) 宜 建 立 程 序，以 於 提 供 新 的、替 換 或 暫 時 秘 密 鑑 別 資 訊 前，驗 證 使 用 者 身 分 。
( d ) 宜 以 安 全 方 式 將 暫 時 秘 密 鑑 別 資 訊 交 予 使 用 者，宜 避 免 使 用 外 部 或 未 受 保 護
(明 文 )之 電 子 郵 件 訊 息 。
(e) 各 人 之 暫 時 秘 密 鑑 別 資 訊 宜 為 唯 一 ， 且 不 宜 可 被 猜 出 。
( f) 使 用 者 於 收 到 秘 密 鑑 別 資 訊 時 ， 宜 回 應 收 悉 。
( g) 廠 商 預 設 之 秘 密 鑑 別 資 訊 ， 於 系 統 或 軟 體 安 裝 後 ， 宜 更 改 之 。
其他資訊
通行碼係常用之秘密鑑別資訊形式，並係驗證使用者身分之常用方法。其他秘
密 鑑 別 資 訊 形 式 為 加 密 金 鑰 ， 以 及 儲 存 於 硬 體 符 記 (token)(例 ： 智 慧 卡 )， 用 以 產
生鑑別碼之其他資料。
9.2.5 使 用 者 存 取 權 限 之 審 查
控制措施
資產擁有者宜定期審查使用者之存取權限。
－ 25－
CNS 27002, X 6040
實作指引
審查存取權限宜考量下列事項。
(a) 使 用 者 之 存 取 權 限 宜 定 期 審 查 ， 並 於 諸 如 升 職 、 降 職 或 聘 用 終 止 (參 照 第 7
節 )等 之 任 何 變 更 後 審 查 之 。
(b) 於 同 組 織 內 轉 移 角 色 時 ， 宜 審 查 使 用 者 之 存 取 權 限 並 重 新 配 置 。
(c) 宜 以 較 頻 繁 之 間 隔 ， 審 查 特 殊 存 取 權 限 之 授 權 。
(d) 宜 定 期 檢 核 特 殊 權 限 配 置 情 況 ， 以 確 保 無 人 獲 得 未 經 授 權 之 特 殊 權 限 。
(e) 宜 存 錄 具 特 殊 權 限 之 帳 號 的 變 更 ， 供 定 期 審 查 使 用 。
其他資訊
此 控 制 措 施 補 強 執 行 控 制 措 施 9.2.1、 9.2.2 及 9.2.6 中 可 能 之 弱 點 。
9.2.6 存 取 權 限 之 移 除 或 調 整
控制措施
所有員工及委外方使用者對資訊及資訊處理設施之存取權限，一旦其聘用、契
約 或 協 議 終 止 時，均 宜 予 以 移 除；或 於 其 聘 用、契 約 或 協 議 變 更 時 均 須 調 整 之 。
實作指引
於終止聘用時，宜移除或中止人員對資訊，以及與資訊處理設施及服務相關聯
之資產的存取權限。此將決定是否必須移除存取權限。宜將聘用之變更，落實
於移除新聘用中未獲核准之所有存取權限。宜移除或調整之權限包括實體進出
及邏輯存取等權限。移除或調整權限可經由對金鑰、識別證、資訊處理設施及
訂用服務等之移除、廢止或替換而完成之。識別員工及約用人員存取權限之所
有文件宜均落實存取權限之移除或調整。若即將離職員工或委外方使用者，具
有 仍 使 用 中 之 使 用 者 ID 的 通 行 碼 ， 則 於 其 聘 用 、 契 約 或 協 議 終 止 或 變 更 時 ， 宜
變更之。
於聘用終止或變更前，對與資訊處理設施相關聯之資訊及資產的存取權限，宜
依據對諸如下列之風險因素的評估，予以降低或移除。
( a ) 聘 用 終 止 或 變 更 係 由 員 工、委 外 方 使 用 者 或 由 管 理 階 層 所 發 起，以 及 終 止 原 因。
(b) 員 工 、 委 外 方 使 用 者 或 任 何 其 他 使 用 者 之 目 前 責 任 。
(c) 目 前 可 存 取 資 產 之 價 值 。
其他資訊
於某些情況下，某些存取權限可能不僅配置予即將離職之員工或委外方使用
者 ， 如 群 組 I D。 於 該 情 況 下 ， 宜 自 所 有 群 組 存 取 清 單 中 移 除 即 將 離 職 人 員 ， 並
宜安排告知所有相關之其他員工及委外方使用者，不再與即將離職人員共用此
資訊。
若聘用終止為管理階層所發起，則不滿之員工或委外方使用者可能蓄意毀損資
訊或破壞資訊處理設施。若為請辭或自行離職，則其可能企圖蒐集資訊供將來
使用。
9.3 使 用 者 責 任
目標：令使用者對保全其鑑別資訊負責。
CNS 27002, X 6040
－ 26－
9.3.1 秘 密 鑑 別 資 訊 之 使 用
控制措施
於使用秘密鑑別資訊時，宜要求使用者遵循組織之實務規定。
實作指引
宜告知所有使用者下列事項。
(a) 保 持 秘 密 鑑 別 資 訊 之 機 密 性 ， 確 保 不 洩 露 給 任 何 人 ， 包 括 權 責 人 員 。
(b) 避 免 留 存 秘 密 鑑 別 資 訊 之 紀 錄 (例 ： 於 紙 張 、 軟 體 檔 案 或 手 持 裝 置 上 )， 除 非
其 能 被 安 全 地 儲 存 ， 且 該 儲 存 方 式 經 過 核 准 (例 ： 通 行 碼 庫 )。
(c) 一 旦 秘 密 鑑 別 資 訊 出 現 可 能 遭 破 解 跡 象 ， 應 立 即 更 改 之 。
( d ) 當 以 通 行 碼 作 為 秘 密 鑑 別 資 訊 時 ，選 用 嚴 謹 並 具 足 夠 之 最 短 長 度 的 通 行 碼 ，
且具下列特性。
(1) 容 易 記 憶 。
(2) 勿 依 據 任 何 讓 他 人 可 輕 易 猜 出 或 取 得 的 個 人 相 關 資 訊 (例：姓 名、電 話 號
碼 、 生 日 等 )產 生 。
(3) 可 對 抗 字 典 攻 擊 (亦 即 不 用 字 典 內 有 的 字 組 成 )。
(4) 勿 使 用 連 續 之 相 同 字 元 、 全 為 數 字 或 全 為 字 母 。
(5) 首 次 登 入 時 ， 立 即 更 改 暫 用 通 行 碼 。
(e) 勿 共 用 個 人 使 用 者 之 秘 密 鑑 別 資 訊 。
( f) 當 自 動 登 入 程 序 中 以 通 行 碼 作 為 秘 密 鑑 別 資 訊 並 儲 存 時，確 保 適 當 地 保 護 通
行碼。
( g) 勿 使 用 相 同 秘 密 鑑 別 資 訊 ， 供 公 務 及 非 公 務 使 用 。
其他資訊
提 供 單 一 登 入 ( single sign o n, SSO)或 其 他 秘 密 鑑 別 資 訊 管 理 工 具，可 降 低 要 求 使
用者保護之秘密鑑別資訊量，並得以增加控制措施的有效性。然而，此等工具
亦可能增加秘密鑑別資訊揭露之衝擊。
9.4 系 統 及 應 用 存 取 控 制
目標：防止系統及應用遭未經授權之存取。
9.4.1 資 訊 存 取 限 制
控制措施
宜依存取控制政策，限制對資訊及應用系統功能之存取。
實作指引
對 存 取 之 限 制 宜 基 於 個 別 的 營 運 應 用 要 求 事 項，並 根 據 已 定 義 之 存 取 控 制 政 策 。
為支援存取限制要求，宜考量下列事項。
(a) 提 供 選 單 ， 以 控 制 對 應 用 系 統 功 能 之 存 取 。
(b) 控 制 特 定 使 用 者 得 存 取 之 資 料 。
(c) 控 制 使 用 者 之 存 取 權 限 ， 例 ： 讀 取 、 寫 入 、 刪 除 及 執 行 等 權 限 。
(d) 控 制 其 他 應 用 之 存 取 權 限 。
(e) 限 制 輸 出 中 所 包 含 之 資 訊 。
－ 27－
CNS 27002, X 6040
( f) 對 機 敏 之 應 用 、 應 用 資 料 或 系 統 的 隔 離 ， 提 供 實 體 或 邏 輯 之 存 取 控 制 。
9.4.2 保 全 登 入 程 序
控制措施
當存取控制政策要求時，宜以保全登入程序，控制對系統及應用之存取。
實作指引
宜選擇合適之鑑別技術，以證實使用者所宣稱的身分。
若要求嚴謹之鑑別及身分查證，宜使用替代通行碼的鑑別方法，例：密碼式工
具、智慧卡、符記或生物量測式工具。
宜將登入系統或應用之程序設計成可將未經授權存取的機會降至最低。因此，
登入程序宜僅揭露有關系統或應用之最少相關資訊，以避免提供未經授權使用
者任何非必要的協助。良好之登入程序宜包含下列措施。
(a) 於 登 入 程 序 未 成 功 完 成 前 ， 不 顯 示 系 統 或 應 用 的 識 別 畫 面 。
(b) 顯 示 通 告 ， 以 警 示 僅 經 授 權 的 使 用 者 才 能 存 取 電 腦 。
(c) 不 於 登 入 程 序 其 間 提 供 協 助 訊 息 ， 以 免 對 未 經 授 權 使 用 者 提 供 協 助 。
( d ) 僅 於 所 有 資 料 輸 入 完 成 後 才 驗 證 登 入 資 訊 。若 發 生 錯 誤 情 況 ，則 系 統 宜 不 指
明哪部分資料係正確或錯誤。
(e) 防 範 暴 力 式 登 入 攻 擊 。
( f) 記 錄 失 敗 及 成 功 之 登 入 嘗 試 。
( g) 若 偵 測 到 潛 在 攻 擊 或 違 反 登 入 控 制 措 施 ， 則 提 報 安 全 事 件 。
( h) 登 入 成 功 後 ， 顯 示 下 列 資 訊 。
(1) 前 次 登 入 成 功 之 日 期 及 時 間 。
(2) 自 上 次 成 功 登 入 後 ， 所 有 登 入 失 敗 之 詳 細 資 料 。
(i) 不 顯 示 鍵 入 之 通 行 碼 。
(j) 不 於 網 路 上 以 明 文 傳 送 通 行 碼 。
( k) 於 所 定 義 期 間 無 動 作 ， 則 終 止 會 談 連 線 ， 尤 其 在 高 風 險 地 點 ， 諸 如 組 織 安 全
管理外之公共或外部區域，或於行動裝置上。
(l) 限 制 連 線 時 間 ，以 對 高 風 險 之 應 用 提 供 額 外 的 安 全 性 ，並 減 少 未 經 授 權 存 取
之機會。
其他資訊
通行碼係依據僅使用者知悉之秘密，提供識別及鑑別之常用方法。密碼式工具及
鑑別協定亦可達相同效果。使用者鑑別之強度宜與待存取資訊之安全級別相稱。
若 於 網 路 上 登 入 會 談 期 間 以 明 文 傳 送 通 行 碼 ， 則 可 能 被 網 路 分 析 器 ( sniffe r )程 式
擷取。
9.4.3 通 行 碼 管 理 系 統
控制措施
通行碼管理系統宜為互動式，並宜確保嚴謹通行碼。
實作指引
通行碼管理系統宜包含下列措施。
CNS 27002, X 6040
－ 28－
(a) 強 制 要 求 使 用 個 別 使 用 者 ID 及 通 行 碼 ， 以 維 護 可 歸 責 性 。
(b) 允 許 使 用 者 自 行 選 擇 及 變 更 其 通 行 碼 ， 並 建 立 確 認 程 序 ， 以 容 許 輸 入 錯 誤 。
(c) 強 制 要 求 選 擇 合 格 之 通 行 碼 。
(d) 強 制 要 求 使 用 者 於 首 次 登 入 時 ， 變 更 暫 用 通 行 碼 。
(e) 強 制 要 求 定 期 並 視 需 要 ， 變 更 通 行 碼
( f) 保 留 使 用 者 使 用 過 之 通 行 碼 紀 錄 ， 以 防 止 重 複 使 用 。
( g) 螢 幕 上 不 顯 示 所 鍵 入 通 行 碼 。
( h) 通 行 碼 檔 案 與 應 用 系 統 資 料 分 開 存 放 。
(i) 以 受 保 護 之 形 式 ， 儲 存 及 傳 送 通 行 碼 。
其他資訊
某 些 應 用 要 求 使 用 者 通 行 碼 由 獨 立 權 責 機 構 指 派。於 該 情 形 下，上 述 指 引 之 ( b ) 、
( d ) 及 (e) 項 不 適 用 。 於 大 多 數 情 況 下 ， 通 行 碼 係 由 使 用 者 自 行 選 擇 並 維 護 。
9.4.4 具 特 殊 權 限 公 用 程 式 之 使 用
控制措施
宜限制及嚴密控制可能篡越系統及應用控制措施之公用程式的使用。
實作指引
使用可能篡越系統及應用控制措施之公用程式，宜考量下列指導綱要。
(a) 對 公 用 程 式 ， 使 用 識 別 、 鑑 別 及 授 權 程 序 。
(b) 區 隔 應 用 軟 體 與 公 用 程 式 。
(c) 公 用 程 式 之 使 用 ， 僅 限 於 有 實 際 需 要 之 最 少 數 受 信 賴 、 經 授 權 使 用 者 (參 照
9 . 2 . 3 )。
( d ) 對 公 用 程 式 臨 時 ( a d ho c ) 用 途 之 授 權 。
(e) 限 制 公 用 程 式 之 可 用 性 ， 例 ： 授 權 變 更 的 期 限 。
( f) 存 錄 公 用 程 式 之 所 有 使 用 。
( g) 定 義 並 以 文 件 記 錄 公 用 程 式 之 授 權 等 級 。
( h) 移 除 所 有 非 必 要 之 公 用 程 式 ， 或 將 其 停 用 。
(i) 於 要 求 職 務 區 隔 時，對 系 統 上 之 應 用 具 存 取 權 限 的 使 用 者，不 可 使 用 公 用 程 式。
其他資訊
多數電腦安裝，具有 1 或多個可能篡越系統及應用控制措施之公用程式。
9.4.5 對 程 式 源 碼 之 存 取 控 制
控制措施
宜限制對程式源碼之存取。
實作指引
宜 嚴 格 控 制 程 式 源 碼 及 相 關 項 目 ( 諸 如 設 計 、 規 格 、 查 證 計 畫 及 驗 核 計 畫 )， 以 預
防引進未經授權的功能性及避免非意圖的變更，以及維持有價值之智慧財產的
機 密 性。對 程 式 源 碼 而 言，此 可 藉 受 控 制 之 集 中 儲 存 達 成，宜 存 於 源 程 式 館 中 。
因此，為控制源程式館的存取，宜考慮下列指導綱要，以減少電腦程式毀損的
可能性。
－ 29－
CNS 27002, X 6040
(a) 源 程 式 館 宜 儘 可 能 不 保 存 於 運 作 之 系 統 上 。
(b) 程 式 源 碼 及 源 程 式 館 宜 依 已 建 立 之 程 序 管 理 。
(c) 支 援 人 員 不 宜 具 無 限 制 之 源 程 式 館 存 取 權 限 。
( d ) 宜 僅 於 取 得 適 切 之 授 權 後，方 能 履 行 源 程 式 館 及 相 關 項 目 的 更 新 及 發 布 源 程
式予程式設計人員。
(e) 程 式 清 單 宜 保 存 於 安 全 環 境 中 。
( f) 宜 維 持 所 有 源 程 式 館 存 取 之 稽 核 日 誌 。
( g) 源 程 式 館 之 維 護 及 複 製 宜 有 嚴 格 的 變 更 控 制 程 序 ( 參 照 1 4 . 2 . 2 )。
若 欲 發 布 程 式 源 碼 ， 則 宜 考 量 額 外 控 制 措 施 ， 俾 利 於 取 得 其 完 整 性 之 保 證 (例 ：
數 位 簽 章 )。
10. 密 碼 學
10.1 密 碼 式 控 制 措 施
目 標：確 保 適 當 及 有 效 使 用 密 碼 學，以 保 護 資 訊 之 機 密 性、鑑 別 性 及 /或 完 整 性 。
10.1.1 使 用 密 碼 式 控 制 措 施 之 政 策
控制措施
宜發展及實作政策，關於資訊保護之密碼式控制措施的使用。
實作指引
發展密碼式政策宜考量下列因素。
(a) 對 跨 越 全 組 織 之 密 碼 式 控 制 措 施 的 使 用 之 管 理 作 法 ， 包 括 保 護 營 運 資 訊 之
一般原則。
(b) 宜 基 於 風 險 評 鑑 ， 識 別 所 要 求 之 保 護 等 級 ， 並 宜 將 所 要 求 之 加 密 演 算 法 的
形式、強度及品質納入考量。
(c) 所 使 用 之 加 密 機 制 ， 用 以 保 護 由 行 動 裝 置 或 可 移 除 式 媒 體 裝 置 ， 或 於 通 訊
線路上所傳送資訊。
(d) 金 鑰 管 理 之 作 法 ， 包 括 處 理 密 碼 金 鑰 保 護 之 方 法 ， 以 及 於 金 鑰 遺 失 、 遭 破
解或毀損的情況下，將已加密資訊解密之方法。
(e) 角 色 及 責 任 ， 例 ： 何 人 負 責 下 列 事 宜 。
(1) 政 策 之 實 作 。
( 2 ) 金 鑰 管 理 ， 包 括 金 鑰 產 生 ( 參 照 1 0 . 1 . 2 )。
( f) 遍 及 全 組 織，為 有 效 實 作 而 採 用 之 標 準 ( 何 種 解 決 方 案 用 於 何 種 營 運 過 程 ) 。
( g) 使 用 加 密 資 訊 ， 對 依 賴 內 容 檢 驗 ( 例 ： 惡 意 軟 體 偵 測 ) 之 控 制 措 施 的 衝 擊 。
實作組織密碼政策時，宜考量世界各地可能適用於使用密碼技術之法規及國家
的 限 制 ， 以 及 加 密 資 訊 跨 越 國 境 流 通 之 事 宜 ( 參 照 1 8 . 1 . 5 )。
為達成不同資訊安全目標，可使用之密碼式控制措施範例如下。
( a ) 機 密 性 (co nfid entiality) ： 使 用 資 訊 加 密 以 保 護 機 敏 或 關 鍵 資 訊 ， 於 其 儲 存
或傳輸時。
( b ) 完 整 性 ⁄真 確 性 (integrity/authenticity)：使 用 數 位 簽 章 或 訊 息 鑑 別 碼 以 查 證 所
儲存或傳輸的機敏或關鍵資訊之真確性或完整性。
CNS 27002, X 6040
－ 30－
( c ) 不 可 否 認 性 (no n-r ep ud iatio n)： 使 用 密 碼 技 術 以 提 供 事 件 或 行 動 之 發 生 或 未
發生的證據。
( d ) 鑑 別 性 ( authenticatio n)：使 用 密 碼 技 術 以 鑑 別 使 用 者 及 其 他 系 統 個 體，當 其
請求對系統使用者、個體及資源之存取或與之交易時。
其他資訊
判定密碼解決方案是否適切之決策，宜被視為較廣泛之風險評鑑及選擇控制措
施的過程的一環。此評鑑可用以判定密碼式控制措施是否適切、宜適用何種形
式之控制措施，以及供何種目的及營運過程使用。
必須具備對使用密碼式控制措施之政策，以極大化密碼技術之使用效益，並極
小化其風險，且避免不適切或不正確之使用。
選擇適切之密碼式控制措施時，宜尋求專家建議，以符合資訊安全政策目標。
10.1.2 金 鑰 管 理
控制措施
宜 發 展 及 實 作 政 策，關 於 貫 穿 其 整 個 生 命 週 期 之 密 碼 金 鑰 的 使 用、保 護 及 生 命 期 。
實作指引
政策宜包括管理貫穿整個密碼金鑰生命週期之要求事項，包括產生、儲存、封
存、檢索、分發、汰除及銷毀金鑰。
宜依最佳實務選擇密碼演算法、金鑰長度及使用之實務作法。適切之金鑰管理
必須具備供密碼金鑰之產生、儲存、封存、檢索、分發、汰除及銷毀所使用之
安全過程。
宜保護所有密碼金鑰以防修改及遺失。此外，需保護密鑰及私鑰，防範遭未經
授權使用及揭露。宜實體保護用以產生、儲存及封存金鑰之設備。
金鑰管理系統宜依據議定之整套標準、程序及安全方法，供下列用途。
(a) 為 不 同 密 碼 系 統 及 不 同 應 用 產 生 金 鑰 。
(b) 發 行 及 取 得 公 鑰 憑 證 。
(c) 將 金 鑰 分 發 給 預 定 之 個 體 ， 包 括 收 到 金 鑰 後 宜 如 何 啟 用 。
(d) 儲 存 金 鑰 ， 包 括 經 授 權 之 使 用 者 如 何 取 得 對 金 鑰 的 存 取 權 限 。
(e) 變 更 或 更 新 金 鑰 ， 包 括 何 時 及 如 何 變 更 金 鑰 之 規 則 。
( f) 處 理 遭 破 解 之 金 鑰 。
( g) 金 鑰 廢 止 ， 包 括 如 何 撤 銷 或 停 用 金 鑰 ， 例 ： 於 金 鑰 遭 破 解 或 使 用 者 離 開 組
織 時 (此 時 金 鑰 亦 宜 封 存 )。
( h) 復 原 遺 失 或 毀 損 之 金 鑰 。
(i)
備份或封存金鑰。
(j) 銷 毀 金 鑰 。
( k) 金 鑰 管 理 相 關 活 動 之 存 錄 及 稽 核 。
為降低不當使用之可能性，金鑰宜有明確之生效及失效日期，僅能於相關聯金
鑰管理政策中所定義之期間使用。
除安全地管理密鑰及私鑰外，宜考量公鑰之真確性。可使用通常由憑證機構
－ 31－
CNS 27002, X 6040
(certificatio n autho r ity, CA) 所 發 行 之 公 鑰 憑 證 ， 執 行 鑑 別 過 程 ， 憑 證 機 構 宜 為
聲名卓著之組織，備妥適當之控制措施及程序，提供所要求之信賴程度。
與 提 供 密 碼 服 務 之 外 部 供 應 者 ( 例：憑 證 機 構 ) 簽 定 的 服 務 水 準 協 議 (service level
