第一篇 資訊安全
第一章 資訊安全目標
第二章 資訊安全組織及權責
第三章 資訊安全政策
（一）軟體安全政策：應用軟體開發前應檢討安全規劃；正式使用前，應檢討安全措施。
（二）資料安全政策：資訊系統之資料應定期備份並異地儲存；設備報廢前應移除資料及軟體。
（三）實體與環境安全政策：本行辦公區域及管制區域等應注意各項處理資訊業務之安全要求。
（四）網路安全政策：機敏資料交換和傳輸時，應考量相關保密措施。
（五）外部單位管理安全政策：資訊業務委外應鑑別其風險，並適時監督與審查。
（六）員工管理安全政策：本行人員應充分瞭解並遵守資訊安全政策。
（七）資訊資產管理安全政策：重要資訊資產應指定專人妥慎管理並定期進行風險評鑑，據以實施適當防護措施。
（八）資訊存取控制安全政策：各資訊系統應依工作權責，訂定存取資料之權限。
（九）業務持續運作安全政策：應發展與維持業務持續運作計畫，以迅速恢復業務正常運作。
（十）電腦化作業內部查核安全政策：定期執行電腦化作業內部查核，以確保所有要求均適當執行。
（十一）法令遵循安全政策：定期檢討本行資訊業務適用之法律、命令、行政規則、契約義務及安全要求，並予以遵行。
（一）資訊安全管理之稽核結果。
（二）主管機關及外部機關之查核意見。
（三）改進資訊安全管理有效性之技術、產品或程序。
（四）預防與矯正措施之辦理情形。
（五）前次風險評鑑未適切提出之脆弱性或威脅。
（六）資訊安全控管之有效性量測結果。
（七）前次決議事項之辦理情形。
（八）可能影響資訊安全管理制度之重大變更。
（九）本行相關單位所提供之改進建議。
（十）其他有關事項。
（一）資訊安全管理有效性之改進。
（二）風險評鑑與風險處理計畫之更新。
（三）為因應可能影響資訊安全管理制度之內部或外部事件，必要時，應修訂影響資訊安全之流程。
（四）資訊資源之調配。
（五）控制措施量測方法之改進。
（六）其他有關事項。
第四章 資通安全事件通報暨處
十七、 本行資通安全事件之通報程式如下：
（一）本行資訊系統管理者、維護者、使用者及其他有關人員，無論於上班時間或非上班時間，若發現任何資訊作業異常或資通安全可疑事件時，應立即通報所屬單位之資通安全聯絡人員，說明問題現象以及發生時間、發生地點、與可能來源等。
（二）所屬單位之資通安全聯絡人員，應即通報「資通安全處理小組」召集人（資訊處處長）或其代理人。小組召集人若確認為資安事件應即進行資安事件處理。
（三）資通安全事件應依資通安全事件分級原則，判斷資通安全事件等級。三級及以上之資通安全事件，應向督導之副總裁報告事件狀態，包括事件影響範圍、程度、估計損失、預計處理時間及處理方式，並依行政院資通安全會報規定通報。
十八、 資通安全事件應依下列程式儘速處理：
（一）應儘速採取措施，消除該事件對本行的影響，恢復本行資訊系統正常運作。
（二）負責處理人員應將事件證據予以保留，進行資安事件排除。
（三）資安事件若無法立即排除，「資通安全處理小組」召集人依據資通安全事件影響層面，考量需否？動異地備援機制，並向督導副總裁報告。
（四）若需動異地備援機制，則協調相關人員依照各資訊系統災害復原計畫及持續營運計畫進行事件排除與復原。
（五）確認資通安全事件處理完畢，應由「資通安全處理小組」通知相關人員。三級及以上之資通安全事件，並應向督導之副總裁陳報辦理情形。
（六）處理人員應將資通安全事件之處理方式、處理時間、影響範圍、處理結果等，詳實記錄於「資通安全事件通報處理紀錄單」，並依事件等級由「資通安全處理小組」召集人或副總裁核定後歸檔備查。
第二篇 資訊業務作業原則
第一章 系統開發暨維護
第二章 資訊操作
四十五、 儲存資料媒體的管理應注意：
（一）各式備份儲存媒體，如磁帶、磁片、光碟片等，應標示媒體編號或用途並依製造廠商提供的保存規格，存放在安全環境。
（二）儲存媒體應存放於上鎖之磁帶櫃或獨立門禁管制，以防範人員未經授權擅自存取。借調儲存媒體，應經主管同意後方可取用。
（三）儲存媒體欲攜出辦公場所時，需經核可後始得為之，並應予記錄以備查核。
（四）媒體運送時，應指定人員負責運送，以防止運送過程中受損或遺失。須設簿供運送人員核對，核對紀錄應保留一年。
（五）若透過實體媒體進行資訊交換應確認儲存媒體是否適當封裝，並確保在運送過程中，不致因碰撞而影響資料處理。
（六）備份儲存媒體應由媒體保管人員至少每年一次核對其實體數量與書面紀錄是否一致，如不一致，應儘速通報相關單位並查明原因。
（七）儲存媒體已達保存期限或不堪使用，應依據媒體特性進行銷毀，惟資料未達保存年限者，則應先予以轉存，並由資訊處會同相關單位監辦報廢媒體之銷毀。
第三章 實體管理
第四章 網路管理
第五章 外部單位管理
第六章 員工管理
第七章 資訊資產管理
第八章 資訊存取控制
第九章 業務持續運作
第十章 電腦化作業內部查核
