资讯资产管理程序书-中州科技大学.doc

中州科技大學 Chung Chou University of Science and Technology文件編號ISMS-P-003文件名稱資訊資產管理程序書機密等級內部使用版　　次A頁次 PAGE 15 /  NUMPAGES 15 管理系統文件 文件類別第 二 階 文 件文件編號ISMS-P-003文件名稱資訊資產管理程序書發行單位文 件 管 制 小 組發行日期103年12月01日版次A訂修廢單位審 查核 准資通安全處理小組 （原版簽名頁保存於文件管制小組）  訂 修 廢 記 錄版次發行日期訂 修 廢 內 容 摘 要A103/12/01初版發行目的 為促使本校各項資訊資產之分類、分級、評價、標示及處理之管理有一明確規範，確保執行各項資訊資產管理之作業均能滿足本校之需求，避免因人為疏失、蓄意或自然災害等風險所造成之傷害，特制定本程式書。 適用範圍 凡本校各項資訊資產之管理，均適用本程序書。 參考文件 中華民國國家標準CNS 27001資訊安全管理系統－控制要項。 ISMS-P-001文件與紀錄管理程序書。 ISMS-P-010人力資源安全管理程序書。 ISMS-P-011實體與環境安全管理程序書。 名詞定義 資訊資產管理單位 對該項資訊資產具有判斷資產價值、決定存取權限或新增、刪除、修改權限，以及執行資訊資產日常保護、異動與維護之作業，同時也是資訊資產的擁有單位。 資訊資產使用單位 以實際或邏輯方式使用該項資訊資產之人員，對於被授權使用資產之單位或人員，應依各項安全程序正確使用操作資產。 資產價值（資產鑑價C、I、A） 機密性（Confidentiality，簡稱C）： 確保只有經過授???的人才能存取資訊（使資訊不可用或不揭露給未經授權之個人、個體或過程的性質）。 完整性（Integrity，簡稱I）： 保護資訊及其處理方法的準確性（accuracy）和完整性（completeness）的性質。 可用性（Availability，簡稱A）： 確保經授權的使用者，在需要時可以隨時存取資訊並使用相關資訊資産。 作業內容 資訊資產管理流程圖 作業流程權責單位相關表單權責單位資訊資產管理單位 資通安全處理小組 資通安全管理委員會資訊資產清冊資訊資產管理單位資訊資產清冊資訊資產管理單位資訊資產清冊資訊資產管理單位 資通安全管理委員會資訊資產清冊資訊資產管理單位資訊資產清冊各需求單位 資訊資產管理單位資訊資產清冊資訊資產管理單位資訊資產清冊相關業務承辦人員資訊資產清冊資訊資產驗收 各項資訊資產之驗收，由權責單位依據本校相關之驗收程序辦理驗收作業。 資訊資產鑑別 各項資訊資產之管理單位應鑑別所管轄之資訊資產，並建立「ISMS-P-003-01資訊資產清冊」。 各項資訊資產管理單位應定期更新與維護所管轄之「ISMS-P-003-01資訊資產清冊」。 資訊資產清單由各資訊資產管理單位提供，「資通安全處理小組」負責彙整，並陳報至「資通安全管理委員會」統一控管，以確保資訊資產編號及清單之完整性。 資訊資產分類與分級 資訊資產分類 依資訊資產之價值、對組織運作的關鍵程度或依其可用性和完整性進行分類。資訊資產分為五大類，分別為：人員類、資訊類、硬體類、軟體類、環境保護類，各分類說明如下： 大分類小分類範例人員類 （People / PE）編制內人員正式編制人員、臨時人員、工讀生、專案人員、委外承包廠商……等。臨時鐘點人員廠商駐點人員委外廠商資訊類 （Information / IF）作業文件資料庫與資料檔案、備份資料、原始程式碼、網路架構圖、系統文件、操作或支援程序、使用手冊、教育訓練教材、管理制度文件、緊急應變復原計畫、營運持續計劃（BCP）、稽核日誌、合約與協議、報表、表單記錄……等。系統文件合約資訊紀錄 （電子/紙本）系統紀錄（Log）硬體類 （Hardware / HW）個人電腦一般硬體：包含電腦設備（伺服器、筆記型電腦、個人電腦、工作站）、CD/DVD 燒錄器、CD/DVD光碟機、磁帶機、軟碟機、投影機、PDA、印表機……等。 通訊設備：集線器、橋接器、網路交換器、路由器、數據機、電話自動交換機（PBX）、網路纜線、防火牆、入侵偵測系統、視訊會議