agreement) 或 契 約 內 容 中 ， 宜 涵 蓋 對 所 提 供 服 務 之 賠 償 責 任 、 服 務 可 靠 度 及 回
應 時 間 等 事 宜 ( 參 照 1 5 . 2 )。
其他資訊
密 碼 金 鑰 之 管 理 係 有 效 使 用 密 碼 技 術 之 不 可 或 缺 事 項。I SO/I E C 11 7 7 0 提 供 金 鑰
管理之進一步資訊。
密碼技術亦可用以保護密碼金鑰。需考量法律要求存取密碼金鑰之處置程序，
例：已加密資訊可能被要求以解密形式作為法庭呈堂證物。
11 . 實 體 及 環 境 安 全
11 .1 保 全 區 域
目標：防止組織資訊及資訊處理設施遭未經授權之實體存取、損害及干擾。
11 . 1 . 1 實 體 安 全 周 界
控制措施
宜定義及使用安全周界，以保護收容機敏或重要資訊及資訊處理設施之區域。
實作指引
實體安全周界宜儘可能考量並實作下列指導綱要。
(a) 宜 定 義 安 全 周 界 ， 各 周 界 之 設 置 及 強 度 宜 依 周 界 內 資 產 的 安 全 要 求 及 風 險
評鑑之結果而定。
(b) 存 放 資 訊 處 理 設 施 之 建 物 或 場 地 的 周 界 宜 具 強 固 之 實 體 安 全 (亦 即 ， 不 宜 留
有 易 遭 闖 入 之 周 界 空 隙 或 區 域 )。 場 域 之 外 部 屋 頂 、 外 牆 及 地 板 宜 結 構 堅
固、所有連外大門宜有適當保護，以防未經授權的進出，例：使用柵欄、
警報器及鎖等控制機制。無人看管之門窗宜上鎖，地面樓層之窗戶宜特別
考慮外部的保護。
(c) 宜 備 妥 有 人 員 駐 守 之 接 待 區 域 或 其 他 措 施 ， 以 控 制 該 場 域 或 建 物 之 實 體 進
出，宜僅限經授權者，方得進出場域或建物。
(d) 若 可 行 ， 宜 建 立 實 體 屏 障 ， 以 防 止 未 經 授 權 之 實 體 進 出 及 環 境 污 染 。
(e) 安 全 周 界 中 之 所 有 防 火 門 宜 設 置 警 報 、 受 監 視 並 經 測 試 ， 連 同 牆 壁 依 適 宜
之國家標準、區域標準及國際標準建立所要求之抗力等級；並宜依當地消
防 法 規 以 失 效 安 全 (failsafe)之 方 式 運 作 。
( f) 宜 依 國 家 標 準 、 區 域 標 準 或 國 際 標 準 安 裝 合 宜 之 入 侵 者 偵 測 系 統 ， 並 定 期
測試，以涵蓋所有連外大門及可接近之窗戶。無人區域宜全時段警戒，亦
宜涵蓋其他區域，例：電腦室或通訊室。
( g) 組 織 所 管 理 之 資 訊 處 理 設 施 宜 與 第 三 方 所 管 理 之 資 訊 處 理 設 施 實 體 隔 離 。
其他資訊
實 體 保 護 能 由 建 立 組 織 場 所 及 資 訊 處 理 設 施 四 周 之 單 一 或 多 項 實 體 屏 障 達 成。使
用多項屏障提供額外之保護，當單一屏障失效不至造成立即安全危害。
CNS 27002, X 6040
－ 32－
保全區域可為可上鎖之辦公室或數個房間，四周以連續之內部實體安全屏障環
繞。於 安 全 周 界 內，可 能 需 額 外 屏 障 及 周 界，控 制 具 不 同 安 全 要 求 之 區 域 間 的 實
體進出。於建物中存有多個組織之資產的情況下，宜特別注意其實體進出安全。
實施實體控制措施，特別是實施於保全區域時，宜依組織之技術及經濟情況調
適，如風險評鑑中所列舉者。
11 . 1 . 2 實 體 進 入 控 制 措 施
控制措施
保 全 區 域 宜 藉 由 適 切 之 進 入 控 制 措 施 加 以 保 護，以 確 保 僅 允 許 經 授 權 人 員 進 出。
實作指引
宜考量下列指導綱要。
(a) 宜 記 錄 訪 客 進 入 及 離 開 保 全 區 域 之 日 期 及 時 間 ， 且 宜 監 督 所 有 非 經 事 先 核
准進出之訪客。僅特定經授權目的之訪客方能獲准進出，且需對其說明該
區域之安全要求事項及緊急程序。訪客之身分宜經適切之方式鑑別。
(b) 藉 由 實 作 適 切 之 進 出 控 制 措 施 ， 使 處 理 或 儲 存 機 密 資 訊 區 域 之 進 出 ， 宜 僅
限 於 經 授 權 的 人 員 。 例 ： 藉 由 實 作 諸 如 門 禁 卡 及 秘 密 個 人 識 別 碼 (P IN)之 雙
重鑑別機制。
( c ) 宜 安 全 地 維 持 及 監 視 所 有 進 出 之 實 體 日 誌 冊 或 電 子 之 稽 核 存 底 (aud it
trail) 。
(d) 宜 要 求 所 有 員 工 、 約 用 人 員 及 委 外 方 人 員 佩 戴 某 種 形 式 之 可 目 視 的 識 別
證，如遇無人陪同的訪客且未佩戴識別證者，宜立即通報安全人員。
(e) 僅 於 必 要 時 ， 方 准 許 外 部 支 援 服 務 人 員 ， 有 限 地 進 出 保 全 區 域 或 存 取 機 密
資訊處理設施；此宜經授權並受監視。
( f) 宜 定 期 審 查 及 更 新 保 全 區 域 之 進 出 權 限 ， 並 於 必 要 時 撤 銷 之 ( 參 照 9 . 2 . 5 及
9.2.6)。
11 . 1 . 3 保 全 之 辦 公 室 、 房 間 及 設 施
控制措施
宜設計辦公室、房間及設施之實體安全並施行之。
實作指引
宜考量下列指導綱要，以保全辦公室、房間及設施。
(a) 關 鍵 設 施 宜 避 免 置 於 公 眾 可 進 出 之 場 地 。
( b ) 若 可 行 ，建 物 宜 不 引 人 注 意 ，僅 提 供 最 低 限 度 之 用 途 指 示 。 於 建 物 內 、 外 ，
無明顯標誌，識別進行資訊處理活動。
( c ) 宜 設 定 設 施 之 組 態，以 防 範 由 外 部 可 看 見 或 聽 見 機 密 資 訊 或 活 動。必 要 時 ，
亦宜考量電磁屏蔽。
(d) 顯 示 機 密 資 訊 處 理 設 施 地 點 之 通 訊 錄 及 內 部 人 員 電 話 簿 ， 不 宜 讓 未 經 授 權
者能輕易取得。
11 . 1 . 4 防 範 外 部 及 環 境 威 脅
控制措施
－ 33－
CNS 27002, X 6040
宜設計並施行實體保護，以防範天然災害、惡意攻擊或事故。
實作指引
宜取得專家對如何避免來自火災、淹水、地震、爆炸、民眾暴動及其他形式天
然或人為災難之損害的建議。
11 . 1 . 5 於 保 全 區 域 內 工 作
控制措施
宜設計並施行於保全區域內工作之程序。
實作指引
宜考量下列指導綱要。
(a) 宜 依 僅 知 原 則 ， 僅 必 要 之 員 工 知 悉 保 全 區 域 之 存 在 或 保 全 區 域 內 所 進 行 之
活動。
(b) 基 於 安 全 理 由 及 防 止 提 供 惡 意 活 動 之 機 會 ， 保 全 區 域 內 宜 避 免 進 行 未 受 監
督之工作。
(c) 無 人 之 保 全 區 域 ， 宜 實 體 上 鎖 並 定 時 檢 查 。
(d) 除 非 經 授 權 ， 不 宜 允 許 使 用 拍 照 、 錄 影 、 錄 音 及 其 他 記 錄 設 備 ， 諸 如 行 動
裝置上之相機。
於保全區域內工作之安排，包括對於保全區域內工作的員工及委外方使用者之
控制措施，且其涵蓋保全區域中發生之所有活動。
11 . 1 . 6 交 付 及 裝 卸 區
控制措施
對諸如交付及裝卸區及其他未經授權人員可進入作業場所之進出點，宜加以控
制；若可能，宜與資訊處理設施隔離，以避免未經授權之存取。
實作指引
宜考慮下列指導綱要。
(a) 宜 限 制 僅 經 識 別 並 獲 授 權 人 員 ， 方 能 由 建 物 外 面 進 出 交 付 及 裝 卸 區 。
( b ) 交 付 及 裝 卸 區 宜 設 計，使 得 遞 送 人 員 不 需 進 入 建 物 之 其 他 部 分 即 可 裝 卸 貨 物 。
(c) 宜 於 交 付 及 裝 卸 區 的 對 外 之 門 獲 保 全 時 ， 方 能 開 啟 對 內 之 門 。
(d) 於 將 進 入 貨 物 由 交 付 及 裝 卸 區 移 動 前 ， 宜 進 行 檢 視 及 檢 查 是 否 有 爆 裂 物 、
化學品或其他危害物質。
(e) 宜 於 入 口 處 ， 依 資 產 管 理 程 序 對 進 入 貨 物 進 行 登 記 (參 照 第 8 節 )。
( f) 若 可 行 ， 進 貨 及 出 貨 宜 於 實 體 上 隔 離 。
( g) 宜 檢 視 進 入 貨 物 是 否 有 在 途 中 被 開 啟 之 證 據 。 若 發 現 被 開 啟 ， 宜 立 即 通 報
安全人員。
11 .2 設 備
目標：防止資產之遺失、損害、遭竊或破解，並防止組織運作中斷。
11 . 2 . 1 設 備 安 置 及 保 護
控制措施
宜安置並保護設備，以降低來自環境之威脅及危害造成的風險，以及未經授權
CNS 27002, X 6040
－ 34－
存取之機會。
實作指引
宜考慮下列指導綱要以保護設備。
(a) 設 備 置 放 地 點 以 將 非 必 要 進 出 工 作 區 降 至 最 低 為 宜 。
(b) 宜 謹 慎 放 置 處 理 機 敏 資 料 之 資 訊 處 理 設 施 ， 以 降 低 使 用 過 程 中 資 訊 被 未 經
授權人員觀看之風險。
(c) 宜 保 護 儲 存 設 施 安 全 ， 以 避 免 未 經 授 權 之 存 取 。
(d) 宜 對 要 求 特 殊 保 護 之 項 目 採 取 保 護 措 施 ， 以 降 低 對 整 體 保 護 等 級 之 要 求 。
( e ) 宜 採 取 控 制 措 施 ，以 將 潛 在 之 實 體 及 環 境 威 脅 降 至 最 低 ， 例 ： 竊 盜 、 火 災 、
爆裂物、煙害、淹水或斷水、灰塵、振動、化學效應、電力供應干擾、通
訊干擾、電磁輻射及蓄意毀損。
( f) 宜 制 定 資 訊 處 理 設 施 附 近 之 飲 食 及 吸 菸 的 指 導 綱 要 。
( g) 宜 監 視 可 能 對 資 訊 處 理 設 施 運 作 有 不 利 影 響 之 環 境 狀 況，諸 如 溫 度 及 濕 度。
( h) 所 有 建 物 宜 設 避 雷 保 護 ， 所 有 進 入 之 電 源 及 通 訊 線 路 宜 配 置 避 雷 濾 波 器
(lightning p r o tectio n filter)。
(i)
宜考量對工業環境中之設備使用特殊保護方法，諸如鍵盤護膜。
( j ) 宜 保 護 處 理 機 密 資 料 之 設 備 ， 使 電 磁 溢 波 ( emanatio n) 造 成 資 訊 洩 漏 之 風 險
降至最低。
11 . 2 . 2 支 援 之 公 用 服 務 事 業
控制措施
宜 保 護 設 備 免 於 電 源 失 效，及 因 其 他 支 援 之 公 用 服 務 事 業 失 效，所 導 致 之 中 斷 。
實作指引
對 支 援 之 公 用 設 施 (例 ： 電 力 、 電 信 、 供 水 、 瓦 斯 、 污 水 處 理 、 通 風 及 空 調 )宜
採取下列措施。
(a) 符 合 設 備 製 造 者 規 格 及 當 地 法 律 要 求 。
(b) 定 期 評 量 其 容 量 ， 以 符 營 運 成 長 及 與 其 他 支 援 之 公 用 設 施 的 互 動 。
(c) 宜 定 期 檢 視 及 測 試 ， 確 保 其 正 常 運 行 。
(d) 必 要 時 ， 安 裝 警 報 系 統 以 偵 測 故 障 。
(e) 必 要 時 ， 以 不 同 之 實 體 選 路 提 供 多 重 饋 線 。
宜提供緊急照明及通訊。切斷電源、水源、瓦斯或其他公用設施之緊急開關及
閥門，宜設置於靠近緊急出口處或設備機房。
其他資訊
可藉由來自 1 家以上之公用設施提供者的多重路徑，獲得額外備援網路連接。
11 . 2 . 3 佈 纜 安 全
控制措施
宜 保 護 傳 送 資 料 或 支 援 資 訊 服 務 之 電 源 及 電 信 佈 纜，以 防 範 竊 聽、干 擾 或 損 害 。
實作指引
宜考量下列佈纜安全之指導綱要。
－ 35－
CNS 27002, X 6040
(a) 若 可 能 ， 接 入 資 訊 處 理 設 施 之 電 源 及 電 信 線 路 宜 設 於 地 下 ， 或 受 其 他 適 當
方式保護。
(b) 電 源 纜 線 宜 與 通 訊 纜 線 隔 離 ， 以 防 止 干 擾 。
(c) 對 機 敏 或 關 鍵 之 系 統 ， 所 考 量 之 進 一 步 控 制 措 施 ， 包 括 下 列 各 項 。
(1) 於 檢 視 點 及 終 接 點 ， 安 裝 具 保 護 層 之 導 管 及 上 鎖 之 房 間 或 箱 子 。
(2) 使 用 電 磁 屏 蔽 保 護 纜 線 。
(3) 實 施 技 術 清 除 及 實 體 檢 視 ， 拆 除 未 經 授 權 而 附 接 於 纜 線 上 之 裝 置 。
( 4 ) 控 制 對 配 線 盤 (patch panel) 之 接 觸 ， 並 控 制 纜 線 機 房 之 進 出 。
11 . 2 . 4 設 備 維 護
控制措施
宜正確維護設備，以確保其持續之可用性及完整性。
實作指引
對設備維護，宜考量下列指導綱要。
(a) 設 備 宜 依 供 應 者 所 建 議 之 服 務 期 間 及 規 格 予 以 維 護 。
(b) 宜 僅 由 經 授 權 之 維 護 人 員 執 行 維 修 及 保 養 設 備 。
(c) 宜 保 存 對 所 有 疑 似 錯 誤 及 實 際 錯 誤 之 紀 錄 ， 以 及 所 有 預 防 性 維 護 及 矯 正 性
維護之紀錄。
(d) 當 設 備 依 排 程 維 護 時 ， 宜 實 作 適 切 之 控 制 措 施 ， 亦 宜 考 量 該 維 護 係 由 現 場
人員或組織外部人員執行；必要時，宜清除設備上之機敏資訊，或該維護
人員已清查無虞。
(e) 宜 符 合 所 有 保 險 單 所 規 定 之 維 護 要 求 。
( f) 設 備 維 護 後 ， 投 入 運 行 前 ， 宜 先 檢 視 ， 以 確 保 設 備 未 被 更 動 且 未 故 障 。
11 . 2 . 5 資 產 之 攜 出
控制措施
未經事前授權，不得將設備、資訊或軟體帶出場域外。
實作指引
宜考慮下列指導綱要。
(a) 宜 識 別 有 權 可 將 資 產 攜 出 場 域 外 之 員 工 及 委 外 方 使 用 者 。
(b) 宜 設 定 資 產 攜 出 之 時 限 ， 並 查 證 是 否 逾 時 歸 還 。
(c) 若 必 要 且 適 切 ， 則 資 產 攜 出 場 域 外 與 歸 還 時 宜 予 以 記 錄 。
(d) 宜 以 文 件 記 錄 所 有 處 置 或 使 用 資 產 之 人 員 的 身 分 、 角 色 及 所 屬 組 織 ， 且 此
文件宜隨設備、資訊或軟體歸還。
其他資訊
抽 查 (spot check) 可 用 以 偵 測 未 經 授 權 資 產 攜 出 ， 亦 可 用 以 偵 測 未 經 授 權 之 錄 製
裝置、武器等，並可用以預防其進出場域。宜依相關之法律及法規執行此種抽
查。宜使個人認知會執行該抽查，且該查證僅宜於合乎法律及法規要求之授權
下履行。
11 . 2 . 6 場 所 外 設 備 及 資 產 之 安 全
CNS 27002, X 6040
－ 36－
控制措施
安全宜適用於場域外資產，並將於組織場所外工作之不同風險納入考量。
實作指引
於組織場域外使用任何資訊儲存及處理設備，均宜經管理階層授權。此適用於
組織所擁有之設備及使用於組織之私有設備。
場域外設備之保護，宜考慮下列指導綱要。
(a) 攜 出 場 域 外 之 設 備 及 媒 體 ， 於 公 共 場 所 不 宜 無 人 看 管 。
( b ) 宜 隨 時 遵 守 製 造 者 之 設 備 保 護 說 明，例：保 護 以 避 免 暴 露 於 強 大 之 電 磁 場 中 。
(c) 宜 經 風 險 評 鑑 決 定 對 場 域 外 位 置 (諸 如 在 家 工 作 、 遠 距 工 作 及 暫 時 場 所 等 )
之控制措施，並視需要採取適切之控制措施，例：可上鎖之檔案櫃、桌面
淨 空 政 策 、 電 腦 存 取 控 制 措 施 ， 以 及 與 辦 公 室 的 安 全 通 訊 ( 亦 參 照 ISO/IEC
27033 系 列 標 準 )。
(d) 場 域 外 設 備 於 不 同 個 人 或 委 外 方 間 轉 移 時 ， 宜 維 持 日 誌 ， 其 中 定 義 設 備 監
管鏈，至少需包含設備負責人員之姓名及組織。
諸如損害、竊盜或竊聽等之風險，可能因地點之不同而有很大差異，因此於決
定最適切之控制措施時，亦宜考量地點。
其他資訊
資訊儲存及處理設備，包括在家工作所持有或可帶出正常工作地點之所有形式
的個人電腦、平板電腦、行動電話、智慧卡、紙張或其他形式者。
更 多 關 於 保 護 行 動 設 備 之 其 他 層 面 資 訊 ， 可 參 照 6.2。
可 能 適 宜 藉 由 勸 阻 某 些 員 工 不 於 場 域 外 工 作 或 限 制 其 使 用 行 動 I T 設 備，以 避 免
風險。
11 . 2 . 7 設 備 汰 除 或 再 使 用 之 保 全
控制措施
含有儲存媒體之所有設備組件，於汰除或再使用前宜加以清查，以確保所有機
敏資料及具使用授權之軟體已被移除或安全地覆寫。
實作指引
於汰除或再使用設備前，宜清查，以確保未含有儲存媒體。
含有機密或具授權資訊之儲存媒體，宜實體銷毀，或以毀損、刪除或覆寫之技
術，使原始資訊無法被取出，而非僅使用標準的刪除或格式化功能。
其他資訊
可要求對具有儲存媒體之受損設備作風險評鑑，以決定該等設備是否宜實體銷
毀而非直接送修或廢棄。不慎之汰除或重複使用設備，可能洩漏資訊。
於設備汰除或重新部署時，除安全消磁磁碟外，若採取下列措施以加密整個磁
碟，可降低機密資訊遭揭露之風險。
( a ) 加 密 過 程 具 足 夠 強 度 並 涵 蓋 整 個 磁 碟 ( 包 括 鬆 弛 空 間 (slack sp ace) 、 騰 換 檔
案 (swap file) 等 ) 。
(b) 加 密 金 鑰 長 度 足 以 抵 抗 暴 力 攻 擊 。
－ 37－
CNS 27002, X 6040
( c ) 加 密 金 鑰 本 身 保 持 機 密 ( 例：金 鑰 絕 不 與 所 加 密 之 資 料 儲 存 於 同 一 磁 碟 上 ) 。
更 多 之 加 密 建 議 ， 參 照 第 10 節 。
安全覆寫儲存媒體之技巧依儲存媒體技術而異。宜審查覆寫工具，以確定其係
適用於該儲存媒體之技術。
11 . 2 . 8 無 人 看 管 之 使 用 者 設 備
控制措施
使用者宜確保無人看管之設備具適切保護。
實作指引
宜使所有使用者認知保護無人看管設備之安全要求事項及程序，以及其對實作
此等保護措施之責任。宜對使用者做下列建議。
( a ) 除 非 能 以 適 切 之 鎖 定 機 制 ( 例：以 通 行 碼 保 護 之 螢 幕 保 護 程 式 ) 保 全，否 則 完
成工作時即終止現用會談。
(b) 不 再 需 使 用 時 ， 即 登 出 應 用 系 統 或 網 路 服 務 。
(c) 電 腦 或 行 動 裝 置 未 使 用 時 ， 使 用 鑰 匙 鎖 或 等 效 控 制 措 施 (例 ： 通 行 碼 存 取 )
保全，以防止未經授權之使用。
11 . 2 . 9 桌 面 淨 空 與 螢 幕 淨 空 政 策
控制措施
對紙本及可移除式儲存媒體宜採用桌面淨空政策，且對資訊處理設施宜採用螢
幕淨空政策。
實作指引
桌 面 淨 空 與 螢 幕 淨 空 政 策 ， 宜 將 資 訊 之 安 全 級 別 ( 參 照 8 . 2 )、 法 律 與 契 約 要 求 事
項 ( 參 照 1 8 . 1 )及 相 對 應 之 風 險 ， 以 及 組 織 之 文 化 層 面 納 入 考 量 。 宜 考 量 下 列 指
導綱要。
( a ) 當 機 敏 或 重 要 之 營 運 資 訊 ( 例：於 紙 張 或 電 子 儲 存 媒 體 上 ) 不 使 用 時，特 別 是
辦 公 室 無 人 時 ， 宜 上 鎖 (宜 置 於 保 險 箱 或 櫃 子 或 其 他 形 式 之 安 全 儲 存 設 備
中 )。
(b) 當 無 人 看 管 時 ， 宜 將 電 腦 及 終 端 機 保 持 於 登 出 狀 態 ， 或 以 通 行 碼 、 符 記 或