第十一章 法令遵循
第三篇 資訊業務作業程式
第一章 CBCLAN資訊風險管理
第一節 資訊資產清冊維護
第二節 風險評鑑
（一）新增實體設備、軟體、資料、文件或實體環境有重大異動。
（二）採用無法適用原有控管措施的高風險資訊技術。
（三）新增業務項目。
（四）業務或資訊作業流程重大改變。
（五）組織架構與人員重大異動。
（六）資訊系統架構異動。
（七）其他資訊環境重大改變。
一百四十、 風險評鑑之程式如下：
（一）進行資訊資產蒐集、彙整與群組分類。
（二）分析威脅及弱點：
1.列示各資訊資產群組可能遭受的威脅及可利用之弱點。
2.參考「CBCLAN資訊資產威脅列表說明」條列威脅，依據「CBCLAN資訊資產威脅定義表」考慮該威脅發生之頻率及機率給予權值。
3.參考「CBCLAN資訊資產弱點值判定標準表」，考慮該弱點被威脅利用之難易程度，該弱點之控管現狀及強度，加以評估。
（三）分別依資訊資產之機密性、完整性、可用性可能造成的衝擊，評定其價值。參考「CBCLAN資訊資產分類分級表」，分別給予各資訊資產群組適當權值。
（四）計算風險權值之公式為：資訊資產風險權值 =資訊資產價值權值 ×弱點權值 ×威脅權值。
（五）資訊資產價值權值最高為 4，最低為 1；弱點權值最高為3 ，最低為 1；威脅權值最高為 3，最低為 1。根據此一計算模型，資訊資產風險值最高為36、最低為 1。
（六）除上述各類資訊資產群組風險權值計算外，影響整體資訊安全管理制度運作之要素，其風險權值判斷標準如下：
1.已完全遵循者，風險權值為 1。
2.部份遵循者，風險權值為18。
3.完全未遵循者，風險權值為36。
一百四十二、 風險處理計畫之編製，並依下列原則辦理：
（一）風險值高於可接受風險水準者為高風險項目，資訊處應將高風險項目列出，並編製風險處理計畫。反之，則依循現有控管機制運作。
（二）風險處理計畫，應針對高風險項目強化現有控管措施、或增加新的控管措施，並依下列原則辦理：
1.增加新的安全控管或強化現有程序以避免風險發生。
2.委外或保險以轉移風險。
3.提昇認知，抑制風險以降低威脅。
4.提昇資產的可靠度以減少弱點。
5.降低可能之衝擊與影響。
6.加強偵測不正常事件，適時處理復原。
（三）資訊處應針對各高風險項目與負責處理單位進行改善方案確認，並訂定預計完成日期。負責單位應於預計完成日前以公文知會資訊處改善狀況以利後續追蹤。
第三節 資訊安全目標管理
第四節 安全控管之有效性量測
第二章 應用系統開發維護及廢止
第一節 應用系統開發
一百五十二、 系統開發之推動程式如下：
（一）由業務單位依實際需求列示，檢附說明文件，註明希望完成日期，送系統開發單位據以進行可行性研究。
（二）應用系統開發計畫經核定後，應依計畫編組「專案計畫工作小組」（以下簡稱專案小組）負責計畫之執行，小組成員應包含使用人員、稽核人員及系統開發人員。
（三）專案小組應指定計畫主持人一人，負責該計畫之規劃、推展、進度管制及事務協調等事宜。
（四）計畫實施中，應定期舉辦系統檢討會，向單位主管提出工作報告，並應做成會議紀錄，或填製「資訊業務備忘錄」，於陳核後歸檔存查。
（五）應用系統開發過程之各項協調事宜，應做成會議紀錄，或填製「資訊業務備忘錄」陳核後歸檔存查。
（六）系統開發各項工作之權責劃分，悉依本行分層負責明細表辦理。
（七）應用系統之開發應依下列階段進行：
1.現況調查。
2.系統分析。
3.概要設計。
4.詳細設計。
5.程式製作。
6.系統測試。
7.系統轉換。
8.正式作業。
一百五十五、 概要設計作業如下：
（一）概要設計應完成下列設計工作：
1.電腦作業之系統範圍。
2.電腦作業之系統架構及程式模組功能。
3.電腦作業之檔案架構及資料內容。
4.電腦作業之安全控制及帳務稽核。
5.電腦作業之備援措施。
（二）設計使用者存取控管機制應注意：
1.通行碼設定及更改機制應力求完整週延。
2.使用者通行碼應以加密方式儲存於資料庫中，此加密方式不得洩露給指定人員以外之人員。
3.使用者登入時，應即顯示該使用者上次登入的日期、時間及狀態。
4.使用者通行碼之異動應予記錄。
（三）對「主管授權」及「錯誤衝正」交易，應每日提供主管授權及錯誤衝正交易清單。
（四）概要設計結果應提報概要設計說明會，經專案小組確認。
（五）經確認之概要設計結果，為驗收系統之依據。
一百五十六、 詳細設計作業如下：
（一）詳細設計應完成下列設計工作：
1.電腦作業之系統結構。
2.各程式之「程式說明書」。
3.各檔案之「檔案說明書」。
4.各項交易輸入憑證、表單。
5.各項資訊輸出表單、帳冊。
6.連線作業之網路架構。
7.整批作業處理流程圖。
8.測試計畫。
9.備援計畫。
10.電腦作業後之人工配合事項。
（二）詳細設計完成，應整理下列報表，憑以分派工作進行程式製作。
