实体与环境安全管理程序书.doc

管理系統文件 文件類別 第 二 階 文 件 文件編號 ISMS-P-011 文件名稱 實體與環境安全管理程序書 發行單位 文 件 管 制 小 組 發行日期 103年12月01日 版次 A 訂修廢單位 審 查 核 准 資通安全處理小組 （原版簽名頁保存於文件管制小組） 訂 修 廢 記 錄 版次 發行日期 訂 修 廢 內 容 摘 要 A 103/12/01 初版發行 目的 為促使本校實體與環境安全之防護，有一明確之規範，以避免資訊、資產遭未經授權存取、損害與干擾，而影響業務正常運作，特制定本程序書。 適用範圍 凡本校實體與環境安全之管理，均適用本程序書。 參考文件 ISMS-P-016資訊設備維護與管理程序書。 ISMS-P-009資訊安全事件管理程序書。 ISMS-P-008矯正及預防管理程序書。 名詞定義 一般區域：本校實體範圍內，除管制區域之外的辦公場所。 管制區域：本校實體範圍內，用以存放關鍵或敏感性營運資訊、資產的場所，如資訊機房、倉儲庫房等等。 作業內容 實體與環境安全管理流程圖 作業流程 權責單位 相關表單 資通安全處理小組 資通安全處理小組 管制區域管理人員 管制區域門禁使用登記表 管制區域進出管制登記表 管制區域檢查表 資通安全處理小組 資通安全處理小組 管制區域管理人員 資訊系統管理人員 相關業務承辦人員 管制區域檢查表 系統主機安全檢查表 辦公區域安全檢查表 個人電腦安全檢查表 資通安全處理小組 相關業務承辦人員 規劃一般區域及管制區域 本校將所管轄之區域區分為一般區域及管制區域。 一般區域為本校除資訊機房外之辦公作業環境。 管制區域為本校委外代管設備機房及辦公室資訊機房，提供資訊資產安全控管及防護，以確保資訊資產機密性、完整性及可用性，降低資訊安全事件之發生。 一般區域及管制區域之安全作業規範，應透過適當方式傳達給具有進入一般區域及管制區域需求的人員知悉，並使其確實遵守。 訂定區域管制規定 一般辦公區域作業 非本校人員欲進入其辦公區域，須經主管同意後始可進入。 本校全體員工需保持警覺，留意辦公環境陌生人員出入狀況，若有非授權進入須馬上出面制止。 未經許可，不得於本校辦公區域內使用錄音、錄影或具有照相功能之資訊設備。 「密」等級（含）以上之資訊，應採取辦公桌面的淨空政策，以減少機密及敏感資訊遭未被授權的人員取用、遺失或是被破壞的機會。 「密」等級（含）以上之資訊，不使用或下班時應存放在櫃子內並上鎖。 列印或傳真「密」等級（含）以上之資訊時，作業完成後應立即從印表機或傳真機取走。 個人電腦應設定螢幕保護程式，於電腦暫時無人使用時自行啟動，並設定密碼保護。自行啟動螢幕保護程式的時間設定不應超過10分鐘。 辦公區域環境內嚴禁抽煙。 辦公區域環境內應置放適當之消防設備，設備存放環境應保持淨空，並檢測以確保可用。 應在一般辦公區域設置收發及裝卸區，以進行物料的收發及裝卸作業。 管制區域的保護 為確保管制區域內各項資訊設備之安全，應採用門禁系統或鑰匙做為門禁管制，並將門禁或鑰匙使用權限登錄於「ISMS-P-011-01管制區域門禁使用登記表」進行控管，以控管管制區域的通行權限。 無門禁鑰匙者（如：廠商、訪客等），因業務需要進入管制區域，須由專人陪同進入。進入管制區域時須於「ISMS-P-011-02管制區域進出管制登記表」登錄；若須將資訊設備攜入或攜出，亦須於「ISMS-P-011-02管制區域進出管制登記表」註明攜帶物品及用途。 管制區域內應設置適切之環境監控及防護設施（包括：電力供應系統、溫濕度空調系統、消防系統、監視系統、門禁管制系統），並留下監控及維護紀錄，以提供安全的作業環境，確保資訊安全事件發生時能夠及時處理，避免事態擴大。 管制區域內門禁管制系統與監視系統之電子紀錄須適當保護，並定期查核以確定沒有異常情況。 管制區域內執行例行性查核、設備維護及任何異動（變更）作業均須留下紀錄並定期查核，確保各項作業均被授權執行。 管制區域內資訊設備存放之機櫃，須保持上鎖狀態，其因維護或查核需要開鎖時，應維持最短時間之開鎖狀態，鑰匙須妥善保管。 管制區域內物件的擺置應單純化，進入管制區域人員應保持地板的清潔，並禁止下列之行為： 禁止飲食、放置飲料食物及存放私人物品。 禁止喧嘩、嬉戲、吸煙、奔跑等不安全動作。 不得隨意觸碰、破壞、任意移動或佔用機房內相關之資訊設備與公用設施。 應保持環境整齊及清潔，