類似之可由使用者授權機制保護的螢幕及鍵盤上鎖機制保護，並宜於未使
用時，以鑰匙鎖、通行碼或其他控制措施加以保護。
(c) 宜 防 止 影 印 機 及 其 他 重 製 技 術 (例 ： 掃 描 器 、 數 位 相 機 )之 未 經 授 權 使 用 。
(d) 含 有 機 敏 或 機 密 資 訊 之 媒 體 印 完 後 ， 宜 立 即 由 印 表 機 上 移 走 。
其他資訊
桌 面 淨 空 ⁄螢 幕 淨 空 政 策 ， 降 低 於 正 常 工 作 時 間 內 及 外 ， 資 訊 遭 受 未 經 授 權 之 存
取、遺失及毀損之風險。保險箱或其他形式之安全儲存設施亦可保護其所儲存
之資訊，對抗諸如火災、地震、水災或爆炸等災難。
考 量 使 用 具 個 人 識 別 碼 (P IN) 功 能 之 印 表 機 ， 如 此 僅 有 原 列 印 人 位 於 印 表 機 旁
時，方能取得其列印輸出。
12. 運 作 安 全
CNS 27002, X 6040
－ 38－
12.1 運 作 程 序 及 責 任
目標：確保資訊處理設施之正確及安全操作。
12.1.1 文 件 化 運 作 程 序
控制措施
運作程序宜加以文件化，並使所有有需要之使用者均可取得。
實作指引
宜備妥以文件記錄之程序，關於與資訊處理及通信設施相關聯之運作活動，諸
如電腦開機與關機程序、備份、設備維護、媒體處置、電腦機房與郵件處置管
理及人身安全。
運作程序宜規定操作指示，包括下列各項。
(a) 系 統 之 安 裝 及 組 態 設 定 。
(b) 自 動 及 人 工 之 資 訊 處 理 及 處 置 。
( c ) 備 份 ( 參 照 1 2 . 3 )。
(d) 要 求 事 項 之 排 程 ， 包 括 與 其 他 系 統 之 相 互 依 存 性 、 最 早 工 作 開 始 時 間 及 最
遲工作完成時間。
(e) 用 以 處 置 於 工 作 執 行 期 間 可 能 產 生 之 錯 誤 或 其 他 異 常 情 況 的 指 示 ， 包 括 對
系 統 公 用 程 式 之 使 用 的 限 制 (參 照 9.4.4)。
( f) 遭 遇 非 預 期 之 運 作 或 技 術 困 難 時 之 支 援 及 提 報 聯 絡 窗 口，包 括 外 部 支 援 窗 口 。
( g) 特 殊 輸 出 及 媒 體 之 處 置 指 示 ， 諸 如 特 殊 用 具 之 使 用 或 機 密 輸 出 之 管 理 ， 包
括 對 失 敗 工 作 所 產 生 之 輸 出 的 安 全 汰 除 程 序 ( 參 照 8 . 3 及 11 . 2 . 7 ) 。
( h) 系 統 失 效 時 ， 使 用 之 重 新 啟 動 及 復 原 程 序 。
(i)
稽 核 存 底 及 系 統 日 誌 資 訊 之 管 理 ( 參 照 1 2 . 4 )。
(j) 監 視 程 序 。
宜將運作程序以及系統活動之以文件記錄的程序，視為正式文件，且其變更需
經 管 理 階 層 授 權。若 技 術 可 行，資 訊 系 統 宜 使 用 相 同 之 程 序、工 具 及 公 用 程 式 ，
以達一致性管理。
12.1.2 變 更 管 理
控制措施
宜控制對影響資訊安全之組織、營運過程、資訊處理設施及系統的變更。
實作指引
宜特別考量下列事項。
(a) 顯 著 變 更 之 識 別 及 記 錄 。
(b) 變 更 之 規 劃 及 測 試 。
(c) 評 鑑 此 等 變 更 之 可 能 衝 擊 ， 包 括 安 全 衝 擊 。
(d) 對 所 提 議 變 更 之 正 式 核 准 程 序 。
(e) 查 證 已 符 合 資 訊 安 全 要 求 事 項 。
( f) 向 所 有 相 關 人 員 傳 達 變 更 細 節 。
( g) 後 撤 (fall-back) 程 序，包 括 由 不 成 功 之 變 更 及 非 預 見 事 件 中 止 並 復 原 之 程 序
－ 39－
CNS 27002, X 6040
及責任。
( h) 提 供 緊 急 變 更 過 程 ， 使 能 迅 速 及 控 制 為 解 決 事 故 ( 參 照 1 6 . 1 )所 需 而 實 作 之
變更。
宜備妥正式之管理責任及程序，以確保所有變更之控制皆符合要求。當變更完
成時，宜保留包含所有相關資訊之稽核日誌。
其他資訊
對資訊處理設施及系統之變更的不當控制，係系統或安全失效之常見原因。運
作環境之變更，尤其是系統由開發階段移轉至運作階段，可能對應用系統之可
靠 性 造 成 衝 擊 ( 參 照 1 4 . 2 . 2 )。
12.1.3 容 量 管 理
控制措施
各項資源之使用宜受監視及調適，並對未來容量要求預作規劃，以確保所要求
之系統效能。
實作指引
宜識別容量要求，將所關注系統之營運關鍵性納入考量。宜實施系統調諧與監
視 ， 以 確 保 並 (於 必 要 時 )改 進 系 統 之 可 用 性 及 效 率 。 宜 備 妥 偵 測 式 控 制 措 施 ，
以適時指出問題。對未來容量要求之預估，宜考量新的營運及系統要求事項，
以及組織資訊處理容量之現狀與預估趨勢。
需特別注意所有採購前置時間長或成本高之資源；故管理者宜監視關鍵系統資
源之使用率。管理者宜識別使用情況之趨勢，特別是與營運應用或管理資訊系
統工具有關的使用情況。
管理者宜使用此資訊，識別並避免可能對系統安全或服務產生威脅之潛在瓶頸
及對關鍵人員之依賴，並規劃適切作為。
藉 由 增 加 容 量 或 減 少 需 量，可 提 供 足 夠 容 量。管 理 容 量 需 求 之 範 例 包 括 下 列 各 項 。
(a) 刪 除 過 時 資 料 (磁 碟 空 間 )。
(b) 應 用 程 式 、 系 統 、 資 料 庫 或 環 境 之 除 役 。
(c) 批 次 處 理 及 排 程 之 最 佳 化 。
(d) 應 用 邏 輯 或 資 料 庫 查 詢 之 最 佳 化 。
(e) 拒 絕 或 限 制 需 耗 用 大 量 資 源 之 非 營 運 關 鍵 (例 ： 視 訊 串 流 )服 務 的 頻 寬 。
對 各 任 務 關 鍵 (mission critical)系 統 ， 宜 考 量 制 定 以 文 件 記 錄 之 容 量 管 理 計 畫 。
其他資訊
本控制措施亦涵蓋人力資源，以及辦公室及設施之容量。
12.1.4 開 發 、 測 試 及 運 作 環 境 之 區 隔
控制措施
宜 區 隔 開 發、測 試 及 運 作 之 環 境，以 降 低 對 運 作 環 境 未 經 授 權 存 取 或 變 更 的 風 險 。
實作指引
宜識別並實作於運作環境、測試環境與開發環境間，防止運作問題所必要之區
隔程度。
CNS 27002, X 6040
－ 40－
宜考慮下列事項。
(a) 宜 定 義 並 以 文 件 記 錄 ， 將 軟 體 由 開 發 狀 態 移 轉 至 運 作 狀 態 之 規 則 。
(b) 開 發 中 軟 體 與 運 作 軟 體 ， 宜 於 不 同 之 系 統 或 電 腦 處 理 器 上 運 行 ， 並 位 於 不
同的網域或目錄中。
(c) 變 更 運 作 之 系 統 及 應 用 程 式 ， 於 套 用 至 運 作 之 系 統 前 ， 宜 於 測 試 或 階 段 性
環境中先測試。
(d) 除 特 殊 情 況 外 ， 不 宜 於 運 作 之 系 統 上 進 行 測 試 。
(e) 未 要 求 時 ， 不 宜 允 許 由 運 作 之 系 統 存 取 編 譯 器 、 編 輯 器 及 其 他 開 發 工 具 或
系統公用程式。
( f) 對 運 作 之 系 統 及 測 試 系 統 ， 使 用 者 宜 使 用 不 同 之 使 用 者 剖 繪 ， 且 功 能 選 單
宜顯示適切的識別訊息，以降低錯誤風險。
( g) 除 非 測 試 系 統 已 提 供 同 等 之 控 制 措 施 ， 不 宜 複 製 機 敏 資 料 至 測 試 系 統 中 ( 參
照 1 4 . 3 )。
其他資訊
開發活動及測試活動可能引發嚴重問題，例：造成對檔案或系統環境之非蓄意
修改，或系統故障。需維持已知且穩定之測試環境，用以實施有意義之測試，
並防止開發者不當接觸運作環境。
當開發人員及測試人員有權限可存取運作之系統及其資訊時，可能導入未經授
權且未經測試之程式碼，或變更運作之資料。於某些系統上，此能力可能被濫
用於詐欺，或導入未經測試或惡意之程式碼，造成嚴重的運作問題。
開發人員及測試人員亦會對運作之資訊的機密性構成威脅。若開發活動與測試
活動共用相同之計算環境，則可能對軟體或資訊造成非蓄意之修改。因此，建
議區隔開發環境、測試環境與運作環境，以降低意外變更或未經授權存取運作
之 軟 體 及 營 運 資 料 之 風 險 ( 對 測 試 資 料 之 保 護 ， 參 照 1 4 . 3 )。
12.2 防 範 惡 意 軟 體
目標：確保資訊及資訊處理設施，以防範惡意軟體。
12.2.1 防 範 惡 意 軟 體 之 控 制 措 施
控制措施
宜 實 作 防 範 惡 意 軟 體 之 偵 測、預 防 及 復 原 控 制 措 施，並 合 併 適 切 之 使 用 者 認 知 。
實作指引
防範惡意軟體之措施，宜依據惡意軟體偵測與修復軟體、資訊安全認知及適切
之系統存取與變更管理的控制措施等。宜考量下列指引。
( a ) 制 定 正 式 政 策 ， 禁 止 使 用 未 經 授 權 之 軟 體 ( 參 照 1 2 . 6 . 2 與 1 4 . 2 )。
(b) 實 作 控 制 措 施 ， 預 防 或 偵 測 未 經 授 權 軟 體 之 使 用 。 例 ： 應 用 程 式 白 名 單 。
(c) 實 作 控 制 措 施 ， 預 防 或 偵 測 已 知 或 有 嫌 疑 惡 意 網 站 之 使 用 。 例 ： 黑 名 單 。
(d) 制 定 正 式 政 策 ， 防 範 經 由 外 部 網 路 或 任 何 其 他 儲 存 媒 體 上 取 得 檔 案 及 軟 體
之相關聯風險，並指示宜採何種防護措施。
( e ) 降 低 可 能 被 惡 意 軟 體 利 用 之 脆 弱 性，例：經 由 技 術 脆 弱 性 管 理 ( 參 照 1 2 . 6 ) 。
－ 41－
CNS 27002, X 6040
( f) 對 支 援 關 鍵 營 運 過 程 之 系 統 的 軟 體 及 資 料 內 容 ， 進 行 定 期 審 查 ； 若 出 現 任
何未經核准之檔案或未經授權之修改，宜正式調查。
( g) 安 裝 並 定 期 更 新 惡 意 軟 體 偵 測 與 修 復 軟 體 ， 作 為 預 防 式 控 制 措 施 或 例 行 作
業，掃描電腦及儲存媒體；執行之掃描宜包括下列各項。
(1) 經 由 網 路 或 任 何 形 式 之 儲 存 媒 體 收 到 之 所 有 檔 案 ， 於 使 用 前 ， 先 掃 描 有
無惡意軟體。
(2) 電 子 郵 件 附 件 及 下 載 檔 案 ， 於 使 用 前 ， 宜 於 他 處 先 行 掃 描 有 無 惡 意 軟
體，例：於電子郵件伺服器、桌上型電腦及進入組織網路時。
(3) 掃 描 網 頁 有 無 惡 意 軟 體 。
( h) 定 義 各 項 程 序 及 責 任 ， 用 以 處 理 系 統 上 對 惡 意 軟 體 之 防 護 、 訓 練 如 何 使 用
此等程序、通報惡意軟體攻擊，以及如何復原。
(i)
備妥遭惡意軟體攻擊後復原之適切營運持續計畫，包括所有必要的資料與
軟 體 備 份 及 復 原 安 排 ( 參 照 1 2 . 3 )。
(j) 實 作 定 期 蒐 集 資 料 之 程 序 ， 諸 如 訂 閱 提 供 新 惡 意 軟 體 資 訊 之 郵 寄 清 單
(mailing list)或 查 證 提 供 新 惡 意 軟 體 資 訊 之 網 站 。
( k) 實 作 程 序 ， 用 以 查 證 與 惡 意 軟 體 相 關 之 資 訊 ， 並 確 保 警 示 公 告 ( war ning
b ulletin) 係 正 確 有 用 。 管 理 階 層 宜 確 保 使 用 合 格 來 源 ( 例 ： 優 良 期 刊 、 可 靠
之 網 際 網 路 站 台 或 由 供 應 者 所 建 立 防 範 惡 意 軟 體 之 軟 體 )的 資 訊 ， 以 區 別 惡
作 劇 程 式 ( ho a x) 及 真 正 的 惡 意 軟 體 。 宜 使 所 有 使 用 者 認 知 惡 作 劇 程 式 之 問
題，以及收到時如何處理。
(l)
隔離可能發生災難性衝擊之環境。
其他資訊
使用來自不同廠商及技術之 2 種或多種軟體產品，於整個資訊處理環境中，防
範惡意軟體，能改進惡意軟體防護之有效性。
於維護及緊急程序期間，宜謹慎防範惡意軟體之引入，其可能跳過正常之惡意
軟體防護控制措施。
於某些情況下，防範惡意軟體可能造成對運作之干擾。
單獨使用偵測與修復軟體作為惡意軟體控制措施通常不足，一般需伴隨防範引
入惡意軟體之運作程序。
12.3 備 份
目標：防範資料漏失。
12.3.1 資 訊 備 份
控制措施
宜 依 議 定 之 備 份 政 策，定 期 取 得 資 訊、軟 體 及 系 統 的 影 像 備 份 複 本，並 測 試 之 。
實作指引
宜建立備份政策，定義組織對備份資訊、軟體及系統之要求事項。
備份政策宜定義保存及保護之要求事項。
宜提供足夠之備份設施，確保所有不可或缺之資訊及軟體於災難後或儲存媒體
CNS 27002, X 6040
－ 42－
失效後可復原。
設計備份計畫時，宜考量下列各項。
( a ) 宜 建 立 備 份 複 本 之 準 確 完 整 紀 錄，以 及 以 文 件 記 載 之 復 原 (restoration) 程 序。
( b ) 備 份 之 程 度 ( 例：完 整 備 份 或 差 異 備 份 ) 及 頻 率 ，宜 反 映 組 織 之 營 運 要 求 、所
涉及資訊之安全要求事項、資訊對組織持續運作之關鍵性。
(c) 備 份 宜 儲 存 於 遠 端 地 點 ， 其 距 離 足 以 避 免 主 要 場 域 發 生 災 難 時 遭 波 及 。
( d ) 宜 賦 予 備 份 資 訊 適 切 等 級 之 實 體 及 環 境 保 護 ( 參 照 第 11 節 )，與 主 要 場 域 適 用
之標準一致。
(e) 宜 定 期 測 試 備 份 媒 體 ， 以 確 保 於 必 要 時 ， 可 據 以 供 緊 急 使 用 ； 此 宜 與 復 原
程序合併測試，並核對是否符合所要求之復原時間。測試復原備份資料之
能力，宜於專屬之測試媒體上執行，而非覆寫回原始媒體，以防萬一備份
或復原過程失敗，而造成無法修復之資料毀損或漏失。
( f) 於 著 重 機 密 性 之 情 況 下 ， 備 份 資 料 宜 加 密 保 護 。
運作程序宜監視備份之執行，並處理排程備份之失效，以確保依備份政策完成
備份。
個別系統及服務之備份安排宜定期測試，以確保其符合營運持續計畫之要求。
若為重要系統及服務，則備份安排宜涵蓋由災難事件中復原整個系統之所有必
要系統資訊、應用程式及資料。
宜決定不可或缺之營運資訊的保存期限，並將對永久保存歸檔複本之所有要求
納入考量。
12.4 存 錄 及 監 視
目標：記錄事件並產生證據。
12.4.1 事 件 存 錄
控制措施
宜產生、保存並定期審查記錄使用者活動、異常、錯誤及資訊安全事件之事件
日誌。
實作指引
適用時，事件日誌宜包括下列事項。
( a ) 使 用 者 I D。
(b) 系 統 活 動
(c) 關 鍵 事 件 (例 ： 登 入 及 登 出 )之 日 期 、 時 間 及 細 節 。
(d) 設 備 身 分 或 (若 可 能 )位 置 ， 以 及 系 統 識 別 符 。
(e) 存 取 系 統 成 功 及 被 拒 絕 情 形 之 紀 錄 。
( f) 存 取 資 料 及 其 他 資 源 成 功 及 被 拒 絕 情 形 之 紀 錄 。
( g) 系 統 組 態 之 變 更 。
( h) 特 別 權 限 之 使 用 。
(i)
系統公用程式及應用程式之使用。
(j) 所 存 取 檔 案 及 存 取 種 類 。
－ 43－
CNS 27002, X 6040
( k) 網 路 位 址 及 協 定 。
(l)
由存取控制系統發出之告警。
( m) 防 護 系 統 ( 諸 如 防 毒 系 統 及 入 侵 偵 測 系 統 ) 之 啟 動 及 止 動 。
( n) 使 用 者 於 應 用 系 統 中 執 行 之 交 易 的 紀 錄 。
事 件 存 錄 建 立 自 動 監 視 系 統 之 基 礎，該 等 系 統 能 產 生 系 統 安 全 之 綜 合 報 告 及 警 示 。
其他資訊
事 件 日 誌 可 能 包 含 機 敏 資 料 及 個 人 可 識 別 資 訊。宜 採 取 適 切 之 隱 私 保 護 措 施 ( 參
照 18.1.4)。
宜儘可能不使系統管理者具有權限，抹除其本身活動之日誌，或停止對其活動
之 存 錄 ( 參 照 1 2 . 4 . 3 )。
12.4.2 日 誌 資 訊 之 保 護
控制措施
宜防範存錄設施及日誌資訊遭竄改及未經授權存取。
實作指引
控制措施宜著重於防範日誌資訊之未經授權變更，並防範存錄設施之操作問
題。內容包括下列各項。
(a) 所 記 錄 訊 息 形 式 之 更 改 。
(b) 被 編 輯 或 刪 除 之 日 誌 檔 。
(c) 日 誌 檔 媒 體 儲 存 超 過 容 量 ， 導 致 無 法 記 錄 事 件 或 覆 蓋 過 往 所 記 錄 事 件 。
某些稽核日誌可能被要求封存，以作為紀錄保存政策之一環，或是因應蒐集及
保 存 證 據 之 要 求 ( 參 照 1 6 . 1 . 7 )。
其他資訊
系統日誌通常包含大量資訊，其中大多與資訊安全監視無關。為協助識別資訊
安全監視用途之重要事件，宜考量自動將適切之訊息形式複製至另個日誌中，
或 使 用 適 當 之 系 統 公 用 程 式 或 稽 核 工 具 ， 執 行 檔 案 訊 問 ( inter r o gatio n) 及 衡 量 合
理 性 (ratio nalizatio n) 。
需保護系統日誌，因為若其中之資料可被修改或刪除，則其存在可能會產生安
全錯覺。即時將日誌複製至不受系統管理者或操作者控制之系統，可用以保全
日誌。
12.4.3 管 理 者 及 操 作 者 日 誌
控制措施
宜存錄系統管理者及操作者之活動，且宜保護及定期審查該日誌。
實作指引
具特殊權限使用者帳號之持有者，可能能夠操縱其直接控制下之資訊處理設施
的日誌，因此必須保護並審查日誌，以維護對特殊權限使用者之可歸責性。
其他資訊
可使用不受系統及網路管理者控制管理之入侵偵測系統，監視系統及網路管理
活動之遵循性。
CNS 27002, X 6040
－ 44－
12.4.4 鐘 訊 同 步
控制措施
組織或安全領域內所有相關資訊處理系統之鐘訊，應與單一參考時間源同步。
實作指引
宜以文件記錄對時間表示法、同步化及準確度之外部及內部要求事項。該等要
求事項可能為法律、法規、契約及標準遵循之要求事項，或內部監視之要求事
項。宜定義組織內使用之標準參考時間。
組織由 1 或多個外部來源取得參考時間之方式，以及如何可靠地與內部鐘訊同
步之方式，宜以文件記錄並實作之。
其他資訊
正確設定電腦鐘訊，對確保稽核日誌之準確性至為重要。稽核日誌可能係調查
活動之要求，或作為法律或懲處案件之證據。不準確之稽核日誌，可能妨礙此
種調查並減損此等證據之可信度。連接至國家標準時間之鐘訊，可作為存錄系
統之主鐘訊。網路時間協定能用以使所有伺服器與主鐘訊同步。
12.5 運 作 中 軟 體 之 控 制
目標：確保運作中系統之完整性。
12.5.1 對 運 作 中 系 統 之 軟 體 安 裝
控制措施
宜實作各項程序，以控制對運作中系統之軟體安裝。
實作指引
運作中系統之軟體變更控制，宜考量下列指導綱要。
(a) 運 作 軟 體 、 應 用 程 式 及 程 式 館 之 更 新 ， 宜 僅 由 受 過 訓 練 之 管 理 者 ， 於 獲 得
適 切 之 管 理 階 層 授 權 後 ， 方 能 履 行 (參 照 9.4.5)。
(b) 運 作 之 系 統 宜 僅 具 經 核 准 之 可 執 行 碼 ， 而 不 具 開 發 程 式 碼 或 編 譯 器 。
(c) 應 用 程 式 及 作 業 系 統 軟 體 宜 於 廣 泛 及 成 功 測 試 後 ， 方 實 作 之 ； 測 試 宜 涵 蓋
可 使 用 性 (usab ility) 、 安 全 性 、 對 其 他 系 統 之 影 響 ， 以 及 使 用 者 親 和 性