1.「程式編寫工作分派表」。
2.「檔案一覽表」。
3.「報表帳冊一覽表」。
4.程式製作工作詳細進度表。
（三）詳細設計完成後，應依實際規劃結果，檢討原發展計畫之進度，倘有重新調整進度之需要時，應陳報單位主管核可後調整之。
一百五十七、 程式製作作業如下：
（一）程式製作應依「程式說明書」撰寫程式。
（二）程式製作階段，遇有程式功能、檔案內容、表單格式等詳細設計之內容變更時，應填製「資訊業務備忘錄」，送有關工作人員週知。
（三）程式製作階段，應包含各程式之單體測試（UNIT TEST），程式員應依程式之功能要求，自行建立測試資料，實施程式之單體測試。
（四）資料輸入檢核：
1.輸入資料時，應用系統應有適當之檢核機制。如發生錯誤，應有提示訊息。
2.輸入欄位應進行驗證及錯誤處理以防止如資料隱碼（ SQL injection）與跨網站指令碼 （Cross-SiteScript ）等方式的攻擊。
3.對交易應產生適當之稽核軌跡。
4.資料輸入檢核之設計應於文件記錄。
（五）資料輸出檢核：
1.對於資料輸出，應驗證其正確性。
2.系統開發時應考量資料輸出之形態、傳送方式與機密等級，僅開放授權人員存取輸出資料。
（六）製作完成之程式，應檢具單體測試結果，送系統分析人員驗收。
（一）測試計畫，至少應包含下列各項：
1.測試項目。
2.資料來源。
3.工作分派。
4.測試進度。
（二）連線作業程式，應依連線作業項目，逐項測試之。
（三）整批作業程式，應依批次作業執行程序（ PROCEDURE）測試之。
（四）系統測試之結果，應填製「系統測試紀錄」；所發現之錯誤或異狀情形，除應詳填於「系統測試紀錄」送核外，並應逐項追蹤協調解決。
（五）系統測試完成後，其結果應提報系統檢討會經專案小組確認，「系統測試紀錄」應裝訂成冊，陳單位主管核閱後歸檔存查。
（六）系統測試應另建測試環境（ TESTENVIRONMENT）實施，不得影響作業中系統之正常運作。
（七）系統測試完成應檢討系統之資料安全及備援計畫。建置於資訊處所管設備之應用系統，由資訊處會洽使用及稽核單位簽報；建置於資訊處以外單位所管設備之應用系統，由設備管理單位會洽資訊處及稽核單位簽報；建置於本行以外機構所管設備之應用系統，應請該機構將安全檢討報告送本行使用單位，再由使用單位會洽資訊處及稽核單位簽報；並於陳奉核可後，進行系統轉換及正式作業。
一百五十九、 系統轉換作業如下：
（一）系統之轉換，應研擬系統轉換計畫，陳單位主管核可後實施。
（二）系統轉換進度，應與業務單位協調溝通共同研擬。
（三）應用系統正式作業前，應填寫「程式正式作業申請書」及「檔案正式作業申請書」送資料管制人員，俾憑以建置正式作業之環境；對指定列管之重要作業並應依「列管程式正式作業程式」及「列管資料檔案處理程式」辦理；應用系統若使用憑證，應依「憑證管理程式」辦理。
（四）在正式作業主機CICS（Customer Infor-mation Control System）環境下建置之連線作業應填寫「主機連線環境正式作業申請書」送系統工程人員，俾憑以建置正式作業環境。
（五）系統轉換，應訂定雙軌作業期間，配合辦理下列工作：
1.系統功能與原擬電腦化目標之驗核。
2.人工作業與電腦作業資料內容之覆核。
3.使用單位技術之移轉及作業訓練。
4.硬體設備及軟體環境之調整。
5.其他有關工作。
（六）系統轉換期間發生之問題及業務單位意見應逐項記錄，並應定期提報系統檢討會討論。
一百六十一、 本行自行維護之正式作業應用程式及本行開發中之各類應用程式之原始碼應依下列原則管理：
（一）各應用系統之程式原始碼由應用系統維護人員集中管理，系統維護人員應注意掌握應用系統中正式作業之程式。
（二）程式製作完成，於申請正式作業時，應由程式覆核人員（系統分析人員可陪同）進行程式編譯。必要時，程式覆核人員可執行新舊程式比對。程式覆核人員應備份程式原始碼及執行檔，程式原始碼移入正式作業程式館，執行檔則交資料管制人員移入正式作業環境。
（三）開發中之應用程式，應由程式設計人員於自有之程式館（ LIBRARY）內，妥善管理。
（四）程式變更時，可由應用系統維護人員於自有程式館中之程式原始碼修改，或依據核准之「系統修改申請書」，向程式覆核人員申請下載正式作業程式館之程式原始碼，據以修改。
（五）正式作業程式館應定期執行備份，並應注意異地存放。重要程式應保留至少三代。
（六）各系統分析人員或程式設計人員應自行備份所管應用系統之程式原始碼，若系統環境之備份程式可滿足此需求，則可不自行備份。
（七）各系統分析人員或程式設計人員應自行負責作廢程式之清除，以減少儲存媒體之浪費。
第二節 應用系統維護
第三節 應用系統廢止
第四節 個人運算 （Personal Computing） 程式之管理
