资讯资产管理程序书中州科技大学.doc

管理系統文件文件類別第二階文件文件編號ISMS-P-003文件名稱資訊資產管理程序書發行單位文件管制小組發行日期103年12月01日版次A訂修廢單位審查核准資通安全處理小組（原版簽名頁保存於文件管制小組）訂修廢記錄版次發行日期訂修廢內容摘要A103/12/01初版發行目的為促使本校各項資訊資產之分類、分級、評價、標示及處理之管理有一明確規範，確保執行各項資訊資產管理之作業均能滿足本校之需求，避免因人為疏失、蓄意或自然災害等風險所造成之傷害，特制定本程式書。適用範圍凡本校各項資訊資產之管理，均適用本程序書。參考文件中華民國國家標準CNS27001資訊安全管理系統－控制要項。ISMS-P-001文件與紀錄管理程序書。ISMS-P-010人力資源安全管理程序書。ISMS-P-011實體與環境安全管理程序書。名詞定義資訊資產管理單位對該項資訊資產具有判斷資產價值、決定存取權限或新增、刪除、修改權限，以及執行資訊資產日常保護、異動與維護之作業，同時也是資訊資產的擁有單位。資訊資產使用單位以實際或邏輯方式使用該項資訊資產之人員，對於被授權使用資產之單位或人員，應依各項安全程序正確使用操作資產。資產價值（資產鑑價C、I、A）機密性（Confidentiality，簡稱C）：確保只有經過授權的人才能存取資訊（使資訊不可用或不揭露給未經授權之個人、個體或過程的性質）。完整性（Integrity，簡稱I）：保護資訊及其處理方法的準確性（accuracy）和完整性（completeness）的性質。可用性（Availability，簡稱A）：確保經授權的使用者，在需要時可以隨時存取資訊並使用相關資訊資産。作業內容資訊資產管理流程圖作業流程權責單位相關表單權責單位資訊資產管理單位資通安全處理小組資通安全管理委員會資訊資產清冊資訊資產管理單位資訊資產清冊資訊資產管理單位資訊資產清冊資訊資產管理單位資通安全管理委員會資訊資產清冊資訊資產管理單位資訊資產清冊各需求單位資訊資產管理單位資訊資產清冊資訊資產管理單位資訊資產清冊相關業務承辦人員資訊資產清冊資訊資產驗收各項資訊資產之驗收，由權責單位依據本校相關之驗收程序辦理驗收作業。資訊資產鑑別各項資訊資產之管理單位應鑑別所管轄之資訊資產，並建立「ISMS-P-003-01資訊資產清冊」。各項資訊資產管理單位應定期更新與維護所管轄之「ISMS-P-003-01資訊資產清冊」。資訊資產清單由各資訊資產管理單位提供，「資通安全處理小組」負責彙整，並陳報至「資通安全管理委員會」統一控管，以確保資訊資產編號及清單之完整性。資訊資產分類與分級資訊資產分類依資訊資產之價值、對組織運作的關鍵程度或依其可用性和完整性進行分類。資訊資產分為五大類，分別為：人員類、資訊類、硬體類、軟體類、環境保護類，各分類說明如下：大分類小分類範例人員類（People/PE）編制內人員正式編制人員、臨時人員、工讀生、專案人員、委外承包廠商……等。臨時鐘點人員廠商駐點人員委外廠商資訊類（Information/IF）作業文件資料庫與資料檔案、備份資料、原始程式碼、網路架構圖、系統文件、操作或支援程序、使用手冊、教育訓練教材、管理制度文件、緊急應變&復原計畫、營運持續計劃（BCP）、稽核日誌、合約與協議、報表、表單記錄……等。系統文件合約資訊紀錄（電子/紙本）系統紀錄（Log）硬體類（Hardware/HW）個人電腦一般硬體：包含電腦設備（伺服器、筆記型電腦、個人電腦、工作站）、CD/DVD燒錄器、CD/DVD光碟機、磁帶機、軟碟機、投影機、PDA、印表機……等。通訊設備：集線器、橋接器、網路交換器、路由器、數據機、電話自動交換機（PBX）、網路纜線、防火牆、入侵偵測系統、視訊會議設備、傳真機、手機。儲存媒體：CD/DVD（空白）、硬碟（無資料）、磁片（空白）、磁帶（空白）、移動式硬碟（空白）、錄音/影帶（無資料）……等。可攜式電腦伺服器資安設備網路設備可攜式儲存媒體電腦保護設施其他硬體軟體類（S