(userfriendliness) ， 且 宜 於 不 同 系 統 上 實 施 ( 參 照 1 2 . 1 . 4 )； 宜 確 保 所 有 對 應
之源程式館已被更新。
(d) 宜 使 用 組 態 控 制 系 統 ， 以 保 持 對 所 有 已 實 作 之 軟 體 及 系 統 文 件 之 控 制 。
( e ) 實 作 變 更 前 ， 宜 備 有 還 原 (rollback) 策 略 。
( f) 宜 維 持 對 運 作 程 式 館 之 所 有 更 新 的 稽 核 日 誌 。
( g) 宜 保 留 應 用 軟 體 之 先 前 版 本 ， 以 作 為 應 變 措 施 。
( h) 當 資 料 保 留 於 檔 案 館 中 時 ， 舊 版 軟 體 宜 與 所 有 必 要 之 資 訊 與 參 數 、 程 序 、
組態細節及支援軟體一起歸檔。
使用於運作之系統中由供應者所供應之軟體，宜依供應者所支援之等級進行維
護。於一段時間後，供應者將停止支援舊版軟體。組織宜考量依賴無支援之軟
體的風險。
任 何 升 級 至 新 版 本 之 決 定，亦 宜 考 量 該 變 更 的 營 運 要 求 及 該 版 本 之 安 全 性，例 ：
－ 45－
CNS 27002, X 6040
引入新資訊安全功能，或影響該版本之資訊安全問題數目及嚴重程度。當軟體
修 補 程 式 (software patch) 能 協 助 移 除 或 減 少 資 訊 安 全 弱 點 時 ， 宜 安 裝 之 ( 參 照
1 2 . 6 )。
宜僅於必要時且經管理階層核准，方允許供應者為支援之目的，實體進出或邏
輯 存 取 。 宜 監 視 供 應 者 之 活 動 ( 參 照 1 5 . 2 . 1 )。
電腦軟體可能依賴外部所供應之軟體及模組，其宜受監視與控制，以避免未經
授權之變更，可能引入安全弱點。
12.6 技 術 脆 弱 性 管 理
目標：防範對技術脆弱性之利用。
12.6.1 技 術 脆 弱 性 管 理
控制措施
宜及時取得關於使用中之資訊系統的技術脆弱性資訊，並宜評估組織對此等脆
弱性之暴露，且宜採取適當措施以因應相關風險。
實作指引
現 行 且 完 整 之 資 產 清 冊 為 有 效 管 理 技 術 脆 弱 性 之 先 備 事 項 (參 照 第 8 節 )。 支 援 技
術 脆 弱 性 管 理 所 需 之 特 定 資 訊 ， 包 括 軟 體 供 應 者 、 版 次 、 部 署 現 況 (例 ： 何 軟 體
安 裝 於 何 系 統 上 )， 以 及 組 織 內 負 責 該 軟 體 之 人 員 。
宜 採 取 適 切 且 及 時 之 作 為，回 應 所 識 別 出 的 潛 在 技 術 脆 弱 性。宜 遵 循 下 列 指 引 ，
建立有效之技術脆弱性的管理過程。
(a) 組 織 宜 定 義 並 建 立 與 技 術 脆 弱 性 管 理 相 關 聯 之 角 色 及 責 任 ， 包 括 脆 弱 性 監
視、脆弱性風險評鑑、修補程式、資產追蹤及所有必要之協調責任。
(b) 對 於 軟 體 及 其 他 技 術 ， 宜 識 別 將 用 以 識 別 相 關 技 術 脆 弱 性 ， 以 及 用 以 維 持
對 此 等 脆 弱 性 之 認 知 的 資 訊 資 源 ( 依 據 資 產 清 冊 ， 參 照 8 . 1 . 1 )； 當 清 冊 變 更
或發現其他新的或有用的資源時，宜更新此等資訊資源。
(c) 對 潛 在 相 關 技 術 脆 弱 性 之 通 報 的 反 應 ， 宜 定 義 時 間 表 。
(d) 一 旦 識 別 出 潛 在 技 術 脆 弱 性 ， 組 織 宜 識 別 相 關 聯 之 風 險 及 待 採 取 之 作 為 ；
此作為可能包括脆弱系統之修補，或採取其他控制措施。
(e) 視 技 術 脆 弱 性 需 被 因 應 之 緊 急 程 度 ， 所 採 取 之 作 為 ， 宜 依 據 變 更 管 理 (參 照
12.1.2)相 關 之 控 制 措 施 實 施 ， 或 遵 循 資 訊 安 全 事 故 回 應 程 序 (參 照 16.1.5)
實施。
( f) 若 可 由 合 法 來 源 取 得 修 補 程 式 ， 宜 評 鑑 與 安 裝 修 補 程 式 相 關 聯 之 風 險 ( 宜 比
較 脆 弱 性 所 造 成 之 風 險 與 安 裝 修 補 程 式 之 風 險 )。
( g) 安 裝 修 補 程 式 前 ， 宜 測 試 並 評 估 之 ， 以 確 保 其 有 效 且 不 導 致 無 法 容 忍 之 副
作用；若無可用之修補程式，宜考量諸如下列之其他控制措施。
(1) 關 閉 與 脆 弱 性 相 關 之 服 務 或 能 力 。
( 2 ) 調 適 或 新 增 存 取 控 制 措 施 ， 例 ： 於 網 路 邊 界 ( 參 照 1 3 . 1 )之 防 火 牆 。
(3) 增 強 監 視 以 偵 測 真 實 之 攻 擊 。
(4) 提 升 對 脆 弱 性 之 認 知 。
CNS 27002, X 6040
－ 46－
( h) 宜 保 存 所 有 已 採 取 之 程 序 的 稽 核 日 誌 。
(i)
宜定期監視並評估技術脆弱性管理過程，以確保其有效性與效率。
(j) 宜 先 因 應 處 於 高 風 險 之 系 統 。
( k) 有 效 之 脆 弱 性 管 理 過 程 宜 與 事 故 管 理 活 動 一 致 ， 用 以 傳 達 關 於 脆 弱 性 之 資
料至事故回應功能，並提供一旦事故發生時所需執行之技術程序。
(l)
定義程序，因應已識別脆弱性但無合適對策之情況。於此情況下，組織宜
評估已知脆弱性之相關風險，並定義適切之偵測式措施及矯正式措施。
其他資訊
技術脆弱性管理可被視為變更管理之子功能，故可利用變更管理之過程與程序
(參 照 12.1.2 及 14.2.2)。
供應者通常面臨儘速發行修補程式之重大壓力。因此，修補程式可能未能妥善
因應該問題，且可能有負面的副作用。同時，於某些情況下，一旦安裝修補程
式，可能不易解除安裝。
若 不 可 能 妥 善 測 試 修 補 程 式 (例 ： 因 成 本 或 缺 乏 資 源 )， 則 可 考 量 延 後 安 裝 修 補
程 式 ， 先 依 據 其 他 使 用 者 通 報 之 經 驗 ， 評 估 伴 隨 的 風 險 。 使 用 I SO/I E C 2 7 0 3 1
有所助益。
12.6.2 對 軟 體 安 裝 之 限 制
控制措施
宜建立並實作使用者安裝軟體之管控規則。
實作指引
組織對使用者可安裝之軟體形式，宜定義並施行嚴格之政策。
宜實施最少特殊權限之原則。若被授予某些特殊權限，使用者即可能能安裝軟
體 。 組 織 宜 識 別 允 許 之 軟 體 安 裝 形 式 (例 ： 對 既 有 軟 體 之 更 新 及 安 全 修 補 )， 以 及
禁 止 之 軟 體 安 裝 形 式 (例 ： 僅 供 個 人 使 用 之 軟 體 ， 以 及 具 有 與 已 知 或 嫌 疑 潛 在 惡
意 軟 體 相 似 特 徵 之 軟 體 )。於 考 量 所 關 切 使 用 者 之 角 色 後，方 授 予 此 等 特 殊 權 限 。
其他資訊
於 電 腦 設 備 上 之 未 受 管 控 的 軟 體 安 裝，可 能 導 入 脆 弱 性，並 因 而 造 成 資 訊 洩 漏 、
完整性受損或其他資訊安全事故，或導致違反智慧財產權。
12.7 資 訊 系 統 稽 核 考 量
目標：使稽核活動對運作中系統之衝擊降至最低。
12.7.1 資 訊 系 統 稽 核 控 制 措 施
控制措施
宜仔細規劃並議定，涉及查證運作中系統之稽核要求事項及活動，以使營運過
程中斷降至最低。
實作指引
宜遵循下列指導綱要。
(a) 對 於 存 取 系 統 及 存 取 資 料 之 稽 核 要 求 事 項 ， 宜 獲 適 切 的 管 理 階 層 同 意 。
(b) 技 術 稽 核 測 試 之 範 圍 ， 宜 獲 同 意 並 受 控 制 。
－ 47－
CNS 27002, X 6040
(c) 稽 核 測 試 宜 限 於 ， 對 軟 體 及 資 料 之 僅 讀 存 取 。
(d) 僅 讀 存 取 外 之 存 取 行 為 ， 宜 僅 允 許 施 行 於 隔 離 之 系 統 檔 案 複 本 ， 且 於 完 成
時，宜將其抹除，或若依稽核文件記錄之要求，有義務保存該等檔案，則
予適當保護。
(e) 特 殊 或 額 外 處 理 之 要 求 ， 宜 識 別 之 並 獲 同 意 。
( f) 可 能 影 響 系 統 可 用 性 之 稽 核 測 試 ， 宜 於 營 運 時 間 外 執 行 。
( g) 宜 監 視 並 存 錄 所 有 存 取 行 為 ， 產 生 可 調 閱 存 底 (reference trail) 。
13. 通 訊 安 全
13.1 網 路 安 全 管 理
目標：確保對網路及其支援之資訊處理設施中資訊之保護。
13.1.1 網 路 控 制 措 施
控制措施
宜管理及控制網路，以保護資訊系統及應用。
實作指引
宜實作控制措施以確保網路上資訊之安全，並確保保護所連接服務免遭未經授
權的存取。宜特別考量下列各項。
(a) 宜 建 立 網 路 設 備 之 管 理 責 任 及 程 序 。
( b ) 網 路 運 作 責 任 ， 宜 儘 可 能 與 電 腦 運 作 責 任 區 隔 ( 參 照 6 . 1 . 2 )。
(c) 宜 建 立 特 殊 之 控 制 措 施 ， 以 保 護 透 過 公 眾 網 路 或 無 線 網 路 所 傳 送 資 料 的 機
密 性 及 完 整 性 ， 並 保 護 連 線 系 統 與 應 用 ( 參 照 第 1 0 節 及 1 3 . 2 )； 亦 得 要 求 特
殊的控制措施，以維持所連接之網路服務及電腦的可用性。
( d ) 宜 實 施 適 切 之 存 錄 及 監 視，以 記 錄 及 偵 測 可 能 影 響 或 與 資 訊 安 全 相 關 之 作 為 。
(e) 宜 密 切 協 調 管 理 活 動 ， 以 提 供 組 織 最 佳 服 務 ， 並 確 保 控 制 措 施 一 體 施 行 於
整個資訊處理基礎建設。
( f) 宜 鑑 別 網 路 上 之 系 統 。
( g) 對 連 接 至 網 路 之 系 統 宜 設 限 。
其他資訊
關 於 網 路 安 全 之 額 外 資 訊 可 參 照 I SO/I E C 2 7 0 3 3 系 列 標 準 。
13.1.2 網 路 服 務 之 安 全
控制措施
宜識別所有網路服務之安全機制、服務等級及管理要求事項，並宜被納入網路
服務協議中，不論此等服務係由內部或委外提供。
實作指引
宜決定並定期監視網路服務提供者，以安全方式管理所議定服務之能力，並宜
議定對其稽核之權利。
宜識別特殊服務必須具備之安全安排，諸如安全特性、服務等級及管理要求。
組織宜確保網路服務提供者實作此等措施。
其他資訊
CNS 27002, X 6040
－ 48－
網路服務包括提供連線、私有網路服務及加值網路，以及受管理網路安全解決
方案，諸如防火牆及入侵偵測系統。此等服務範圍由簡單的未管理之頻寬至複
雜的加值服務。
網路服務之安全特性的範例如下。
(a) 對 網 路 服 務 安 全 所 使 用 之 技 術 ， 諸 如 鑑 別 、 加 密 及 網 路 連 線 控 制 。
(b) 依 據 安 全 及 網 路 連 線 規 則 ， 安 全 連 線 至 網 路 服 務 所 要 求 之 技 術 參 數 。
(c) 網 路 服 務 之 各 項 使 用 程 序 ， 必 要 時 用 以 限 制 對 網 路 服 務 或 應 用 之 存 取 。
13.1.3 網 路 之 區 隔
控制措施
宜區隔各群組之資訊服務、使用者及資訊系統使用的網路。
實作指引
管理大型網路安全之一種方法，係將其劃分成分隔的網域。網域之選擇可依信
賴 等 級 (例 ： 公 眾 存 取 網 域 、 桌 上 型 電 腦 網 域 、 伺 服 器 網 域 )、 依 組 織 單 位 (例 ：
人 資 、 財 務 、 行 銷 )或 依 某 種 組 合 (例 ： 連 接 多 個 組 織 單 位 之 伺 服 器 網 域 )。 可 使
用 不 同 之 實 體 網 路 ， 或 使 用 不 同 之 邏 輯 網 路 (例 ： 虛 擬 私 有 網 路 )做 區 隔 。
宜 明 確 定 義 各 網 域 之 周 界。允 許 網 路 網 域 間 之 存 取，但 宜 於 周 界 使 用 閘 道 (例 ：
防 火 牆 、 過 濾 路 由 器 )加 以 控 制 。 宜 依 據 對 各 網 域 之 安 全 要 求 的 評 鑑 ， 訂 定 將 網
路 區 隔 成 網 域 之 準 則 ，以 及 經 閘 道 所 允 許 之 存 取 。評 鑑 宜 依 據 存 取 控 制 政 策 ( 參
照 9.1.1)、 存 取 要 求 事 項 、 所 處 理 資 訊 之 價 值 及 分 級 ， 亦 宜 考 量 引 入 適 當 閘 道
技術之相對成本及其對效能之影響。
因無線網路之網路周界難以界定，故必須特別處理。對於機敏之環境，宜考量
於授予內部系統存取權限前，先將所有無線存取視為外部連接，並將此存取與
內 部 網 路 隔 離，直 至 此 存 取 通 過 符 合 網 路 控 制 措 施 政 策 ( 參 照 1 3 . 1 . 1 )之 閘 道 器 。
當現代標準式無線網路已正確實作鑑別、加密及使用者層級之網路存取控制等
技術時，可能足以用於直接連接至組織內部網路。
其他資訊
隨著企業合夥關係之形成，要求資訊處理設施及連網設施之互連或共享，因此
網路往往延伸超越組織界限。此等延伸可能增加對使用該網路之組織資訊系統
的未經授權存取之風險，其中某些資訊系統可能因其機敏性或關鍵性，而要求
防止其他網路使用者存取。
13.2 資 訊 傳 送
目標：維護組織內及與任何外部個體所傳送資訊之安全。
13.2.1 資 訊 傳 送 政 策 及 程 序
控制措施
宜備妥正式之傳送政策、程序及控制措施，以保護經由使用所有形式通訊設施
之資訊傳送。
實作指引
使用通訊設施傳送資訊時需遵循之程序及控制措施，宜考量下列項目。
－ 49－
CNS 27002, X 6040
( a ) 設 計 用 以 保 護 所 傳 送 資 訊 ， 以 防 範 截 取 、 複 製 、 修 改 、 誤 選 路 (mis-r o uting)
及破壞的程序。
( b ) 用 以 偵 測 及 防 範 可 能 藉 由 電 子 通 訊 傳 輸 之 惡 意 軟 體 的 程 序 ( 參 照 1 2 . 2 . 1 )。
(c) 用 以 保 護 以 附 件 形 式 通 訊 之 機 敏 性 電 子 資 訊 的 程 序 。
(d) 條 列 通 訊 設 施 之 可 接 受 使 用 的 政 策 或 指 導 綱 要 (參 照 8.1.3)。
(e) 員 工 、 委 外 方 及 任 何 其 他 使 用 者 不 危 及 組 織 之 責 任 ， 例 ： 不 從 事 毀 謗 、 騷
擾、假冒、轉寄連鎖信及未經授權之採購等。
( f) 密 碼 技 術 之 使 用 ， 例 ： 用 以 保 護 資 訊 之 機 密 性 、 完 整 性 及 真 確 性 ( 參 照 第 1 0
節 )。
( g) 所 有 營 運 來 往 文 件 ( 包 括 訊 息 ) 之 保 存 及 廢 棄 的 指 導 綱 要，依 據 相 關 之 國 家 及
當地的法律與法規。
( h) 與 使 用 通 訊 設 施 ( 例：電 子 郵 件 自 動 轉 寄 至 外 部 郵 件 地 址 ) 相 關 聯 之 控 制 措 施
與限制。
(i)
告知人員採取適切之預防措施，防止洩露機密資訊。
(j) 不 於 答 錄 機 留 下 含 機 敏 資 訊 之 訊 息 ， 因 為 此 等 訊 息 可 能 被 未 經 授 權 人 員 重
播、被儲存於共有系統或因誤撥而不正確地儲存。
( k) 告 知 人 員 關 於 使 用 傳 真 機 或 服 務 之 問 題 ， 亦 即 如 下 。
(1) 未 經 授 權 ， 存 取 內 建 訊 息 儲 存 體 以 檢 索 訊 息 。
(2) 蓄 意 或 意 外 ， 於 機 器 上 編 製 程 式 發 送 訊 息 給 特 定 號 碼 。
(3) 因 誤 撥 或 使 用 錯 誤 之 儲 存 號 碼 ， 發 送 文 件 及 訊 息 至 錯 誤 的 號 碼 。
此外，宜提醒人員不宜於公共場所或經由不安全之通訊管道、於開放式辦公室
及於會議場所談論機密。
資 訊 傳 送 服 務 宜 遵 循 所 有 相 關 之 法 律 要 求 ( 參 照 1 8 . 1 )。
其他資訊
資訊可經由使用諸多不同形式之通訊設施傳送，包括電子郵件、語音、傳真及
視訊。
軟體可經由諸多不同形式之媒體傳送，包括由網際網路下載，由販售現成
( o ff-the-shelf) 商 品 的 供 應 者 獲 取 。
宜考量與電子資料交換、電子商務、電子通訊及控制措施要求事項相關聯之營
運、法律及安全意涵。
13.2.2 資 訊 傳 送 協 議
控制措施
協議宜闡明組織與外部各方間營運資訊之安全傳送。
實作指引
資訊傳送協議宜包含下列項目。
(a) 對 傳 輸 、 派 送 及 接 收 之 控 制 與 通 知 的 管 理 責 任 。
(b) 用 以 確 保 可 追 蹤 性 及 不 可 否 認 性 之 程 序 。
(c) 供 包 裝 及 傳 輸 使 用 之 最 低 技 術 標 準 。
CNS 27002, X 6040
－ 50－
( d ) 託 管 ( e scr o w) 協 議 。
(e) 遞 送 者 識 別 標 準 。
( f) 資 訊 安 全 事 故 之 責 任 及 賠 償 責 任 ， 諸 如 遺 失 資 料 。
( g) 對 機 敏 或 關 鍵 資 訊 ， 使 用 獲 同 意 之 標 示 系 統 ， 確 保 標 籤 的 意 義 一 望 即 知 ，
並 確 保 資 訊 受 適 切 保 護 ( 參 照 8 . 2 )。
( h) 用 以 記 錄 及 讀 取 資 訊 與 軟 體 之 技 術 標 準 。
(i)
保 護 機 敏 項 目 所 要 求 之 所 有 特 別 控 制 措 施 ， 諸 如 密 碼 機 制 (參 照 第 10 節 )。
( j ) 維 持 傳 輸 中 之 資 訊 的 監 管 鏈 ( c hain o f c usto d y) 。
( k) 存 取 控 制 之 可 接 受 等 級 。
宜 建 立 並 維 護 政 策 、程 序 及 標 準 ，以 保 護 傳 輸 中 之 資 訊 及 運 送 中 之 實 體 媒 體 ( 參
照 8 . 3 . 3 )， 並 宜 於 此 等 傳 送 協 議 中 引 用 之 。
所有協議之資訊安全內容，宜均反映所涉及的營運資訊之機敏性。
其他資訊
協議可為電子式或書面，其形式可為正式契約。對於所有組織及所有形式之協
議，用以傳送此種機密資訊之特定機制宜一致。
13.2.3 電 子 傳 訊
控制措施
宜適切保護電子傳訊時所涉及之資訊。
實作指引
電子傳訊之資訊安全考量宜包含下列各項。
(a) 以 組 織 所 採 用 之 資 訊 分 級 方 案 保 護 訊 息 ， 避 免 遭 受 未 經 授 權 之 存 取 、 變 更
或阻絕服務。
(b) 確 保 訊 息 之 正 確 定 址 及 傳 送 。
(c) 服 務 之 可 靠 性 及 可 用 性 。
(d) 法 律 考 量 ， 例 ： 對 電 子 簽 章 之 要 求 事 項 。
(e) 使 用 諸 如 即 時 傳 訊 、 社 群 網 路 或 檔 案 共 享 等 外 部 公 共 服 務 前 ， 先 獲 核 准 。
( f) 更 強 等 級 之 鑑 別 ， 用 以 控 制 由 公 眾 可 存 取 網 路 的 存 取 。
其他資訊
諸如電子郵件、電子資料交換及社群網路等諸多形式之電子傳訊，於營運通訊
中發揮功用。
13.2.4 機 密 性 或 保 密 協 議
控制措施
宜識別、定期審查及以文件記錄，以反映組織對資訊保護之需要的機密性或保
密協議之要求事項。
實作指引
機密性或保密協議宜使用具法律強制效力之用語，闡明對保護機密資訊之要求
事項。機密性或保密協議適用於組織之員工及委外方。考量委外方之形式，以
及其被允許對機密資訊之存取權限或處理權限，宜選定或新增保密協議之相關
－ 51－
CNS 27002, X 6040
條 款 。 為 識 別 機 密 性 或 保 密 協 議 之 要 求 事 項 ， 宜 考 量 下 列 條款。
(a) 受 保 護 資 訊 之 定 義 (例 ： 機 密 資 訊 )。
(b) 協 議 之 預 期 持 續 期 間 ， 包 括 可 能 需 永 久 保 密 的 情 形 。