第三章 正式作業環境中程式與資料檔案管理
第一節 程式管理
一百八十、 程式之備援 （ BACK-UP）保存，應依下列原則辦理：
（一）程式異動後應實施備援保存作業，複製之程式應分地保存，用以回復本行正式作業環境所需程式，並應備份存放於遠地，如桃園備援中心及安康備份資料儲存室。重要程式應保留至少三代備份。
（二）備份執行時間應選擇不影響主機或伺服器效能之時間或非上班時間。
（三）伺服器與主機之程式於異動後進行完整備份。
（四）資訊處辦理系統程式備援保存作業，應填製「系統檢驗維護／軟體備援保存作業紀錄」，陳單位主管核閱後，由系統科歸檔。2066主機之應用程式目的碼備援保存作業，由資料管制人員填寫「資料管理作業申請書」送系統科處理，申請書於陳單位主管核閱後，由系統科歸檔。
（五）備援保存之程式，應建立程式重載／復原（RELOAD／RECOVERY） 程式，以備遇有程式毀壞時，得立即重建作業。
第二節 資料檔案之管理
一百八十五、 資料檔案之變更，應依下列原則辦理：
（一）系統資料檔案之變更，應由廠商系統工程師具文說明變更原因，經系統工程人員研擬配合方案，陳單位主管核可後辦理。
（二）正式作業之業務資料檔案內容變更，應依應用系統規劃之功能，由業務單位自行作業處理，資訊單位不得索取、變更、查閱檔案內容。倘因程式功能疏失或操作錯誤，導致資料錯誤且無法以系統現有功能更正時，應由業務單位提出「異常資料更正申請書」陳報單位主管核可後，交資料管制人員收件登記，會同業務單位人員或應用系統分析人員共同更正。其辦理情形經業務單位確認無誤後，陳單位主管核閱後存查。若因系統故障等與業務單位無關之原因造成正式作業環境中之資料受損，於修正系統後，應知會業務單位人員確認資料正確無誤後重新開放系統使用，並作成紀錄。
（三）正式作業之業務資料檔案，倘因業務單位之申請修改系統功能導致檔案架構或規格必須變更時，應由應用系統分析人員，依「系統修改申請書」研擬檔案變更方案，陳單位主管核可後填寫「檔案正式作業申請書」，送資料管制人員辦理。
一百八十六、 資料檔案之作廢清除，應依下列原則辦理：
（一）系統資料檔案，配合系統程式之停租或版本換新，需作廢清除作業中之系統資料時，應由廠商具文說明原因，經系統工程人員研擬配合方案，陳單位主管核可後辦理。
（二）各應用系統分析人員，應依節省儲存媒體之原則，確實檢討系統開發環境中檔案之內容，再表列已作廢檔案之名稱 （ FILE ID），陳單位主管核可後，送資料管制人員清除之。
（三）正式作業之資料檔案因業務單位系統功能變更須清除，應由應用系統分析人員填寫「檔案正式作業申請書」陳單位主管核可後，送資料管制人員辦理；檔案經清除後，應將其原填之「檔案正式作業申請書」抽出，註明作廢日期後歸檔存查。
一百八十七、 資料檔案之備援 （ BACK-UP）保存，應依下列原則辦理：
（一）應用系統之資料例行備份作業由系統分析人員提出「應用系統正式作業磁帶申請書」註明備份標的，經單位主管核可後，由資料管制人員會同系統工程人員依備份申請加入備份作業程式。
（二）各類資料檔案均應依作業週期訂定備份份數，抄錄備份資料分地保存。用以回復本行正式作業環境所需程式，並應備份存放於遠地，如桃園備援中心及安康備份資料儲存室。重要資料檔案應保留至少三代資料。
（三）備份執行時間應選擇不影響主機或伺服器效能之時間或非上班時間。
（四）應用系統之資料應每日完整備份。
（五）保存之媒體資料，除已印製報表另行保存者外，均應定期重行拷貝，以確保內容免遭毀壞。
（六）備援保存之資料檔案，均應建立重載／復原（RELOAD／RECOVERY）程式，以備遇有資料檔案毀壞時，得立即重建作業。
第三節 電腦資訊交流作業
第四章 主機系統環境管理
第一節 主機系統管理
一百九十九、 系統環境維護，應依下列原則辦理：
（一）應配合應用系統之開發及修改，建立有效之系統測試環境（TEST ENVIRONMENT）。
（二）應配合應用系統之使用，建立有效之正式作業環境（ PRODUCTION ENVIRONMENT）。
（三）為提高正式作業環境上應用系統之可靠度，應建立有效之備援作業環境（ BACKU P ENVIRONMENT），並定期演練。
（四）應定期研析使用中系統測試環境及正式作業環境之效能。
（五）系統環境倘需調整（TUNING）時，應研擬方案，陳單位主管核可後辦理。
（六）系統工程人員得採用廠商提供之軟體工具，依其指定之程式，定期實施系統之檢驗維護作業。
（七）系統之檢驗維護作業，應填製「系統檢驗維護／軟體備援保存作業紀錄」，陳單位主管核閱後，由系統工程人員歸檔。
第二節 主機終端網路及主機聯外網路管理
第五章 個人電腦區域網路管理
第一節 CBCLAN之使用及管理
二百一十九、 CBCLAN使用者端應注意：
