9、系统复原计画制度及测试程序之控制作业CC-10900.doc

柒、電腦作業與資訊提供：CC-10000  目　　　錄 一、 資訊處理部門之功能及職責劃分：CC-10100 3 二、 系統開發及程式修改之控制作業：CC-10200 7 三、 編製系統文書之控制作業：CC-10300 13 四、 程式及資料存取之控制作業：CC-10400 16 五、 資料輸出入之控制作業：CC-10500 22 六、 資料處理之控制作業：CC-10600 27 七、 檔案及設備之安全控制作業：CC-10700 31 八、 硬體及系統軟體之購置、使用及維護之控制作業：CC-10800 36 九、 系統復原計畫制度及測試程序之控制作業：CC-10900 40 十、 資通安全檢查之控制作業：CC-11000 44 十一、 向主管機關指定網站進行公開資訊申報控制作業：CC-11100 49  資訊處理部門之功能及職責劃分：CC-10100 編　號 作業項目 作　業　程　序　及　控　制　重　點 依據資料 CC-10100 資訊處理部門之功能及職責劃分 作業程序： 資訊單位之組織及功能 資訊單位為非隸屬使用者單位之獨立單位，統籌全公司資訊管理有關事項，負責公司資訊系統之規劃、推行、維護、管理及支援作業。 資訊系統之資料來源及使用則為各使用單位，資訊單位人員不負責資訊系統之資料來源、核准及使用。 資訊服務單位人員及系統使用者權限定義： 系統管理員（經理及職務代理人）：檢視系統環境，確認程式於正式工作區之使用狀況。 程式設計師：負責程式開發及維護。 系統使用者：將資料輸入資訊系統、查詢及表單列印功能。 資訊單位人員工作執掌說明 資訊作業制度之訂定與維護。 統籌作業系統及應用系統之規劃、開發事宜。 使用者帳號密碼管理作業。 使用者權限設定作業。 資料輸出／入管制作業。 系統復原之規劃與執行。 電腦軟／硬體設備之管理作業。 系統監控作業。 事件通報及處理作業。 委外廠商評估、聯繫及監控作業。 使用單位權責 確保業務作業流程與電腦處理流程一致。 應對實際作業環境之資料負全責，即正確操作電腦系統以確保資料之正確性及完整性。 提出電腦化需求。 對上述需求提供進一步資料及詳細說明。 準備相關測試個案及測試資料。 進行系統測試。 配合修改與電腦化後之相關作業控制制度、控管重點。 提出系統維護需求。 協助評估各項電腦系統作業之績效。 監控委外廠商所提供之服務。 資訊單位人員之聘用與教育訓練 資訊人員之聘用、工作及任務指派應依其職務需求，審慎評估人員之適任性。 若資訊人員能力或經驗不足時，應以內部訓練方式或尋求外部訓練課程培訓資訊人員，以加強其專業能力。 控制重點： 資訊單位之組織及功能 資訊處理單位之組織功能應基於職能適當分工，訂定權責分工及職務說明，並規劃適當之職務代理人。 資訊處理單位內各單位職掌設計，應避免不同單位權責重疊現象。 資訊單位人員工作執掌說明 資訊處理單位與業務單位之權責應明確劃分。 資訊作業人員應填具保密切結書；離職時應取消其識別碼，並收繳其通行證、卡及相關證件。 資訊單位人員之聘用與教育訓練 應定期（每年至少一次）對全公司員工辦理資訊安全宣導講習（例如：防毒、資料備份、使用合法軟體及電子郵件使用規定等），並留存紀錄。 法令規章： 證券暨期貨市場各服務事業建立內部控制制度處理準則 第九條 台期（稽）字第09300034210號 台財證字第0930115938號函 使用表單： 無 系統開發及程式修改之控制作業：CC-10200 編　號 作業項目 作　業　程　序　及　控　制　重　點 依據資料 CC-10200 系統開發及程式修改之控制作業 作業程序： 系統開發控制作業 系統開發由使用單位填寫系統開發/程式修改申請單提出需求。 系統開發申請需經相關權責主管核准。 經資訊單位評估使用單位實際作業需求，確認可行且有開發新系統必要時，由資訊單位以簽呈方式提出，於簽呈中闡述系統開發之初步評估結果。 依核決權限表之規定送請相關主管會簽。 判定是否由資訊單位自行開發或外購軟體由委外廠商執行系統開發作業。 新系統開發應將設備容量規格考慮在內，以避免容量不足而導致電腦當機或系統無法執行之情形發生。 經權責主管核准以外購方式或委外開發取得之系統，由資訊單位視需要與使用單位討論，確認實際需求後作成系統規格，交由採購單位依公司之採購及付款循環之相關作業辦理公開招標或直接進行採購。 資訊單位應評估使用單位實際作業需求，確認可行且有開發新系統必要，簽呈送請相關主管會簽，判定是否執行系統開發作業。 成立專案小組自行開發 經評估規模較小或資訊單位內部人力資源足以勝任之系統開發需求，簽呈由權責主管核准後，由資訊單位自行編成開發專案小組進行開發。 由系統開發人員與申請單位進行討論瞭解細部需求，除應留存各階段會議記錄外，並須編製系統規格