(c) 協 議 終 止 時 之 要 求 作 為 。
(d) 簽 署 者 之 責 任 及 作 為 ， 以 避 免 未 經 授 權 的 資 訊 揭 露 。
(e) 資 訊 、 營 業 秘 密 及 智 慧 財 產 之 擁 有 權 ， 以 及 此 與 機 密 資 訊 保 護 的 關 聯 。
( f) 機 密 資 訊 之 准 許 使 用 權 限 ， 以 及 簽 署 者 使 用 資 訊 之 權 限 。
( g) 對 涉 及 機 密 資 訊 之 稽 核 及 監 視 活 動 的 權 限 。
( h) 通 知 及 通 報 未 經 授 權 揭 露 或 機 密 資 訊 洩 漏 之 過 程 。
(i)
協議終止時，資訊歸還或銷毀之條款。
(j) 違 反 協 議 時 ， 將 採 取 之 作 為 。
依 據 組 織 之 資訊安 全 要 求 事 項 ， 機 密 性 或 保 密 協 議 中 可 能 需 加 入 其 他 條款。
機 密 性 或 保 密 協 議 宜 遵 循 管 轄 權 下 所 有 適 用 之 法 律 及 法 規 ( 參 照 1 8 . 1 )。
宜定期審查機密性或保密協議之要求事項，並宜於因變更而影響此等要求事項
時審查之。
其他資訊
機 密 性 或 保 密 協 議 保 護 組 織 之 資 訊，並 告 知 簽 署 者 以 負 責 且 經 授 權 方 式，保 護 、
使用及揭露資訊之責任。
組織可能需於不同情況下，使用不同形式之機密性或保密協議。
14. 系 統 獲 取 、 開 發 及 維 護
14.1 資 訊 系 統 之 安 全 要 求 事 項
目 標 ： 確 保 資 訊 安 全 係 跨 越 整 個 生 命 週 期 之 整 體 資 訊 系 統 的 一 部 分。此 亦 包 括 經
由公共網路提供服務之資訊系統的要求事項。
14.1.1 資 訊 安 全 要 求 事 項 分 析 及 規 格
控制措施
資 訊 安 全 相 關 要 求 事 項，宜 納 入 新 資 訊 系 統 或 既 有 資 訊 系 統 之 強 化 的 要 求 事 項 中 。
實作指引
資訊安全要求事項之識別，宜使用諸如由政策及法規、威脅塑模、事故審查或
脆弱性臨限之使用等諸多方法，導出遵循性要求事項。識別之結果宜以文件記
錄並由所有利害相關者審查。
資 訊 安 全 要 求 事 項 及 控 制 措 施 ， 宜 反 映 相 關 資 訊 ( 參 照 8 . 2 )之 營 運 價 值 ， 以 及 因
缺乏足夠之安全可能造成的潛在負面營運衝擊。
資訊安全要求事項及相關聯之過程的識別及管理，宜於資訊系統專案初期整
合 。 早 期 考 量 資 訊 安 全 要 求 事 項 (例 ： 於 設 計 階 段 )， 將 可 產 生 更 有 效 及 具 成 本
效益之解決方案。
資訊安全要求事項亦宜考量下列事項。
(a) 對 使 用 者 所 宣 稱 身 分 所 要 求 之 信 賴 等 級 ， 俾 導 出 使 用 者 鑑 別 之 要 求 事 項 。
(b) 對 公 務 使 用 者 及 具 特 殊 權 限 或 技 術 使 用 者 ， 存 取 權 限 之 提 供 及 授 權 過 程 。
CNS 27002, X 6040
－ 52－
(c) 告 知 使 用 者 及 操 作 者 其 職 責 及 責 任 。
(d) 相 關 資 產 所 要 求 之 保 護 需 求 ， 特 別 是 關 於 可 用 性 、 機 密 性 、 完 整 性 。
( e ) 衍 生 自 營 運 過 程 之 要 求 事 項，諸 如 交 易 存 錄 及 監 視、不 可 否 認 性 要 求 事 項 。
( f) 其 他 安 全 控 制 措 施 規 定 之 要 求 事 項 ， 例 ： 存 錄 及 監 視 之 介 面 或 資 料 洩 露 之
偵測系統。
於 公 眾 網 路 上 提 供 服 務 或 執 行 交 易 之 應 用 系 統 ， 宜 考 量 專 屬 之 控 制 措 施 14.1.2
及 14.1.3。
若產品係獲取者，宜依循正式測試及獲取過程。與供應者之契約中，宜闡明已
識別之安全要求事項。當所提議之產品的安全功能性未符合所規定之要求時，
於採購該產品前，宜重新考量引入之風險及相關聯的控制措施。
對 使 用 於 產 品 安 全 組 態 與 該 系 統 最 終 軟 體 / 服 務 堆 疊 (service stack) 一 致 之 可 用
指引，宜進行評估及實作。
宜 定 義 驗 收 產 品 之 準 則，例：於 功 能 性 方 面，保 證 符 合 已 識 別 之 安 全 要 求 事 項 。
產品於獲取前，宜依此等準則評估之。宜審查其額外之功能性以確保不致引入
不可接受之新增風險。
其他資訊
CNS 2 7 0 0 5 及 CNS 3 1 0 0 0 提 供 關 於 使 用 風 險 管 理 過 程 ， 識 別 控 制 措 施 以 符 合 資
訊安全要求事項之指引。
14.1.2 保 全 公 共 網 路 之 應 用 服 務
控制措施
宜防範於公共網路上傳送的應用服務中涉及之資訊，免於詐欺活動、契約爭議
及未經授權揭露與修改。
實作指引
經公共網路傳送之應用服務的資訊安全考量宜包括下列項目。
(a) 各 方 對 彼 此 所 聲 稱 身 分 之 信 賴 等 級 的 要 求 ， 例 ： 經 由 鑑 別 。
(b) 與 何 人 可 核 准 內 容 、 發 行 或 簽 署 關 鍵 交 易 文 件 相 關 聯 之 授 權 過 程 。
(c) 確 保 通 訊 夥 伴 完 全 知 悉 其 對 提 供 服 務 或 使 用 服 務 之 授 權 。
( d ) 決 定 並 符 合 要 求 事 項，對 於 機 密 性、完 整 性、關 鍵 文 件 之 已 派 送 或 已 接 收 ，
以及契約之不可否認性，例：與投標及契約過程相關聯者。
(e) 關 鍵 文 件 之 完 整 性 所 要 求 信 賴 等 級 。
( f) 所 有 機 密 資 訊 之 保 護 要 求 事 項 。
( g) 所 有 訂 單 交 易 、 付 款 資 訊 、 遞 送 地 址 細 節 及 確 認 接 收 之 機 密 性 與 完 整 性 。
( h) 對 查 證 客 戶 所 提 供 付 款 資 訊 之 適 切 查 證 程 度 。
(i)
選擇最適切之結帳形式，以防止詐欺。
(j) 維 護 訂 單 資 訊 之 機 密 性 及 完 整 性 所 要 求 的 保 護 等 級 。
( k) 避 免 交 易 資 訊 之 遺 失 或 重 複 。
(l)
與所有詐欺交易相關聯之賠償責任。
( m) 保 險 要 求 事 項 。
－ 53－
CNS 27002, X 6040
可 將 遵 循 法 律 要 求 事 項 (參 照 第 18 節，特 別 是 18.1.5 之 密 碼 法 律 )納 入 考 量，使
用 密 碼 式 控 制 措 施 (參 照 第 10 節 )解 決 諸 多 上 述 考 量 項 目 。
夥伴間之應用服務安排，宜明定於以文件記錄之協議中，承諾雙方所議定的服
務 條 款 ， 包 括 授 權 細 節 (參 照 上 述 (b)項 )。
宜考量對攻擊之恢復要求事項，可能包括對於保護相關之應用伺服器的保護要
求事項，或確保用於遞送服務所要求之網路互連的可用性。
其他資訊
公眾網路可存取之應用服務，可能遭受多種網路相關威脅，諸如詐欺活動、契
約糾紛或對公眾揭露資訊。因此詳盡之風險評鑑及正確選擇控制措施實屬必
要。所要求之控制措施通常包括用於鑑別及保全資訊傳輸之密碼學方法。
應 用 服 務 可 利 用 安 全 鑑 別 方 法 降 低 風 險，例 ：使 用 公 開 金 鑰 密 碼 機 制 及 數 位 簽 章
(參 照 第 10 節 )。若 需 要 此 類 服 務 時，亦 可 使 用 受 信 賴 第 三 方 (trusted third party)。
14.1.3 保 護 應 用 服 務 交 易
控制措施
宜保護應用服務交易中涉及之資訊，以防止不完整傳輸、誤選路、未經授權之
訊息修改、未經授權之揭露、未經授權之訊息複製或重演。
實作指引
應用服務交易之資訊安全考量宜包括下列項目。
(a) 交 易 之 相 關 各 方 ， 對 電 子 簽 章 之 使 用 。
(b) 交 易 之 所 有 層 面 ， 亦 即 確 保 以 下 各 項 。
(1) 所 有 各 方 之 使 用 者 秘 密 鑑 別 資 訊 ， 係 屬 有 效 且 經 查 證 。
(2) 保 持 交 易 為 機 密 。
(3) 保 持 所 有 相 關 各 方 之 隱 私 權 。
(c) 相 關 各 方 間 之 通 信 管 道 係 加 密 。
(d) 相 關 各 方 間 通 信 使 用 之 協 定 係 安 全 。
(e) 確 保 交 易 明 細 儲 存 於 所 有 公 眾 可 存 取 環 境 之 外 ， 例 ： 於 組 織 內 部 網 路 儲 存
平台，而不保存及暴露於由網際網路可直接存取之儲存媒體上。
( f) 使 用 受 信 賴 機 構 ( 例：供 發 行 及 維 護 數 位 簽 章 或 數 位 憑 證 用 途 ) 時，安 全 性 係
被整合並嵌入整個端對端之憑證∕簽章管理過程中。
其他資訊
所採用控制措施之程度，需與各應用服務交易形式相關聯之風險等級相稱。
交 易 可 能 需 遵 守 交 易 之 產 生、處 理、完 成 或 儲 存 所 在 地 管 轄 權 的 法 律 及 法 規 要 求 。
14.2 於 開 發 及 支 援 過 程 中 之 安 全
目標：確保於資訊系統之開發生命週期內，設計及實作資訊安全。
14.2.1 保 全 開 發 政 策
控制措施
宜建立軟體及系統開發之規則，並應用至組織內之開發。
實作指引
CNS 27002, X 6040
－ 54－
安全開發係一項要求，用以建立安全服務、架構、軟體及系統。安全開發政策
宜將下列層面納入考量。
(a) 開 發 環 境 之 安 全 。
(b) 關 於 軟 體 開 發 生 命 週 期 中 之 安 全 的 指 引 。
(1) 軟 體 開 發 方 法 論 中 之 安 全 。
(2) 所 用 各 程 式 語 言 之 安 全 編 碼 指 導 綱 要 。
(c) 設 計 階 段 中 之 安 全 要 求 事 項 。
(d) 計 畫 各 里 程 碑 期 間 之 安 全 查 核 點 。
( e ) 保 全 儲 存 庫 ( r e p o si t o r y)。
( f) 版 本 控 制 之 安 全 。
( g) 所 要 求 之 應 用 系 統 安 全 知 識 。
( h) 開 發 者 避 開 、 找 出 及 修 補 脆 弱 性 之 能 力 。
當適用於開發之標準可能未知，或是與目前最佳實務不一致時，於新開發及程
式碼再利用之情境中，均宜使用安全程式設計技術。宜考量並儘量規定使用安
全編碼標準。開發者宜接受使用此等標準之訓練，並宜以測試及程式碼審查
(code review) 查 證 其 使 用 。
若 為 委 外 開 發，組 織 宜 獲 得 委 外 方 遵 循 此 等 安 全 開 發 規 則 ( 參 照 1 4 . 2 . 7 )之 保 證 。
其他資訊
開發亦可能發生於應用系統內部，諸如辦公室應用軟體、指令檔、瀏覽器及資
料庫。
14.2.2 系 統 變 更 控 制 程 序
控制措施
宜藉由使用正式之變更控制程序，以控制開發生命週期內之系統變更。
實作指引
宜 以 文 件 記 錄 並 實 施 正 式 之 變 更 控 制 程 序，以 確 保 系 統 、應 用 程 式 及 產 品 之 完 整
性，由 初 期 之 設 計 階 段 至 所 有 後 續 維 護 工 作 。新 系 統 之 引 進 及 對 既 有 系 統 之 重 大
變更，宜遵循文件製作、規格、測試、品質控制及受管理之實作的正式過程。
此過程宜包括風險評鑑、變更衝擊分析及所需之安全控制措施規格。此過程亦
宜確保不危及既有之安全及控制程序，其支援程式設計師僅被授予其工作所必
要之部分系統存取權限，且所有變更均取得正式之協議及核准。
若 實 際 可 行 ， 宜 整 合 應 用 程 式 之 變 更 控 制 程 序 與 運 作 之 變 更 控 制 程 序 (參 照
12.1.2)。 變 更 控 制 程 序 宜 包 括 但 不 限 於 下 列 事 項 。
(a) 維 持 獲 同 意 之 授 權 等 級 的 紀 錄 。
(b) 確 保 變 更 係 由 經 授 權 之 使 用 者 提 出 。
(c) 審 查 控 制 措 施 及 完 整 性 程 序 ， 以 確 保 其 未 因 變 更 而 遭 破 壞 。
(d) 識 別 所 有 要 求 修 訂 之 軟 體 、 資 訊 、 資 料 庫 個 體 及 硬 體 。
(e) 識 別 並 查 核 安 全 關 鍵 程 式 碼 ， 以 極 小 化 已 知 安 全 弱 點 之 可 能 性 。
( f) 於 工 作 開 始 前 ， 詳 細 提 案 獲 得 正 式 核 准 。
－ 55－
CNS 27002, X 6040
( g) 確 保 實 作 之 前 ， 經 授 權 之 使 用 者 接 受 變 更 。
( h) 確 保 於 完 成 變 更 時 ， 系 統 文 件 集 已 更 新 ， 並 將 舊 文 件 歸 檔 或 作 廢 。
(i)
維持對所有軟體更新事項之版本控制。
(j) 維 持 對 所 有 變 更 請 求 之 稽 核 存 底 。
( k) 確 保 於 必 要 時 變 更 運 作 文 件 ( 參 照 1 2 . 1 . 1 )及 使 用 者 程 序 ， 以 維 持 其 適 切 性 。
(l)
確保於正確時機實作變更，且不擾亂相關之營運過程。
其他資訊
變更軟體可能衝擊運作環境，反之亦然。
良 好 之 實 務 包 括 於 與 生 產 環 境 及 開 發 環 境 隔 離 之 環 境 中 測 試 新 軟 體 (參 照
12.1.4)。 此 提 供 控 制 新 軟 體 之 手 段 ， 並 對 供 測 試 用 之 運 作 資 訊 提 供 額 外 保 護 。
此 宜 包 括 修 補 程 式 、 服 務 包 (service pack) 及 其 他 更 新 項 目 。
考量自動更新時，宜權衡對系統完整性及可用性之風險與迅速部署更新項目之
利 益。關 鍵 系 統 不 宜 使 用 自 動 更 新，因 為 某 些 更 新 項 目 可 能 造 成 關 鍵 應 用 失 效 。
14.2.3 運 作 平 台 變 更 後 ， 應 用 之 技 術 審 查
控制措施
當運作平台變更時，宜審查及測試營運之關鍵應用，以確保對組織運作或安全
無不利衝擊。
實作指引
此過程宜涵蓋下列事項。
(a) 審 查 應 用 控 制 及 完 整 性 之 程 序 ， 以 確 保 其 未 被 運 作 平 台 變 更 所 破 壞 。
(b) 確 保 能 及 時 提 供 運 作 平 台 變 更 之 通 知 ， 以 允 許 於 實 作 前 ， 進 行 適 切 之 測 試
及審查。
(c) 確 保 適 切 變 更 營 運 持 續 計 畫 (參 照 第 17 節 )。
其他資訊
運作平台包括作業系統平台、資料庫平台及中介軟體平台。控制措施亦宜適用
於應用之變更。
14.2.4 軟 體 套 件 變 更 之 限 制
控制措施
宜不鼓勵修改軟體套件，且僅限於必要變更，並宜嚴格控制所有變更。
實作指引
於儘可能且可行之情況下，使用供應者提供之軟體套件時不宜作修改。於需修
改軟體套件之情況下，宜考量以下幾點。
(a) 內 建 控 制 措 施 及 完 整 性 過 程 遭 破 解 之 風 險 。
(b) 是 否 宜 取 得 供 應 者 之 同 意 。
(c) 當 標 準 程 式 更 新 時 ， 由 供 應 者 取 得 所 要 求 之 變 更 的 可 能 性 。
(d) 因 變 更 而 使 組 織 需 負 責 以 後 軟 體 維 護 作 業 之 衝 擊 。
(e) 與 其 他 使 用 中 軟 體 之 相 容 性 。
若變更係必要的，則宜保存原始軟體，而對指定之複本進行變更。宜實作軟體
CNS 27002, X 6040
－ 56－
更新管理過程，以確保對所有獲授權軟體，安裝最新被核准之修補程式及應用
更 新 (參 照 12.6.1)。 所 有 變 更 宜 經 完 全 測 試 並 以 文 件 記 錄 ， 以 便 於 未 來 軟 體 升
級必要時能再套用此等變更。若有要求，則該等變更宜由獨立之評估機構測試
及驗證。
14.2.5 安 全 系 統 工 程 原 則
控制措施
安全系統之工程原則，宜予建立、以文件記錄、維持及應用於所有資訊系統實
作工作。
實作指引
宜依據安全工程原則建立、以文件記錄及維持安全資訊系統工程程序，並實施於
組織內部之資訊系統工程活動。宜權衡資訊安全之需要與可存取性之需要，將安
全 性 設 計 進 架 構 之 所 有 層 (營 運 層 、資 料 層 、應 用 層 及 技 術 層 )中 。宜 分 析 新 技 術 之
安全風險，並針對已知之攻擊型樣審查原設計。
宜定期審查上述原則及已建立之工程程序，以確保其有效地有益於工程過程內之
強化安全標準。亦宜定期審查，以確保其於對抗所有新的潛在威脅保持最新，並
於技術進展及適用之解決方案上保持適用。
適用時，宜透過組織與組織外包供應者間之契約及其他具約束力的協議事項，將
已建立之安全工程原則施行於委外資訊系統。組織宜確認供應者之安全工程原則
的嚴謹性與組織本身之原則的嚴謹性相稱。
其他資訊
應用系統開發程序宜將安全工程技術，施行於具輸入及輸出介面之應用系統開
發。安 全 工 程 技 術 提 供 指 引，關 於 使 用 者 鑑 別 技 術、保 全 會 談 控 制 及 資 料 驗 證 、
除錯程式之清除及移除。
14.2.6 安 全 開 發 環 境
控制措施
對涵蓋整個系統開發生命週期之系統開發及整合工作，組織宜建立並適切保護
安全開發環境。
實作指引
安全開發環境包括與系統開發及整合相關聯之人員、過程與技術。
組織宜評鑑與個別系統開發工作相關聯之風險，並宜對特定系統開發工作建立安
全開發環境，考量下列事項。
(a) 系 統 所 處 理 、 儲 存 及 傳 輸 之 資 料 的 機 敏 性 。
(b) 適 用 之 外 部 及 內 部 要 求 事 項 ， 例 ： 法 規 或 政 策 之 要 求 事 項 。
(c) 組 織 已 實 作 ， 支 援 系 統 開 發 之 安 全 控 制 措 施 。
( d ) 環 境 內 工 作 人 員 之 可 信 賴 性 ( 參 照 7 . 1 . 1 )。
(e) 與 系 統 開 發 相 關 聯 之 委 外 程 度 。
( f) 不 同 開 發 環 境 間 隔 離 之 需 要 。
( g) 對 開 發 環 境 之 進 出 及 存 取 的 控 制 措 施 。
－ 57－
CNS 27002, X 6040
( h) 監 視 環 境 變 更 及 存 於 其 中 之 程 式 碼 的 變 更 。
(i)
備份係儲存於安全之異地位置。
(j) 資 料 移 入 及 移 出 環 境 之 控 制 措 施 。
一旦決定特定開發環境之保護等級，組織宜於安全開發程序中，記錄對應之過
程，並提供予所有需要的人員。
14.2.7 委 外 開 發
控制措施
組織宜監督及監視委外系統開發活動。
實作指引
系統開發委外時，於全組織之整個外部供應鏈，宜考量下列事項。
(a) 與 委 外 內 容 相 關 之 使 用 授 權 安 排 、 程 式 碼 所 有 權 及 智 慧 財 產 權 ( 參 照
18.1.2)。
( b ) 對 安 全 設 計 、 程 式 編 碼 及 測 試 實 務 作 法 之 契 約 要 求 事 項 ( 參 照 1 4 . 2 . 1 )。
(c) 對 外 部 開 發 者 提 供 已 核 可 之 威 脅 模 型 。
(d) 對 交 付 產 品 之 品 質 及 準 確 性 的 驗 收 測 試 。
( e ) 對 使 用 安 全 臨 限，據 以 建 立 最 低 可 接 受 等 級 之 安 全 及 隱 私 品 質，提 供 證 據 。
( f) 對 交 付 時 已 進 行 足 夠 測 試 防 範 無 蓄 意 及 非 蓄 意 之 惡 意 內 容 ， 提 供 證 據 。
( g) 對 已 進 行 足 夠 測 試 防 範 出 現 已 知 脆 弱 性 ， 提 供 證 據 。
( h) 託 管 協 議 ， 例 ： 預 防 源 程 式 碼 不 再 可 用 時 。
(i)
稽核開發過程及控制措施之契約權利。
(j) 建 造 用 以 產 生 交 付 產 品 之 環 境 的 有 效 文 件 。
( k) 組 織 仍 負 責 遵 守 適 用 之 法 律 並 控 制 效 率 查 證 。
其他資訊