（一）本行人員均可使用本網路，並自行選擇識別碼。此識別碼於人員離職時應予註銷。
（二）本網路使用者應瞭解有關規定；若有違反，將限制或註銷使用網路權利。
（三）本網路使用者不得將分配所得之各項網路資源轉借或告知他人使用，使用者應負識別碼及通行碼保管之責。
（四）未經核准及授權，不得藉由本網路對外發布本行訊息，亦不得轉送有關本行之訊息。
（五）使用網際網路，不得涉及公務機密。
（六）本網路使用者不得使用任何儀器設備或軟體工具，竊取網路之通訊資料。
（七）本網路使用者不得以任何方法干擾或妨害網路之正常運作。
（八）本網路使用者僅得於授權範圍內存取網路資源；並禁止於網路上取用未經授權之檔案、軟體或網路硬碟空間等網路資源。
（九）連結本網路之電腦皆須安裝資訊處規定之防毒軟體。
（十）本網路使用者不得使用及傳播來源不明或未經證實安全無虞之軟體。
（十一）本網路使用者不得發送匿名信，或偽造他人名義發送電子郵件。
（十二）本網路使用者不得於網路上存取或散播色情文字、圖片、影像等不法或不當資訊，亦不得進行賭博、猥褻、不友善、營利及可能影響本行形象之行為。
（十三）連接本網路之桌上型電腦，不得安裝無線網卡。
（十四）在行內使用筆記型電腦時，必須確定無線網卡處於停用狀態。
（十五）連結本網路之電腦，應依通行碼原則設定最高權限管理者（ administrator）帳號之通行碼，若電腦設備移轉他人使用時，應即變更通行碼。
二百二十、 CBCLAN網路設備之管理原則如下：
（一）CBCLAN包含非軍事區（De-Military Zone,DMZ），DMZ 與網際網路（Internet） 間以及DMZ 與本行內部伺服器間應以防火牆隔離。
（二）CBCLAN之 DMZ網段伺服器提供 Internet連線服務，應採網址轉換 （ NAT, NetworkAddress Translation）機制。
（三）系統科以外人員移網路設備入機房時須經登記，並由網路管理人員陪同，網路設備攜出本行需開立放行條。
（四）應建置備援線路，重要網路設備應具備援機制，以確保網路之可用性。
（五）網路設備啟用前應刪除（停用）系統供應商人員之帳號、通行碼。
（六）網路管理人員於新增或修改設定前，應填寫「PCLAN 系統環境變更處理紀錄」，陳單位主管核可後實施。變更作業須由網路管理人員執行，或由網路管理人員陪同委外廠商執行。若為大規模異動，須於實際執行日三天前，公告作業時間及影響範圍。
（七）網路設備須置放於電腦機房或具適當安全管制之空間內，地點選擇應注意環境溫度及溼度，避免設備因溫度或溼度異常而故障。
（八）網路設備須由網路管理人員操作，其他人員或委外廠商欲操作網路設備時，應由網路管理人員全程陪同。
（九）一般網路設備設定檔至少每半年備份一次，重要網路設備（如：防火牆、骨幹網路設備等）設定檔至少每三個月備份一次，所備份之設定檔應存放於具門禁管控之空間。
（十）網路設備通行碼不得少於八碼，每九十天至少須變更一次。
（十一）網路設備管理權限之增刪與異動，應經單位主管核可後實施，並應留存紀錄。
（十二）發現網路設備軟體安全漏洞時，網路管理人員應儘速評估，必要時，並請廠商提供修補程式與相關測試資訊。如需進行修補，應填寫「PCLAN 系統環境變更處理紀錄」，經單位主管核可後進行。
（十三）重要網路設備使用者進出紀錄應保留至少九十天。
（十四）網路管理人員離職或異動前，其網路設備帳號須停用或交付其他系統工程人員，接收者應立即變更通行碼。
（十五）應建立網路流量監控機制，並每月提出監控報告。
二百二十一、 CBCLAN 網域帳號之管理原則如下：
（一）CBCLAN網域之帳號通行碼設定原則如下 :
1.新增之帳號，於初次登入後應立即變更通行碼。
2.長度八碼以上。
3.含有英文大小寫、數字與特殊符號四類中之三類以上。
4.九十天強制要求變更。
5.不得與前二次相同。
6.輸入錯誤大於五次時，自動鎖定帳號。
（二）本行新進人員須填寫「本行內外網識別碼申請書」，送資訊處系統科賦予網域帳號及電子郵件帳號；非個人使用之帳號，須簽核後送資訊處辦理。
（三）人員離職時應填寫「中央銀行離職人員移交簽證單」，會資訊處辦理註銷網域帳號；非個人使用之帳號，須簽核後送資訊處辦理。
（四）網域最高權限帳號使用應僅限於經核准之事項，並須留存稽核軌跡。
（五）網路管理人員每年應進行使用者帳號與權限清查，清查結果應陳報單位主管。
二百二十二、 CBCLAN電腦病毒之防治工作應依下列規定辦理：
（一）連接CBCLAN之個人電腦，皆須安裝防毒軟體，並應經常更新病毒碼。任何人不得私自移除個人電腦或伺服器上之防毒軟體，亦不得安裝不同於本行統一採用之防毒軟體。
（二）連接CBCLAN之個人電腦，均須登入網域。
（三）個人電腦使用者若發現自動更新病毒碼或掃毒引擎執行錯誤，應主動通知資訊處系統科人員協助處理。若無法清除病毒時，應先移除該電腦之CBCLAN網路連線。