有 關 供 應 者 關 係 之 更 進 一 步 資 訊 可 參 照 I SO/I E C 2 7 0 3 6 系 列 標 準 。
14.2.8 系 統 安 全 測 試
控制措施
於開發中，宜實施安全功能性之測試。
實作指引
全新及被更新之系統要求於開發過程期間澈底測試及查證，包括準備活動之詳細
時程、測試輸入及於條件範圍內預期輸出等。對於組織內部開發，此等測試起初
宜 由 開 發 小 組 履 行。隨 後 進 行 獨 立 之 驗 收 測 試 (組 織 內 部 開 發 及 委 外 開 發 皆 然 )，以
確 保 系 統 如 預 期 且 僅 如 預 期 運 作 (參 照 14.1.1 及 14.1.9)。測 試 之 程 度 宜 與 系 統 之 重
要性及其性質成正比。
14.2.9 系 統 驗 收 測 試
控制措施
宜建立新資訊系統、系統升級及新版本之驗收測試計畫及準則。
實作指引
系 統 驗 收 測 試 宜 包 含 對 資 訊 安 全 要 求 事 項 ( 參 照 1 4 . 1 . 1 及 1 4 . 1 . 2 )之 測 試 ， 並 嚴
CNS 27002, X 6040
－ 58－
格 遵 守 安 全 系 統 開 發 實 務 作 法 (參 照 14.2.1)。 亦 宜 對 所 接 收 之 組 件 及 整 合 之 系
統進行測試。組織可利用諸如程式碼分析工具或弱點掃瞄程式等自動化工具，
並宜查證安全相關缺陷之修補措施。
宜於實際之測試環境中履行測試，以確保系統將不引入脆弱性至組織環境，且
測試係可信賴。
14.3 測 試 資 料
目標：確保測試用資料之保護。
14.3.1 測 試 資 料 之 保 護
控制措施
宜小心選擇、保護及控制測試資料。
實作指引
宜避免為測試用途而使用包含個人可識別資訊或其他機密資訊之運作資料。若
使用個人可識別資訊或其他方面之機密資訊供測試用途，則宜經由移除或修改
而 保 護 所 有 機 敏 細 節 及 內 容 ( 參 照 I SO/I E C 2 9 1 0 1 ) 。
當運作資料使用於測試用途時，宜施行下列指導綱要保護之。
(a) 適 用 於 運 作 之 應 用 系 統 的 存 取 控 制 程 序 ， 亦 宜 適 用 於 測 試 應 用 系 統 。
(b) 每 次 複 製 運 作 資 訊 至 測 試 環 境 ， 宜 每 次 取 得 授 權 。
(c) 測 試 完 成 後 ， 宜 立 即 將 運 作 資 訊 由 測 試 環 境 中 抹 除 。
(d) 宜 存 錄 運 作 資 訊 之 複 製 及 使 用 ， 以 提 供 稽 核 存 底 。
其他資訊
系統及驗收測試通常要求大量儘可能與運作資料相近之測試資料。
15. 供 應 者 關 係
15.1 供 應 者 關 係 中 之 資 訊 安 全
目標：確保對供應者可存取之組織資產的保護。
15.1.1 供 應 者 關 係 之 資 訊 安 全 政 策
控制措施
宜與供應者議定並以文件記錄，降低與供應者存取組織資產關聯之風險的資訊
安全要求事項。
實作指引
組織宜於政策中識別並規定資訊安全控制措施，以明確闡明供應者對組織資訊
之存取。此等控制措施宜闡明組織將實作之過程及程序，以及組織宜要求供應
者實作之過程及程序，包括下列事項。
(a) 識 別 並 記 錄 組 織 將 允 許 存 取 其 資 訊 之 供 應 者 的 形 式 ， 例 ： IT 服 務 、 物 流 事
業 、 財 務 服 務 、 IT 基 礎 建 設 單 位 等 。
(b) 用 以 管 理 供 應 者 關 係 之 已 標 準 化 過 程 及 生 命 週 期 。
(c) 定 義 不 同 形 式 供 應 者 將 被 允 許 之 資 訊 存 取 形 式 ， 並 監 視 及 控 制 其 存 取 。
(d) 各 形 式 資 訊 及 各 形 式 之 存 取 的 最 低 資 訊 安 全 要 求 事 項 ， 係 作 為 依 據 組 織 之
營運需要及要求事項，以及其風險剖繪，而與個別供應者之協議的基礎。
－ 59－
CNS 27002, X 6040
(e) 過 程 及 程 序 ， 用 以 監 視 各 形 式 供 應 者 及 各 形 式 之 存 取 (包 括 第 三 方 審 查 及 產
品 驗 證 )嚴 守 已 建 立 之 資 訊 安 全 要 求 事 項 。
( f) 準 確 性 及 完 全 性 之 控 制 措 施，用 以 確 保 雙 方 提 供 之 資 訊 或 資 訊 處 理 的 完 整 性 。
( g) 適 用 於 供 應 者 之 義 務 的 形 式 ， 用 以 保 護 組 織 之 資 訊 。
( h) 與 供 應 者 存 取 相 關 聯 之 處 置 事 故 及 應 變 措 施，包 括 組 織 與 供 應 者 雙 方 之 責 任 。
(i)
恢復力及必要時之復原與應變安排，以確保雙方所提供之資訊或資訊處理
的可用性。
(j) 對 參 與 獲 取 之 組 織 人 員 實 施 關 於 適 用 政 策 、 過 程 及 程 序 的 認 知 訓 練 。
( k) 對 與 供 應 者 之 人 員 互 動 的 組 織 人 員 實 施 認 知 訓 練 ， 內 容 係 依 據 供 應 者 形 式
及供應者存取組織系統及資訊等級，關於適切之應對及行為規範。
(l)
於 何 種 條 件 下，資 訊 安 全 要 求 事 項 及 控 制 措 施 將 由 雙 方 簽 署 於 書 面 協 議 中。
( m) 管 理 必 須 移 轉 之 資 訊 、 資 訊 處 理 設 施 及 任 何 其 他 需 移 動 之 品 項 ， 並 確 保 於
整個移轉期間資訊安全仍被維持。
其他資訊
不恰當之資訊安全管理可能使供應者將資訊置於風險中。宜識別並實施控制措
施以管理供應者對資訊處理設施之存取。舉例而言，若對資訊機密性有特別需
求，可使用保密協議。另一範例為當供應者協議涉及跨國之資訊移轉或存取時
的資料保護風險。組織需認知組織仍負保護資訊之法律或契約責任。
15.1.2 於 供 應 者 協 議 中 闡 明 安 全 性
控制措施
宜 與 每 個 可 能 存 取、處 理、儲 存 或 傳 達 資 訊，或 提 供 IT 基 礎 建 設 組 件 資 訊 之 供
應者，建立及議定所有相關資訊安全要求事項。
實作指引
宜建立並以文件記錄供應者協議，以確保組織與供應者雙方間對履行相關資訊
安全要求事項之義務無誤解。
協議中宜考量納入下列條款，以滿足所識別之安全要求事項。
(a) 對 於 所 提 供 或 存 取 之 資 訊 ， 以 及 提 供 或 存 取 資 訊 之 方 法 的 描 述 。
( b ) 依 據 組 織 之 分 級 方 案 ( 參 照 8 . 2 )之 資 訊 分 級 ； 若 有 必 要 ， 亦 將 組 織 本 身 分 級
方案與供應者分級方案作對映。
(c) 法 律 及 法 規 要 求 事 項 ， 包 括 資 料 保 護 、 智 慧 財 產 權 及 著 作 權 ， 以 及 對 於 如
何確保其符合性之描述。
(d) 契 約 雙 方 實 作 所 議 定 之 整 套 控 制 措 施 的 義 務 ， 包 括 存 取 控 制 、 績 效 審 查 、
監視、通報及稽核。
(e) 資 訊 可 接 受 之 使 用 的 規 則 ， 必 要 時 包 括 不 可 接 受 之 使 用 。
( f) 可 明 確 表 列 獲 授 權 存 取 或 接 收 組 織 之 資 訊 的 供 應 者 人 員 ， 或 訂 定 對 供 應 者
人員存取或接收組織資訊授權，以及移除授權之程序或條件。
( g) 與 特 定 契 約 相 關 之 資 訊 安 全 政 策 。
( h) 事 故 管 理 要 求 事 項 及 程 序 ( 尤 其 是 事 故 修 補 期 間 之 通 知 及 合 作 ) 。
CNS 27002, X 6040
(i)
－ 60－
對特定程序及資訊安全要求事項之訓練及認知要求，例：事故回應、授權
程序。
(j) 分 包 之 相 關 規 定 ， 包 括 需 實 作 之 控 制 措 施 。
( k) 協 議 之 相 關 工 作 人 員 ， 包 括 資 訊 安 全 事 宜 之 聯 絡 窗 口 。
(l)
供 應 者 之 人 員 ( 若 有 的 話 ) 篩 選 的 要 求 事 項，包 括 進 行 篩 選 之 責 任，以 及 若 篩
選未完成，或其結果造成疑慮或擔憂時之通知程序的責任。
( m) 稽 核 與 協 議 有 關 之 供 應 者 過 程 及 控 制 措 施 的 權 利 。
( n) 缺 陷 之 解 決 過 程 及 爭 議 之 解 決 過 程 。
(o) 供 應 者 定 期 交 付 控 制 措 施 有 效 性 之 獨 立 報 告 義 務 ， 與 及 時 矯 正 報 告 內 所 提
出相關議題之協議。
(p) 供 應 者 遵 循 組 織 安 全 要 求 事 項 之 義 務 。
其他資訊
不同組織與不同形式供應者間之協議可能差異頗大。因此宜仔細考量納入所有
相 關 之 資 訊 安 全 風 險 及 要 求 事 項 。 供 應 者 協 議 亦 可 納 入 其 他 方 (如 分 包 者 )。
協議中需考量若供應者無法供應其產品或服務時如何持續處理之程序，以避免
因安排替代產品或服務之任何延誤。
15.1.3 資 訊 及 通 訊 技 術 供 應 鏈
控制措施
與供應者之協議，宜包含因應與資訊及通訊技術服務及產品供應相關聯之資訊
安全風險的要求事項。
實作指引
供應者協議中關於供應鏈安全宜考量包括下列主題。
(a) 除 對 供 應 者 關 係 之 一 般 資 訊 安 全 要 求 事 項 外 ， 定 義 適 用 於 獲 取 資 訊 及 通 訊
技術產品或服務的資訊安全要求事項。
(b) 對 於 資 訊 及 通 訊 技 術 服 務 ， 若 供 應 者 將 提 供 組 織 之 資 訊 及 通 訊 技 術 服 務 部
分分包，則要求供應者對整個供應鏈傳播組織之安全要求事項。
(c) 對 於 資 訊 及 通 訊 技 術 產 品 ， 若 此 等 產 品 包 含 採 購 自 其 他 供 應 者 之 組 件 ， 則
要求供應者對整個供應鏈傳播適切之安全實務作法。
(d) 實 作 一 項 監 視 過 程 及 各 種 可 接 受 之 方 法 ， 用 以 驗 證 所 交 付 之 資 訊 及 通 訊 技
術產品及服務係嚴守所敘明的安全要求事項。
(e) 實 作 一 項 過 程 ， 用 以 識 別 出 對 維 護 功 能 性 十 分 重 要 之 產 品 或 服 務 組 件 ， 且
若其係於組織外部建造時要求更多注意及仔細審視，尤其是若最高階供應
者將產品或服務組件層面委外至其他供應者。
( f) 取 得 關 於 關 鍵 組 件 及 其 來 源 於 整 個 供 應 鏈 可 被 追 溯 之 保 證 。
( g) 取 得 關 於 所 交 付 之 資 訊 及 通 訊 技 術 產 品 可 如 預 期 運 作 ， 無 任 何 非 預 期 或 非
所欲功能之保證。
( h) 定 義 各 項 規 則 ， 用 以 分 享 組 織 與 供 應 者 間 關 於 供 應 鏈 及 任 何 潛 在 議 題 與 危
害等之資訊。
－ 61－
(i)
CNS 27002, X 6040
實作各項特定過程，用以管理資訊及通訊技術組件生命週期及可用性與相
關之安全風險。此包括管理對於因供應者歇業而使組件不再可用，或因技
術進展而使供應者不再提供此等組件等之風險。
其他資訊
特 定 資 訊 及 通 訊 技 術 供 應 鏈 風 險 管 理 實 務 作 法，係 建 立 於 一 般 資 訊 安 全、品 質 、
專案管理及系統工程實務作法之上，但不取而代之。
建議組織與供應者共同努力，以瞭解資訊及通訊技術供應鏈，以及任何對所提
供產品及服務有重要影響之任何事宜。組織可藉由於與供應者之協議中，釐清
宜由資訊及通訊技術供應鏈內其他供應者處理之事宜，影響資訊及通訊技術供
應鏈資訊安全實務作法。
此處所提及之資訊及通訊技術供應鏈包括雲端運算服務。
15.2 供 應 者 服 務 交 付 管 理
目標：維持資訊安全及服務交付之議定等級與供應者協議一致。
15.2.1 供 應 者 服 務 之 監 視 及 審 查
控制措施
組織宜定期監視、審查及稽核供應者服務交付。
實作指引
對供應者服務之監視及審查，宜確保遵守協議中的資訊安全條款與條件，且資
訊安全事故及問題均受到妥適管理。
此宜於組織與供應者間訂定一項服務管理關係過程，用以進行下列事項。
(a) 監 視 服 務 效 能 水 準 ， 以 查 核 協 議 之 遵 守 程 度 。
(b) 依 協 議 要 求 ， 審 查 供 應 者 產 出 之 服 務 報 告 ， 並 安 排 定 期 的 進 度 會 議 。
( c ) 實 施 對 供 應 者 之 稽 核，同 時 審 查 ( 若 可 取 得 之 ) 獨 立 稽 核 報 告，並 對 所 識 別 的
事宜進行後續追查。
(d) 依 協 議 及 任 何 支 援 性 指 導 綱 要 與 程 序 之 要 求 ， 提 供 關 於 資 訊 安 全 事 故 之 資
訊，並審查此資訊。
(e) 審 查 供 應 者 稽 核 存 底 及 紀 錄 ， 關 於 與 所 交 付 服 務 相 關 之 資 訊 安 全 事 件 、 運
作問題、失效事件、錯誤事件之追蹤及中斷事件。
( f) 解 決 並 管 理 所 有 已 識 別 出 之 問 題 。
( g) 審 查 供 應 者 與 其 自 身 之 供 應 者 間 關 係 的 資 訊 安 全 層 面 。
( h) 確 保 供 應 者 維 持 足 夠 之 服 務 能 力 ， 結 合 所 設 計 之 可 行 計 畫 ， 確 保 於 重 大 服
務 失 效 或 災 害 之 後 能 維 持 所 議 定 之 服 務 持 續 水 準 (參 照 第 17 節 )。
宜指派專人或服務管理團隊，負責管理供應者關係。此外，組織宜確保供應者
指派審查遵循性及執行協議要求事項之負責人。宜取得充分技術技能及資源，
用 以 監 視 協 議 中 之 要 求 事 項 (特 別 是 資 訊 安 全 要 求 事 項 )皆 已 符 合 。 當 觀 察 到 服
務交付之缺點時，宜採取適切作為。
對於由供應者所存取、處理或管理之機敏或關鍵資訊及資訊處理設施的所有安
全 層 面，組 織 宜 維 持 充 分 之 全 面 控 制 及 可 視 度。組 織 宜 經 由 已 定 義 之 通 報 過 程 ，
CNS 27002, X 6040
－ 62－
保持對安全活動的可視度，諸如變更管理、脆弱性之識別，以及資訊安全事故
通報及回應之可視度。
15.2.2 管 理 供 應 者 服 務 之 變 更
控制措施
宜管理供應者所提供服務之變更，包括維持及改善既有的資訊安全政策、程序
及控制措施，並考量所涉及之營運資訊、系統及過程的關鍵性，以及風險之重
新評鑑。
實作指引
宜考量下列層面。
(a) 對 供 應 者 協 議 之 變 更 。
(b) 組 織 為 實 作 下 列 事 項 ， 所 做 之 變 更 。
(1) 加 強 目 前 所 提 供 之 服 務 。
(2) 開 發 任 何 新 應 用 及 系 統 。
(3) 修 訂 或 更 新 組 織 之 政 策 及 程 序 。
(4) 新 的 或 變 更 之 控 制 措 施 ， 用 以 解 決 資 訊 安 全 事 故 並 提 升 安 全 性 。
(c) 供 應 者 為 實 作 下 列 事 項 ， 變 更 服 務 。
(1) 變 更 及 加 強 網 路 。
(2) 使 用 新 技 術 。
( 3 ) 採 用 新 產 品 或 較 新 版 本 ⁄較 新 發 行 。
(4) 新 開 發 工 具 及 環 境 。
(5) 變 更 服 務 設 施 實 體 位 置 。
(6) 變 更 供 應 者 。
(7) 分 包 至 另 一 供 應 者 。
16. 資 訊 安 全 事 故 管 理
16.1 資 訊 安 全 事 故 及 改 善 之 管 理
目 標 ： 確 保 對 資 訊 安 全 事 故 之 管 理 的 一 致 及 有 效 作 法，包 括 對 安 全 事 件 及 弱 點 之
傳達。
16.1.1 責 任 及 程 序
控制措施
宜建立管理責任及程序，以確保對資訊安全事故做迅速、有效及有序之回應。
實作指引
對於資訊安全事故管理，宜考量下列之管理責任及程序的指導綱要。
(a) 宜 建 立 管 理 責 任 ， 據 以 確 保 訂 定 下 列 程 序 ， 並 於 組 織 內 充 分 傳 達 。
(1) 用 於 事 故 回 應 之 規 劃 及 準 備 的 程 序 。
(2) 用 於 監 視 、 偵 測 、 分 析 及 通 報 資 訊 安 全 事 件 與 事 故 之 程 序 。
(3) 用 於 存 錄 事 故 管 理 活 動 之 程 序 。
(4) 用 於 處 置 鑑 識 證 據 之 程 序 。
(5) 用 於 資 訊 安 全 事 件 之 評 鑑 及 決 策 ， 以 及 資 訊 安 全 弱 點 之 評 鑑 的 程 序 。
－ 63－
CNS 27002, X 6040
(6) 回 應 程 序 ， 用 於 包 括 對 事 故 之 提 報 、 控 制 復 原 ， 以 及 對 內 部 與 外 部 人 員
或組織傳達等的回應。
(b) 所 建 立 之 程 序 宜 確 保 下 列 事 項 。
(1) 稱 職 人 員 處 理 組 織 內 與 資 訊 安 全 事 故 相 關 之 事 宜 。
(2) 實 作 偵 測 及 通 報 安 全 事 故 之 聯 絡 窗 口 。
(3) 與 處 理 資 訊 安 全 事 故 相 關 事 宜 之 權 責 單 位 、 外 部 關 注 方 或 論 壇 ， 保 持 適
切聯繫。
(c) 通 報 程 序 宜 包 括 下 列 事 項 。
(1) 準 備 資 訊 安 全 事 件 通 報 表 單 ， 俾 於 發 生 資 訊 安 全 事 件 時 ， 支 援 通 報 行
動，並協助通報人員記得所有必要動作。
(2) 發 生 資 訊 安 全 事 件 時 ， 所 要 採 行 之 程 序 ， 例 ： 立 即 記 錄 所 有 細 節 ， 諸 如
未遵循或違反事件之形式、發生之故障、螢幕上顯示之訊息等，並立即
通報聯絡窗口，且僅採取經協調之動作。
(3) 引 用 已 建 立 之 正 式 懲 處 過 程 ， 處 理 違 反 安 全 之 員 工 。
(4) 合 適 之 回 饋 過 程 ， 以 確 保 通 報 資 訊 安 全 事 件 之 人 員 ， 於 問 題 被 處 理 及 結
案後，會收到結果之通知。
資訊安全事故管理之目標宜獲管理階層同意，並宜確保負責資訊安全事故管理
之人員，瞭解組織處置資訊安全事故之優先序。
其他資訊
資訊安全事故可能超越組織及國家之界限。為回應此類事故，對適切與外部組
織協調關於此等事故之回應並共享資訊之需求日增。
I SO/I E C 2 7 0 3 5 提 供 資 訊 安 全 事 故 管 理 之 詳 細 指 引 。
16.1.2 通 報 資 訊 安 全 事 件
控制措施
宜循適切之管理管道，儘速通報資訊安全事件。
實作指引
宜建立正式之資訊安全事件通報程序，結合事故回應及提報程序，安排當收到
資訊安全事件通報時所要採取的行動。宜建立資訊安全事件通報之聯絡窗口。
宜確保此窗口為全組織所周知，隨時可聯繫，並能提供適切而及時之回應。
宜告知所有員工及約用人員儘速通報資訊安全事件之責任。亦宜向其告知通報
資訊安全事件之程序及聯絡窗口。
考量通報資訊安全事件之情況包括下列各項。
(a) 無 效 之 安 全 控 制 措 施 。
(b) 破 壞 所 預 期 之 資 訊 完 整 性 、 機 密 性 或 可 用 性 。
(c) 人 為 錯 誤 。
(d) 未 遵 循 政 策 或 指 導 綱 要 。
(e) 違 反 實 體 安 全 安 排 。
( f) 未 受 控 制 之 系 統 變 更 。
CNS 27002, X 6040
－ 64－
( g) 軟 體 或 硬 體 故 障 。
( h) 存 取 違 例 。
其他資訊
故障或其他異常之系統行為可能係安全攻擊或真實安全破壞之跡象，因此宜恆
被通報為資訊安全事件。
16.1.3 通 報 資 訊 安 全 弱 點
控制措施
宜要求使用資訊系統及服務之員工及約用人員，注意並通報任何系統或服務中
所觀察到或可疑之資訊安全弱點。
實作指引
所有員工及約用人員宜將此等事件儘速通報聯絡窗口，以防止資訊安全事故。
通報機制宜儘可能容易、可利用及可取得。
其他資訊
宜告誡員工及約用人員，勿企圖試探可疑之安全弱點。測試弱點可能被解釋成
潛在之誤用系統，亦可能引發對資訊系統或服務之損害，並導致進行測試人員
之法律責任。