（四）網路管理人員在獲知病毒警訊時，應儘速採取適當防範措施。
（五）網路管理人員應每日檢查防毒等伺服器是否正常運作，是否正常更新到最新版的病毒碼及掃瞄引擎，並填寫「CBCLAN管理日誌」。
二百二十三、 CBCLAN安控系統之建置與管理應依下列規定辦理：
（一）防火牆
1.本行資訊處以外單位所管區域網路連接CBCLAN需設置防火牆。
2.防火牆應指定專人管理，其他人員或委外廠商欲存取網路設備時，應依循實體管理規定辦理。
3.防火牆設定檔應定期備份，所備份之設定檔應存放於具門禁管控之空間。
4.防火牆通行碼不得少於八碼，每九十天須進行變更，且不得與最近三次之通行碼重覆，通行碼需含有英文大小寫、數字與特殊符號四類中之三種。
5.防火牆設定異動，應填寫「PCLAN 系統環境變更處理紀錄」，陳單位主管核可後實施，並應留存紀錄。
6.防火牆管理權限之異動，須陳單位主管核可後實施。
7.防火牆軟體發現安全性漏洞時，防火牆管理人員應儘速評估並請廠商提供修補程式與相關測試資訊。如需進行修補，應由防火牆管理人員填寫「PCLAN 系統環境變更處理紀錄」，由單位主管核可後實施，並應留存紀錄。
8.防火牆管理者之進出紀錄應保留至少九十天。
9.防火牆管理人員離職或異動前，其防火牆帳號須停用或交付下一管理者，接收者應即變更通行碼。
10.重要防火牆應有即時備援系統，當防火牆故障時，可自動備援。
11.防火牆之連線設定應為「Deny」，即未經允許者一律禁止。所有防火牆設定之紀錄欄位均應為 「 log」，以留下紀錄。防火牆紀錄應由防火牆管理人員每天檢視並保留至少二百一十天。
12.防火牆設定每年應由防火牆管理人員至少查核一次，並將查核結果簽報單位主管後存查。
（二）入侵偵測系統
1.為及早發現網路攻擊行為，得經單位主管核准後，於重要網段部署入侵偵測系統。
2.入侵偵測系統之紀錄應由入侵偵測系統管理人員每天檢視，並記錄於「CBCLAN管理日誌」。
3.入侵偵測系統管理人員應定期更新攻擊樣本。
4.入侵偵測系管理人員在偵測到外部攻擊行為時，應儘速採取適當防範措施。
（三）由行外使用CBCLAN之控管機制
1.若因業務需要，需於行外存取CBCLAN資源，須填寫「行員由行外使用本行外網之通行碼申請表」，經單位主管核可後，交資訊處核發通行碼。
2.通行碼設定原則如下：
(1)識別碼由申請者自行選取。
(2)由網路管理人員設定通行碼，並以密封方式交予使用者。
(3)通行碼長度不得少於八碼，通行碼內容不得與帳號相同。
(4)通行碼需含有英文大小寫、數字與特殊符號四類中之三種。
(5)由網路管理人員每一百八十天更換通行碼，重新發放予使用者。
3.使用者應注意：
(1)通行碼之核發應以密件處理，若有疑問，應要求重發。
(2)使用者對所擁有之識別碼及通行碼負保管之責，若懷疑可能洩漏時，應儘速知會資訊處註銷或換新。
(3)離職或不再使用時，為確保自身權益，應於生效日前申請註銷帳號。
(4)連線設備應依「行員由行外使用本行外網之連線設定操作手冊」之規定，辦理該設備參數之設定。
(5)使用者若於一年內無使用紀錄，此識別碼應註銷。
4.網路管理人員應每年進行使用者帳號與權限清查，清查結果應陳報單位主管後存查。
二百二十四、 CBCLAN電子郵件之管理應依下列規定辦理：
（一）使用電子郵件，嚴禁有下列行為：
1.散發個人營利性質信函。
2.發表不當言論、違背公序良俗。
3.騷擾他人。
4.盜用他人帳號、通行碼。
5.冒用他人名義濫發郵件。
6.散播電腦病毒。
7.散佈非法軟體或其他違反智慧財產權法之項目。
8.其他任何有損本行權益之行為。
（二）本行電子郵件帳號通行碼依CBCLAN網域帳號規定辦理；非個人使用之帳號，須經單位主管核可後送資訊處辦理。
（三）使用者應開啟個人電腦防毒軟體上之郵件掃瞄功能，收到含有病毒之郵件、不明郵件及垃圾郵件時，應立即刪除，不可開啟或轉寄。
（四）電子郵件伺服器設定以下郵件過濾標準，以確保電子郵件傳遞之安全：
1.刪除附檔為含有病毒或執行檔（例 exe、 com、 scr）之電子郵件。
2.過濾郵件內容及其附件是否為垃圾郵件，一旦發現立即隔離或刪除。
3.掃瞄郵件附件大小，將附件超過10MB之可疑電子郵件退回。
二百二十五、 CBCLAN伺服器之系統環境管理原則如下：
（一）作業系統及軟體安裝建置
1.伺服器之作業系統安裝應由網路管理人員自行安裝，若由委外廠商安裝，則網路管理人員應全程陪同。
2.作業系統安裝完畢後，伺服器如需加入 CBCLAN 網域，應填寫「 PCLAN環境異動申請書」辦理。
3.伺服器加入網域後，應安裝防毒軟體、更新病毒碼並安裝最新之作業系統修補程式。
4.若要安裝資訊處公告以外之免費軟體、自由軟體，須提出足以證明該軟體之合法性及安全性文件，經單位主管同意後，始得安裝。
（二）檔案管理
1.伺服器上之磁碟空間由網路管理人員規劃及管理，應常檢查磁碟空間之使用情形，做必要之調整，對於使用不當之磁碟空間應通知使用者改善。為確保資料安全，並應設定各目錄區之使用權限，定期備份系統環境。
2.伺服器上磁碟存放之檔案須遵循該網域之資料檔案存放規定。
3.使用者僅可進入經授權之目錄區，使用經授權之功能。
4.伺服器資料夾新增／刪除與權限之新增、異動及刪除，應填寫「PCLAN 環境異動申請書」辦理。
（三）系統修補網路管理人員收到最新之修補程式或更新套件後，應先於測試環境安裝，確認不影響系統運作，再由網路管理人員填寫「 PCLAN系統環境變更處理紀錄」，經單位主管核可後安裝。
（四）系統脆弱性管理
1.網路管理人員每年應至少一次透過合法且可信之弱點掃瞄工具對重要伺服器進行弱點掃瞄，並提出弱點掃瞄報告。
2.網路管理人員每年至少一次對所管伺服器進行安全性設定自評，並提出自評報告。
3.網路管理人員應依據弱點評估報告與自評報告，檢討所列舉之項目，進行評估及改善。
4.執行安全弱點改善前，應由網路管理人員先行評估，確認改善作業之可行性，且不致對系統造成影響，方可執行。
5.如伺服器無測試環境或無法於測試環境進行測試，則伺服器更新前，應執行完整之系統備份，俾異常時可復原。
6.弱點掃瞄報告、自評報告及改善作業產生之相關文件，應由該網路管理人員歸檔備查，保存期限至少二年。
（五）監控作業
1.網路管理人員應每天檢視系統日誌中之警告、錯誤訊息及伺服器硬碟空間使用情形，並將檢視結果，記錄於所管網域之管理日誌。
2.網路管理人員應檢視重要伺服器 CPU、記憶體之使用率及使用效能，並每月陳報結果，若發現異常，應進行檢討。
3.最高權限管理帳號應經其科長或單位主管授權後，方得使用。
4.若發現異常狀態，應填寫「作業環境異常狀況紀錄表」，並進行後續處理。
（六）測試環境之控管
1.系統工程人員應及時更新測試環境中防毒軟體之病毒碼，並安裝最新之作業系統修補程式。
2.應定期檢視測試環境使用者識別碼及存取權限。
3.若測試環境使用者發現系統環境異常時，應通知系統工程人員處理。
第二節 本行內部區域網路CBCIntra之使用及管理
二百二十七、 CBCIntra網路設備之管理原則如下：
（一）網路之存取控制機制，限指定之系統工程人員在網管伺服器才可登入管理。
（二）各網路設備，含核心交換器、樓層交換器等，應設定通行碼，經認證才可使用管理功能。
（三）樓層交換器設置於樓層管道間，非授權人員不得進入。
（四）樓層交換器應啟動通信埠安控（PortSecurity）功能，確保每個通信埠僅指定之單一電腦能連接，當使用者試圖改以另一部電腦連接時，該通信埠立即關閉，需系統工程人員重新啟動方可使用。
（五）系統科以外人員移網路設備入機房時，須經登記，並由網路管理人員陪同，網路設備攜出本行需開立放行條。
（六）應建置備援線路，重要網路設備應具備援機制，以確保網路之可用性。
（七）網路設備啟用前應刪除（停用）系統供應商人員之帳號、通行碼。
（八）網路管理人員於新增或修改設定前，應填寫「PCLAN 系統環境變更處理紀錄」，陳單位主管核可後實施。變更作業須由網路管理人員執行，或由網路管理人員陪同委外廠商執行。若為大規模異動，須於實際執行日三天前，公告作業時間及影響範圍。
（九）網路設備須置放於電腦機房或具適當安全管制之空間內，地點選擇應注意避免設備因溫度或溼度異常而故障。
（十）網路設備須由網路管理人員操作，其他人員或委外廠商欲操作網路設備時，應由網路管理人員全程陪同。
（十一）一般網路設備設定檔至少每半年備份一次，重要網路設備（如：防火牆、骨幹網路設備等）設定檔至少每三個月備份一次，所備份之設定檔應存放於具門禁管控之空間。
（十二）網路設備通行碼不得少於八碼，每九十天至少須變更一次。
（十三）網路設備管理權限之增刪與異動，應經單位主管核可後實施，並應留存紀錄。
（十四）發現網路設備軟體安全漏洞時，網路管理人員應儘速評估，必要時，並請廠商提供修補程式與相關測試資訊。如需進行修補，應填寫「PCLAN 系統環境變更處理紀錄」，經單位主管核可後進行。
（十五）重要網路設備使用者進出紀錄應保留至少九十天。
（十六）網路管理人員離職或異動前，其網路設備帳號須停用或交付其他系統工程人員，接收者應立即變更通行碼。
二百二十八、 CBCIntra網域帳號之管理原則如下：
（一）本行CBCIntra網域之帳號通行碼設定原則如下 :
1.新增之帳號，於初次登入後應立即變更通行碼。
2.長度八碼以上。
3.含有英文大小寫、數字與特殊符號四類中之三類以上。
4.六十天強制要求變更。
5.不得與前五次相同。
6.輸入錯誤大於三次時，自動鎖定帳號。
7.更改後至少使用二天。