16.1.4 對 資 訊 安 全 事 件 之 評 鑑 及 決 策
控制措施
宜評鑑資訊安全事件，並決定是否將其歸類為資訊安全事故。
實作指引
聯絡窗口宜使用議定之資訊安全事件及事故分級尺度評鑑每一資訊安全事件，
並決定是否將其歸類為資訊安全事故。事故之分級及定優先序，有助於識別事
故之衝擊及範圍。
若 組 織 具 有 資 訊 安 全 事 故 回 應 小 組 (info r matio n security incid ent resp o nse
team， I SI RT ) ， 評 鑑 及 決 策 可 轉 交 I SI RT 確 認 或 重 新 評 鑑 。
宜詳細記錄評鑑及決策之結果，供未來引用及查證之用途。
16.1.5 對 資 訊 安 全 事 故 之 回 應
控制措施
宜依以文件記錄程序，回應資訊安全事故。
實作指引
資 訊 安 全 事 故 宜 由 指 定 之 聯 絡 窗 口 及 組 織 或 委 外 方 的 其 他 相 關 人 員 回 應 (參 照
16.1.1)。
回應宜包括下列項目。
(a) 發 生 事 故 後 ， 儘 速 蒐 集 證 據 。
( b ) 依 要 求 ， 實 施 資 訊 安 全 鑑 識 分 析 ( 參 照 1 6 . 1 . 7 )。
(c) 依 要 求 ， 進 行 提 報 。
(d) 確 保 所 有 相 關 之 回 應 活 動 皆 經 適 當 存 錄 ， 以 供 日 後 分 析 。
(e) 以 僅 知 原 則 ， 對 其 他 內 部 及 外 部 人 員 或 組 織 ， 傳 達 資 訊 安 全 事 故 之 存 在 或
－ 65－
CNS 27002, X 6040
其任何相關細節。
( f) 處 理 所 發 現 導 致 或 促 成 該 事 故 之 資 訊 安 全 弱 點 。
( g) 成 功 處 理 事 故 後 ， 正 式 結 案 並 記 錄 之 。
必要時，宜進行事故後分析以識別事故來源。
其他資訊
事 故 回 應 之 首 要 目 標 係 重 繼 〝 正 常 安 全 等 級 〞， 並 接 著 啟 動 必 要 之 復 原 措 施 。
16.1.6 由 資 訊 安 全 事 故 中 學 習
控制措施
宜 使 用 獲 自 分 析 及 解 決 資 訊 安 全 事 故 之 知 識，以 降 低 未 來 事 故 之 可 能 性 或 衝 擊。
實作指引
宜備妥適當之機制，能量化並監視資訊安全事故之形式、數量及成本。由資訊
安全事故評估所得之資訊，宜用以識別重複發生或高衝擊的事故。
其他資訊
資訊安全事故評估，可指出對增強或增加控制措施，以限制爾後事件發生之頻
率、損 害 及 成 本 之 需 要，或 是 於 安 全 政 策 審 查 過 程 ( 參 照 5 . 1 . 2 ) 中 將 其 納 入 考 量。
基於對機密層面之善盡注意，來自真實資訊安全事故之趣聞軼事，可用為使用
者 認 知 訓 練 ( 參 照 7 . 2 . 2 )中 的 案 例 ， 說 明 未 來 可 能 發 生 何 事 故 、 如 何 回 應 該 等 事
故及如何避免之。
16.1.7 證 據 之 蒐 集
控制措施
組織宜定義及應用程序，以識別、蒐集、獲取及保存可用作證據之資訊。
實作指引
當處理供懲處及法律行動用途使用之證據時，宜訂定內部程序，並遵循之。
一 般 而 言，此 等 證 據 使 用 之 程 序 宜 依 據 不 同 形 式 之 媒 體、裝 置 及 裝 置 狀 態 (例 ：
電 源 開 或 關 )提 供 證 據 的 識 別 、 蒐 集 、 獲 取 及 保 存 之 過 程 。 各 程 序 宜 亦 考 量 下 列
各項。
(a) 監 管 鏈 。
(b) 證 據 之 保 全 。
(c) 人 員 之 保 全 。
(d) 相 關 人 員 之 角 色 及 責 任 。
(e) 人 員 之 稱 職 程 度 。
( f) 文 件 記 錄 。
( g) 簡 明 陳 述 。
若可行，宜尋求驗證或對於人員及工具之資格的其他相關方式，以便強化所保
存證據之價值。
鑑 識 證 據 可 能 超 越 組 織 或 管 轄 權 之 界 限。於 此 等 情 形 中 ，宜 確 保 組 織 有 權 蒐 集 所
要 求 之 鑑 識 證 據；亦 宜 考 量 不 同 管 轄 權 之 要 求 ，以 極 大 化 跨 越 相 關 管 轄 權 承 認 之
機會。
CNS 27002, X 6040
－ 66－
其他資訊
識 別 (identification) 係 涉 及 搜 尋 、 辨 識 並 以 文 件 記 錄 潛 在 證 據 之 過 程 。 蒐 集
(collection)係 採 集 可 能 包 含 潛 在 證 據 之 實 體 項 目 的 過 程。獲 取 (acquisition)係 於 所
規 定 集 合 內 產 生 一 份 資 料 複 本 之 過 程 。 保 存 (preservation)係 維 持 及 保 全 潛 在 證 據
之完整性及原始狀況的過程。
當首次偵測到事件時，或許無法明確瞭解是否可能導致法律行動。因此，於意
識 到 事 故 之 嚴 重 性 前，存 在 必 要 證 據 被 蓄 意 或 意 外 破 壞 之 危 險 性。明 智 之 舉 為 ，
對任何計議中的法律行動，均儘早讓律師或司法警察涉入，對所要求之證據提
供建議。
I SO/IEC 2 7 0 3 7 提 供 數 位 證 據 識 別 、 蒐 集 、 獲 取 及 保 存 之 指 導 綱 要 。
17. 營 運 持 續 管 理 之 資 訊 安 全 層 面
17.1 資 訊 安 全 持 續
目標：資訊安全持續宜嵌入組織之營運持續管理系統中。
17.1.1 規 劃 資 訊 安 全 持 續
控制措施
組 織 宜 決 定 其 對 資 訊 安 全 之 要 求 事 項 ， 以 及 於 不 利 情 況 下 (例 ： 危 機 或 災 難 期
間 )， 對 資 訊 安 全 管 理 之 持 續 性 要 求 事 項 。
實作指引
組織宜決定資訊安全持續性係納入營運持續管理過程內，或記錄於災害復原管
理過程內。宜於規劃營運持續性及災害復原時，訂定資訊安全要求事項。
缺乏正式之營運持續性及災害復原規劃時，資訊安全管理宜假設，比較起正常
運作狀況，資訊安全要求事項仍保持於相同之不利情況。另外，組織可對資訊
安全層面進行營運衝擊分析，以訂定適用於不利情況之資訊安全要求事項。
其他資訊
為減少〝額外〞資訊安全營業衝擊分析之時間及勞力，建議將資訊安全層面納
入正常營運持續管理或災害復原管理營運衝擊分析內。此意味著資訊安全持續
性要求事項需明定於營運持續管理或災害復原管理過程內。
關 於 營 運 持 續 管 理 之 資 訊 可 參 照 I SO/IEC 2 7 0 3 1 、 I SO 2 2 3 1 3 及 I SO 2 2 3 0 1 。
17.1.2 實 作 資 訊 安 全 持 續
控制措施
組織宜建立、以文件記錄、實作及維持過程、程序及控制措施，以確保不利情
況期間所要求之資訊安全持續等級。
實作指引
組織宜確保下列各項。
( a ) 備 妥 適 切 之 管 理 結 構，以 使 用 具 備 必 要 授 權、經 驗 及 能 力 之 人 員，以 準 備 、
減緩及回應中斷事件。
(b) 任 命 具 備 必 要 授 權 、 經 驗 及 能 力 之 事 故 回 應 人 員 ， 以 管 理 事 故 並 維 護 資 訊
安全。
－ 67－
CNS 27002, X 6040
(c) 制 定 並 核 准 以 文 件 記 錄 之 計 畫 、 回 應 及 復 原 程 序 ， 詳 述 依 據 管 理 階 層 核 准
的資訊安全持續性目標，組織將如何管理中斷事件，以及將如何維持資訊
安 全 於 預 先 決 定 之 等 級 ( 參 照 1 7 . 1 . 1 )。
依 資 訊 安 全 持 續 性 之 要 求 事 項，組 織 宜 建 立、以 文 件 記 錄、實 作 及 維 持 下 列 各 項 。
(a) 營 運 持 續 或 災 害 復 原 之 過 程 、 程 序 ， 以 及 支 援 系 統 及 工 具 內 的 資 訊 安 全 控
制措施。
(b) 於 不 利 情 況 期 間 ， 用 以 維 持 既 有 資 訊 安 全 控 制 措 施 之 對 過 程 、 程 序 及 實 作
的變更。
(c) 於 不 利 情 況 期 間 ， 無 法 維 持 資 訊 安 全 控 制 措 施 時 之 補 償 控 制 措 施 。
其他資訊
於營運持續或災害復原之全景中，可能已定義若干特定過程及程序。宜保護於
該等特定過程及程序內，或於支援該等過程及程序之專屬資訊系統內所處置之
資訊。因此組織於建立、實作及維護營運持續或災害復原過程及程序時，宜納
入資訊安全專家。
於不利情況期間，已實作之資訊安全控制措施宜持續運作。若安全控制措施無
法繼續保全資訊，宜建立、實作並維護其他控制措施，以維持可接受等級之資
訊安全。
17.1.3 查 證 、 審 查 並 評 估 資 訊 安 全 持 續
控制措施
組織宜定期查證所建立及實作之資訊安全持續控制措施，以確保其於不利情況
期間係生效及有效。
實作指引
不論係於運作上或持續全景上，各項組織、技術、程序及過程之變更，均可能
導致資訊安全要求事項之變更。於此等情況下，宜重新審查資訊安全之過程、
程序及控制措施的持續性，以因應此等變更之要求事項。
組織宜藉由下列方式查證其資訊安全管理持續性。
(a) 演 練 並 測 試 資 訊 安 全 持 續 性 之 過 程 、 程 序 及 控 制 措 施 之 功 能 性 ， 以 確 保 其
與資訊安全持續目標一致。
(b) 演 練 並 測 試 對 運 作 資 訊 安 全 持 續 性 之 過 程 、 程 序 及 控 制 措 施 之 知 識 及 例 行
作業，以確保其效能與資訊安全持續目標一致。
( c ) 當 資 訊 系 統 、 資 訊 安 全 過 程 、 程 序 及 控 制 措 施 或 營 運 持 續 管 理 /災 害 復 原 管
理之過程及解決方案變更時，審查資訊安全持續措施之效度及有效性。
其他資訊
資訊安全持續性控制措施之查證與一般資訊安全測試及查證不同，宜於對變更
事項之測試外執行。若可能，最好能整合資訊安全持續性控制措施之查證與組
織之營運持續或災害復原測試。
17.2 多 重 備 援
目標：確保資訊處理設施之可用性。
CNS 27002, X 6040
－ 68－
17.2.1 資 訊 處 理 設 施 之 可 用 性
控制措施
宜對資訊處理設施實作充分之多重備援，以符合可用性要求。
實作指引
組織宜識別資訊系統可用性之營運要求事項。若無法使用既有系統架構保證可
用性，宜考量使用備援組件或架構。
若可行，宜測試備援資訊系統，以確保由一組件失效至另一組件接管之情況如
預期。
其他資訊
當設計資訊系統時，需考量各項備援之實作可能引入對資訊及資訊系統之完整
性或機密性的風險。
18. 遵 循 性
18.1 對 法 律 及 契 約 要 求 事 項 之 遵 循
目標：避免違反有關資訊安全之法律、法令、法規或契約義務，以及任何安全要
求事項。
18.1.1 適 用 之 法 規 及 契 約 的 要 求 事 項 之 識 別
控制措施
對每個資訊系統及組織，宜明確識別、以文件記錄及保持更新所有相關法律、
法令、法規及契約要求事項，以及組織為符合此等要求之作法。
實作指引
亦宜規定並以文件記錄，符合此等要求事項之特定控制措施及個別責任。
管理者宜識別所有適用於其組織之法規，以符合其營運形式之要求事項。若組
織有在其他國家營運，則管理者宜考量於所有相關國家中之遵循。
18.1.2 智 慧 財 產 權
控制措施
宜實作適切程序，以確保遵循與智慧財產權及專屬軟體產品使用相關之法律、
法令、法規及契約的要求事項。
實作指引
宜考量下列指導綱要，以保護所有可能被視為智慧財產之資材。
(a) 公 布 智 慧 財 產 權 遵 循 政 策 ， 此 政 策 定 義 軟 體 及 資 訊 產 品 之 合 法 使 用 。
(b) 僅 經 由 知 名 且 信 譽 良 好 之 來 源 獲 取 軟 體 ， 確 保 不 違 反 著 作 權 。
(c) 維 持 對 保 護 智 慧 財 產 權 政 策 之 認 知 ， 並 公 告 違 反 政 策 人 員 將 遭 懲 處 。
(d) 維 持 適 切 之 資 產 登 記 ， 並 識 別 所 有 具 備 智 慧 財 產 權 保 護 要 求 之 資 產 。
(e) 維 護 使 用 授 權 、 原 版 碟 片 、 手 冊 等 之 所 有 權 的 證 明 及 證 據 。
( f) 實 作 控 制 措 施 ， 以 確 保 不 超 過 所 有 授 權 內 允 許 之 使 用 人 數 上 限 。
( g) 審 查 是 否 僅 安 裝 經 授 權 軟 體 及 具 使 用 授 權 之 產 品 。
( h) 提 供 維 護 適 切 之 授 權 狀 況 的 政 策 。
(i)
提供銷毀軟體或將軟體轉讓他人之政策。
－ 69－
CNS 27002, X 6040
(j) 遵 循 由 公 眾 網 路 取 得 軟 體 及 資 訊 之 條 款 及 條 件 。
( k) 不 得 於 著 作 權 法 允 許 之 範 圍 外 ， 複 製 、 轉 換 成 另 一 格 式 或 摘 錄 商 業 錄 製 品
(影 片 、 聲 音 )。
(l)
不得於著作權法允許之範圍外，複製全部或部分之書籍、文章、報告或其
他文件。
其他資訊
智慧財產權包括軟體或文件之著作權、設計權、商標、專利及源碼使用授權。
專屬軟體產品之供應通常受規定授權條款及條件的授權協議所限定，例：限制
該產品於所規定機器上使用，或限制僅能於產生備份複本時方可複製。宜對員
工傳達並使其認知，組織所開發軟體之智慧財產權的重要性。
法律、法規及契約要求可能限制專屬資料之複製。尤其是其可能要求僅能使用
由組織所發展之材料，或經開發者授權或提供予組織的材料。侵犯著作權可能
導致法律作為，涉及罰款及刑事訴訟。
18.1.3 紀 錄 之 保 護
控制措施
宜依法令、法規、契約及營運要求保護紀錄，免於遺失、毀損、偽造、未經授
權存取及未經授權發布。
實作指引
決 定 組 織 之 特 定 紀 錄 的 保 護 時，宜 考 量 其 依 據 組 織 分 類 方 案 之 對 應 分 類 。紀 錄 宜
依 其 形 式 分 類 (例 ： 會 計 紀 錄 、 資 料 庫 紀 錄 、 交 易 日 誌 、 稽 核 日 誌 及 運 作 程 序 )，
各 形 式 均 具 詳 細 之 保 存 期 限 及 允 許 之 儲 存 媒 體 形 式 (例 ： 紙 張 、 微 縮 膠 片 、 磁 性
或 光 學 儲 存 媒 體 )。 亦 宜 儲 存 所 有 與 已 加 密 之 歸 檔 或 數 位 簽 章 (參 照 第 10 節 )相 關
聯的相關密碼金鑰及程式，俾於紀錄保存期限內能將紀錄解密。
宜考量用以儲存紀錄之媒體變質的可能性。宜依照製造者建議，實作儲存及處
置程序。
選 定 電 子 儲 存 媒 體 時 ，宜 建 立 確 保 於 整 個 保 存 期 限 ，能 存 取 資 料 之 能 力 ( 媒 體 及
格 式 可 讀 取 性 )的 程 序 ， 以 保 障 不 會 因 未 來 技 術 變 更 而 遺 失 資 料 。
宜選定適當之資料儲存系統，使所要求資料，能依需符合之要求事項，於可接
受時限內，以可接受格式檢索。
適用時，儲存及處置系統宜確保依據國家或區域之法律或法規規定，識別紀錄
及其保存期限。期滿後，若組織不再需要該等紀錄，則此系統宜允許適切的銷
毀該等紀錄。
為符合此等紀錄之保全目標，宜於組織內採取下列步驟。
(a) 宜 發 布 紀 錄 及 資 訊 之 保 存 、 儲 存 、 處 置 及 銷 毀 的 指 導 綱 要 。
(b) 宜 制 定 識 別 紀 錄 及 其 保 存 期 限 之 保 存 期 程 。
(c) 宜 維 護 關 鍵 資 訊 來 源 之 清 冊 。
其他資訊
為符合法令、法規或契約要求，以及支援不可或缺之營運活動，可能需要安全
CNS 27002, X 6040
－ 70－
保存某些紀錄。範例包括依法或監管規則運作之組織，可能被要求做為證據之
紀錄，以確保能對可能之民事或刑事訴訟辯護，或是對股東、外部各方及稽核
人 員 確 認 組 織 財 務 狀 況。國 家 法 律 或 法 規 可 能 設 立 資 訊 保 存 之 期 限 及 資 料 內 容。
關 於 管 理 組 織 紀 錄 之 進 一 步 資 訊 可 參 照 CNS 1 5 4 8 9 -1 。
18.1.4 隱 私 及 個 人 可 識 別 資 訊 之 保 護
控制措施
宜依適用之相關法令、法規中之要求，確保隱私及個人可識別資訊之保護。
實作指引
宜制定並實作組織對隱私及個人可識別資訊之保護的資料政策。此政策宜傳達
予所有涉及處理個人可識別資訊之人員。
遵循此政策以及所有關於人員隱私保護及個人可識別資訊保護之相關法律及法
規，必 須 有 適 切 之 管 理 結 構 及 控 制 措 施。通 常 宜 指 派 諸 如 隱 私 保 護 專 員 (privacy
o ffic e r )之 專 人 負 責，以 達 成 此 目 的，此 人 宜 對 管 理 階 層、使 用 者 及 服 務 提 供 者 ，
提供關於其各自之責任及宜遵照的特定程序之指引。處置個人可識別資訊及確
保隱私原則之認知的責任，宜依據相關法律及法規處理。宜實作適切之技術及
組織措施，保護個人可識別資訊。
其他資訊
CNS 2 9 1 0 0 提 供 資 通 訊 技 術 系 統 內 個 人 可 識 別 資 訊 保 護 之 高 階 框 架 。 若 干 國 家
已 制 定 法 律，對 個 人 可 識 別 資 訊 ( 通 常 係 關 於 個 人 之 資 訊，由 該 資 訊 能 識 別 此 人 )
的蒐集、處理及傳輸採取控制措施。依個別國家法律，此類控制措施可以強制
此等蒐集、處理及傳播個人可識別資訊之個人負起責任，亦可限制向他國移轉
該資料的能力。
18.1.5 密 碼 式 控 制 措 施 之 監 管
控制措施
使用密碼式控制措施，宜遵循所有相關協議、法律及法規。
實作指引
為遵循相關之協議、法律及法規，宜考量下列事項。
(a) 對 執 行 密 碼 功 能 之 電 腦 軟 硬 體 的 進 出 口 設 限 。
(b) 對 設 計 具 有 附 加 密 碼 功 能 之 電 腦 軟 硬 體 的 進 出 口 設 限 。
(c) 對 加 密 之 用 途 設 限 。
(d) 對 於 經 由 軟 硬 體 加 密 以 提 供 內 容 機 密 性 之 資 訊 ， 可 由 國 家 主 管 機 關 以 強 制
或自由裁量的方法存取該資訊。
宜徵詢法律見解，確保遵循相關法律及法規。另將加密資訊或密碼式控制措施
跨越管轄區邊界移動前，亦宜徵詢法律見解。
18.2 資 訊 安 全 審 查
目標：確保依組織政策及程序，實作及運作資訊安全。
18.2.1 資 訊 安 全 之 獨 立 審 查
控制措施
－ 71－
CNS 27002, X 6040
宜依規劃之期間或當發生重大變更時，獨立審查組織對管理資訊安全之作法及
其 實 作 (亦 即 資 訊 安 全 之 各 項 控 制 目 標 、 控 制 措 施 、 政 策 、 過 程 及 程 序 )。
實作指引
管理階層宜啟動獨立審查。為確保組織對管理資訊安全之作法的合宜性、適切
性及有效性能持續，此種獨立審查係必要的。審查宜包括評鑑改進之機會，以
及評鑑變更安全作法之需要。安全作法包含政策及控制目標。
此 種 審 查 宜 由 獨 立 於 受 審 查 範 圍 之 人 員 執 行，例：內 部 稽 核 部 門、獨 立 管 理 人 員
或專門從事此種審查之外部組織。執行此等審查之人員宜具備適切技巧及經驗。
宜記錄獨立審查之結果，並向啟動審查的管理階層報告。宜維護此等紀錄。
若 獨 立 審 查 識 別 出 組 織 對 管 理 資 訊 安 全 之 作 法 及 實 作 不 當，例 ：不 符 合 書 面 記 載
之 目 標 及 要 求 事 項，或 未 遵 循 資 訊 安 全 政 策 所 述 之 資 訊 安 全 指 示 (參 照 5.1.1)，則
管理階層宜考慮採取矯正措施。
其他資訊
I SO/I E C 2 7 0 0 7 [ 資 訊 安 全 管 理 系 統 稽 核 指 導 綱 要 ] 及 I SO/I E C T R 2 7 0 0 8 [ 資 訊 安
全 控 制 措 施 稽 核 員 指 導 綱 要 ]亦 提 供 執 行 獨 立 審 查 之 指 引 。
18.2.2 安 全 政 策 及 標 準 之 遵 循 性
控制措施
管理人員宜以適切之安全政策、標準及所有其他安全要求事項，定期審查其責
任範圍內之安全處理及程序的遵循性。
實作指引
管理人員宜識別如何審查規定於政策、標準及其他適用之法規內之資訊安全要
求事項已符合之方法。為有效率的進行定期審查，宜考慮使用自動化量測及報
告工具。
若審查結果發現任何未遵循事項，管理人員宜採取下列作為。
(a) 識 別 未 遵 循 之 原 因 。
(b) 評 估 是 否 需 採 取 措 施 ， 以 達 成 遵 循 性 。
(c) 實 作 適 切 之 矯 正 措 施 。
(d) 審 查 用 以 查 證 其 有 效 性 ， 並 識 別 所 有 缺 陷 或 弱 點 ， 所 採 取 之 矯 正 措 施 。
宜記錄並維護管理人員執行之審查及矯正措施的結果。當於管理人員之責任範圍
內 進 行 獨 立 審 查 時 ， 管 理 人 員 宜 向 執 行 獨 立 審 查 人 員 報 告 此 等 結 果 (參 照 18.2.1)。
其他資訊
系 統 使 用 之 運 作 監 視 涵 蓋 於 12.4 中 。
18.2.3 技 術 遵 循 性 審 查
控制措施
宜定期審查資訊系統對組織之資訊安全政策及標準的遵循性。
實作指引
技術遵循性之審查宜最好以自動化工具協助，產生後續由技術專家進行解讀之
技 術 報 告。另 一 選 擇 為 可 由 有 經 驗 之 系 統 工 程 師 履 行 人 工 審 查 ( 必 要 時 以 適 切 的
CNS 27002, X 6040
－ 72－
軟 體 工 具 支 援 之 )。
若 使 用 滲 透 測 試 (p enetratio n testing)或 脆 弱 性 評 鑑，宜 謹 慎 為 之，因 該 種 作 為 可
能危及系統安全。該種測試宜經規劃、以文件記錄並可重複。
任 何 技 術 遵 循 性 審 查 宜 僅 限 由 適 任、經 授 權 人 員 執 行，或 於 此 等 人 員 監 督 下 執 行 。
其他資訊
技術遵循性審查涉及檢驗運作之系統，以確保已正確實作硬體及軟體控制措
施。此形式之遵循性審查要求專家技術專業。
遵 循 性 審 查 亦 涵 蓋 (例 ： 可 能 由 因 此 目 的 而 特 別 簽 約 之 獨 立 專 家 執 行 的 )滲 透 測
試及脆弱性評鑑。此於偵測系統中之脆弱性，以及於檢驗控制措施對於防範因
此等脆弱性造成之未經授權存取的效率係有用的。
滲透測試及脆弱性評鑑提供系統於特定時間特定狀態之快照。快照限於滲透試
圖 期 間，對 系 統 實 際 測 試 之 部 分。不 可 以 滲 透 測 試 及 脆 弱 性 評 鑑 取 代 風 險 評 鑑 。
I SO/I E C T R 2 7 0 0 8 提 供 關 於 技 術 遵 循 性 審 查 之 特 定 指 引 。
－ 73－
CNS 27002, X 6040
附錄 A
(參 考 )
CNS 2 7 0 0 1 與 CNS 2 7 0 0 2 詞 彙 對 應
表 A.1
CNS 2 7 0 0 1 與 CNS 2 7 0 0 2 詞 彙 對 應
英文詞彙
CNS 2 7 0 0 1 詞 彙
CNS 2 7 0 0 2 詞 彙
contact
連繫
聯繫
collection
收集
蒐集
d o c ume nted
文件化
以文件記錄
external party users
外部使用者
委外方使用者
physical media transfer
實體媒體傳送
實體媒體運送
secure system engineering
保全系統工程
安全系統工程
secure development environment
保全開發環境
安全開發環境
－ 74－
CNS 27002, X 6040
參考資料
[1] ISO/IEC Directives − P ar t 2
[ 2 ] I SO/I E C 11 7 7 0 -1 I nfo r ma tio n te c hno lo gy Se c ur ity te c hniq ue s − Key management −
P art 1: Framework
[ 3 ] I SO/I E C 11 7 7 0 -2 I nfo r ma tio n te c hno lo gy − Security techniques − Key management
− P art 2: Mechanisms using symmetric technique
[ 4 ] I SO/I E C 11 7 7 0 -3 I nfo r ma tio n te c hno lo gy − Security techniques − Key management
− P art 3: Mechanisms using asymmetric techniqu
[ 5 ] I SO 1 5 4 8 9 -1 I nfo r ma tio n a nd d o c ume ntatio n − Reco r d s management − P ar t 1 :
General
[ 6 ] CNS 2 0 0 0 0 -1 資 訊 技 術 － 服 務 管 理 － 第 1 部 ： 規 格
[ 7 ] CNS 2 0 0 0 0 -2 資 訊 技 術 － 服 務 管 理 － 第 2 部 ： 作 業 規 範
[ 8 ] I SO
22301
So c ie ta l
se c ur ity
−
B usiness
co ntinuity
management
systems
−
Requirements
[ 9 ] I SO 2 2 3 1 3 So c ie ta l se c ur ity − B usiness co ntinuity management systems − Guidance
[ 1 0 ] CNS 2 7 0 0 1 資 訊 技 術 － 安 全 技 術 － 資 訊 安 全 管 理 系 統 － 要 求 事 項
[ 11 ] CNS 2 7 0 0 5 資 訊 技 術 － 安 全 技 術 － 資 訊 安 全 風 險 管 理
[ 1 2 ] I SO/I E C 2 7 0 0 7 I nfo r ma tio n te c hno lo gy − Security techniques − Guid elines fo r
info rmatio n security management systems aud iting
[ 1 3 ] I SO/I E C T R 2 7 0 0 8 I nfo r ma tio n te c hno lo gy − Security techniques − Guid elines fo r
aud ito rs o n info rmatio n security co ntro ls
[ 1 4 ] I SO/I E C 2 7 0 3 1 I nfo r ma tio n te c hno lo gy − Security techniques − Guid elines fo r
info rmatio n and co mmunicatio n techno lo gy read iness fo r b usiness co ntinuity
[ 1 5 ] I SO/I E C 2 7 0 3 3 -1 I nfo r ma tio n te c hno lo gy − Security techniques − Netwo r k security
− P art 1: Overview and concepts
[ 1 6 ] I SO/I E C 2 7 0 3 3 -2 I nfo r ma tio n te c hno lo gy − Security techniques − Netwo r k security
− P art 2 : Guid elines fo r the d esign and imp lementatio n o f netwo r k security
[ 1 7 ] I SO/I E C 2 7 0 3 3 -3 I nfo r ma tio n te c hno lo gy − Security techniques − Netwo r k security
− P ar t 3 : Refer ence netwo r king scenar io s − T hreats, design techniques and control
issues
[ 1 8 ] I SO/I E C 2 7 0 3 3 -4 I nfo r ma tio n te c hno lo gy − Security techniques − Netwo r k security
− P ar t 4 : Secur ing co mmunicatio ns b etween netwo r ks using secur ity gateways
[ 1 9 ] I SO/I E C 2 7 0 3 3 -5 I nfo r ma tio n te c hno lo gy − Security techniques − Netwo r k security
− P ar t 5 : Secur ing co mmunicatio ns acr o ss netwo r ks using Vir tual P r ivate Netwo r k
(VP Ns)
[ 2 0 ] I SO/I E C 2 7 0 3 5 I nfo r ma tio n te c hno lo gy − Security techniques − Info rmation
secur ity incid ent managemen
[ 2 1 ] I SO/I E C 2 7 0 3 6 -1 I nfo r ma tio n te c hno lo gy − Security techniques − Info rmation
security fo r sup p lier relatio nship s − P art 1: Overview and concepts
[ 2 2 ] I SO/I E C 2 7 0 3 6 -2 I nfo r ma tio n te c hno lo gy − Security techniques − Info rmation
－ 75－
CNS 27002, X 6040
security fo r sup p lier relatio nship s − P art 2: Co mmo n requirements
[ 2 3 ] I SO/I E C 2 7 0 3 6 -3 I nfo r ma tio n te c hno lo gy − Security techniques − Info rmation
security fo r sup p lier relatio nship s − P art 3: Guidelines fo r ICT supply chain
security
[ 2 4 ] I SO/I E C 2 7 0 3 7 I nfo r ma tio n te c hno lo gy − Security techniques − Guid elines fo r
id entificatio n, co llectio n, acq uisitio n and p r eservatio n o f d igital evid ence
[ 2 5 ] CNS 2 9 1 0 0 資 訊 技 術 － 安 全 技 術 － 隱 私 權 框 架
[ 2 6 ] I SO/I E C 2 9 1 0 1 I nfo r ma tio n te c hno lo gy − Security techniques − P r ivacy architectur e
fr amework
[ 2 7 ] CNS 3 1 0 0 0 風 險 管 理 － 原 則 與 指 導 綱 要
CNS 27002, X 6040
－ 76－
名詞對照
−A−
access control
存取控制
access right
存取權限
acco untab ility
可歸責性
agreement
協議
aggr egation effect
聚合效應
ap p licatio n
應用；應用系統；應用程式
acq uisitio n
獲取
archiving
封存；歸檔
asset
資產
aud it
稽核
aud it trail
稽核存底
authenticatio n
鑑別
authenticity
真確性
availab ility
可用性
awareness
認知
−B−
b a c k-up
備份
b io me tr ic
生物量測學
breach
危害；違反；破壞；損壞
b usiness co ntinuity
營運持續
−C−
chain of custody
監管鏈
challenge/resp o nse
詰 問 ⁄回 應
check
核 對 ； 檢核； 檢 查 ； 查 核
classification
分級
clear desk
桌面淨空
clear screen
螢幕淨空
c o d e o f c o nd uct
行為規範
compiler
編譯器
comp liance
遵循；遵循性
co mp r o mise
破解；違反；危害
co nfid entiality
機密性
co nfid entiality agreement
保密協議
control
控制；控制措施
console
控制台
－ 77－
CNS 27002, X 6040
contigency plan
應變計畫
contractor
約用人員
c o p yr ight
著作權
countermeasur e
對策
credential
信符
cryp togr aphic control
密碼式控制措施
cryp togr aphy
密碼學
− D−
denial of service
阻絕服務
d iscip linary
懲處
d isp o sa l
汰除；作廢
− E−
eavesdropping
竊聽
electronic data interchange(EDI)
電子資料交換
emanation
溢波
escalation
提報
event
事件
evidence
證據
−F−
facility
設施
failsafe
失效安全
fall-b ack
後撤
fault
失誤
fr aud ulent
詐欺
−G−
gener ic
通用
guid eline
指導綱要
−H−
ho ax
惡作劇程式
human r eso ur ces
人力資源
id entificatio n
識別
incid ent
事故
info rmatio n security
資訊安全
impact
衝擊
imp lementatio n
實作
info rmatio n security management system, ISMS
資訊安全管理系統
integr ity
完整性
intellectual p r o p erty right, IP R
智慧財產權
−I −
CNS 27002, X 6040
internet service p r o vid er, ISP
－ 78－
網際網路服務提供者
− K−
key management
金鑰管理
− L−
lab el
標籤
liab ility
賠償責任
lightning p r o tectio n filter
避雷濾波器
lo g
日誌；存錄
lo gging
存錄
− M−
mailing list
郵寄清單
maintain
維持；維護
malicio us co d e
惡意碼
meta-d ata
詮釋資料
mirror image
鏡像
mis-r o uting
誤選路
misuse
誤用
mo b ile c o d e
行動碼
mo nito r
監視
− N−
need-to-know principle
僅知原則
need-to-use principle
僅用原則
no n-r ep ud iatio n
不可否認性
− O−
o ff-site
場外
o n-site
現場
o p e r a tio n
運作；作業；操作
o rganizer
記事本
o ve r r id e
篡越
o wner
擁有者
−P −
p a sswo r d
通行碼
patch panel
配線盤
penetration testing
滲透測試
performanc e
績效；效能
plausibility
合理性
p o licy
政策
p r e -e mp lo yment p r o c e ss
職前過程
premise
場所
－ 79－
CNS 27002, X 6040
preservation
保存
privacy officer
隱私保護專員
p r ivilege
特權
p r o c e ss
過程；處理
p r o c e d ur e
程序
p r o file
剖繪
p r o gr a m l i b r a r y
程式館
p r o gr a m so ur c e c o d e
程式源碼
program so ur ce library
源程式館
− R−
reco nciliatio n co ntro l co unt
一致性控制計數
r e c o ver y
復原
registration
註冊
reliab ility
可靠度
r emo vab le med ia
可移除式媒體；抽取式媒體
resp o nsib ility
責任
resump tio n
再續
review
審查
risk
風險
risk analysis
風險分析
r isk assessment
風險評鑑
risk evaluation
風險評估
r isk management
風險管理
risk treatment
風險處理
role based access control, RB AC
角色式存取控制
ro llb ack
還原
r o uting
選路
− S−
sabotage
蓄意破壞
safeguard
保護措施
service level agreement
服務水準協議
service level pcck
服務包
session
會談；會談期；期間
single sign on, SSO
單一登入
site
場域；站
slack sp ace
鬆弛空間
smart card
智慧卡
sniffer
網路分析器
－ 80－
CNS 27002, X 6040
so ur ce code
源碼
so ftwar e p atch
軟體修補程式
spot check
抽查
stakeholder
利害相關者
standing data
固定資料
store and forward
存轉
sub-supplier
分包者
system routine
系統常式
swap file
騰換檔案
−T−
tamper-evident
破壞存跡
tape library
磁帶館
telewo rk
遠距工作
terms and co nd itio ns
條款及條件
trusted third p arty
受信賴第三方
threat
威脅
time-o ut facility
逾時設施
to ken
符記
transactio n
交易
−U−
公用設施；公用程式
utility
−V−
valid atio n
確認
vand alism
惡意毀損
ver ificatio n
查證
visib ility
能見度
vir tual p r ivate netwo r k, VP N
虛擬私有網路
vo ice mail
語音郵件
vulnerab ility
脆弱性
−W−
warning b ulletin
警示公告
weakness
弱點
wir e tap p ing
搭線監聽
相對應國際標準
I SO/I E C 2 7 0 0 2 :2 0 1 3 I nfo r ma tio n te c hno lo gy – Se c ur ity te c hniq ue s – Co d e o f p r a c tic e
fo r info rmatio n security co ntro ls