（二）本行新進人員，須填寫「本行內外網識別碼申請書」，送資訊處系統科賦予網域帳號；非個人使用之帳號，須簽核後送資訊處辦理。
（三）人員離職時應填寫「中央銀行離職人員移交簽證單」，會資訊處辦理註銷網域帳號；非個人使用之帳號，須簽核後送資訊處辦理。
（四）網域最高權限帳號使用應僅限於經核准之事項，並須留存稽核軌跡。
（五）網路管理人員每年應進行使用者帳號與權限清查，清查結果應陳報單位主管。
二百二十九、 CBCIntra電腦病毒之防治工作應依下列規定辦理：
（一）加入本網路之個人電腦應確定無不當軟體，強制安裝防毒軟體。系統工程人員每日至網路下載最新病毒碼，並將病毒碼以專用之儲存媒體複製至本網路之防毒軟體控管伺服器，供使用者登入時更新。使用者不得修改個人電腦IP（ Internet Protocol）位址。
（二）個人電腦使用者若發現自動更新病毒碼或掃毒引擎執行錯誤，應主動通知資訊處系統科人員協助處理。若無法清除病毒，應先移除該電腦之CBCIntra網路連線。
（三）資訊處網路管理人員在獲知病毒警訊時，應儘速採取適當防範措施。
（四）資訊處網路管理人員應每日檢查防毒等伺服器是否正常運作，是否正常更新到最新版的病毒碼及掃瞄引擎，並填寫「CBCIntra管理日誌」。
二百三十、 CBCIntra防火牆之建置與管理應依下列規定辦理：
（一）以防火牆區分使用者端及伺服器端，至伺服器端之訊息均受防火牆管制，防火牆僅開放必要之通信埠。
（二）防火牆應指定專人管理，其他人員或委外廠商欲存取網路設備時，應依實體管理規定辦理。
（三）防火牆設定檔應定期備份，所備份之設定檔應存放於具門禁管控之空間。
（四）防火牆通行碼不得少於八碼，每九十天至少須變更一次，且不得與最近三次之通行碼重覆，通行碼需含有英文大小寫、數字與特殊符號四類中之三種。
（五）防火牆設定異動，應填寫「PCLAN 系統環境變更處理紀錄」，陳請單位主管核可後實施，並應留存紀錄。
（六）防火牆管理權限之異動，應陳單位主管核可後實施。
（七）防火牆軟體發現安全性漏洞時，防火牆管理人員應儘速評估，必要時，並請廠商提供修補程式與相關測試資訊。如需進行修補，應由防火牆管理人員填寫「PCLAN 系統環境變更處理紀錄」，由單位主管核可後實施，並應留存紀錄。
（八）防火牆管理者之進出紀錄應保留至少九十天。
（九）防火牆管理人員離職或異動前，其防火牆帳號須停用或交付下一管理者，接收者應即變更通行碼。
（十）重要防火牆應有即時備援系統，當防火牆故障時，可自動備援。
（十一）防火牆之連線設定應為「Deny」，即未經允許者一律禁止。所有防火牆設定之紀錄欄位均應為「log 」，以留下紀錄。防火牆紀錄應由防火牆管理人員每天檢視並保留至少二百一十天。
（十二）防火牆設定每年應由防火牆管理人員至少查核一次，並將查核結果簽報單位主管後存查。
二百三十一、 CBCIntra伺服器之環境管理應依下列規定辦理：
（一）作業系統及軟體安裝建置
1.伺服器之作業系統安裝應由網路管理人員，若由委外廠商進行安裝，則網路管理人員應全程陪同。
2.作業系統安裝完畢後，伺服器如需加入CBCIntra網域，應填寫「PCLAN 環境異動申請書」辦理。
3.伺服器加入網域後，應安裝防毒軟體、更新病毒碼並安裝最新之作業系統修補程式。
4.若要安裝資訊處公告以外之免費軟體、自由軟體，須提出足以證明該軟體之合法性及安全性文件，經單位主管同意後，始得安裝。
（二）檔案管理
1.伺服器上之磁碟空間由網路管理人員規劃及管理，應常檢查磁碟空間之使用情形，做必要之調整，對於使用不當之磁碟空間應通知使用者改善。為確保資料安全，並應設定各目錄區之使用權限，定期備份系統環境。
2.伺服器上磁碟存放之檔案須遵循該網域之資料檔案存放規定。
3.使用者僅可進入經授權之目錄區，使用經授權之功能。
4.伺服器資料夾新增／刪除與權限之新增、異動及刪除，應填寫「PCLAN 環境異動申請書」辦理。
（三）系統修補網路管理人員收到最新之修補程式或更新套件後，應先於測試環境安裝，確認不影響系統運作，再由網路管理人員填寫「 PCLAN系統環境變更處理紀錄」，經單位主管核可後安裝。
（四）系統脆弱性管理
1.網路管理人員每年應至少一次透過合法且可信之弱點掃瞄工具對重要伺服器進行弱點掃瞄，並提出弱點掃瞄報告。
2.網路管理人員每年至少一次對所管伺服器進行安全性設定自評，並提出自評報告。
3.網路管理人員應依據弱點評估報告與自評報告，檢討所列舉之項目，進行評估及改善。
4.執行安全弱點改善前，應由網路管理人員先行評估，確認改善作業之可行性，且不致對系統造成影響，方可執行。
5.如伺服器無測試環境或無法於測試環境進行測試，則伺服器更新前，應執行完整之系統備份，俾異常時可復原。
6.弱點掃瞄報告、自評報告及改善作業產生之相關文件，應由該網路管理人員歸檔備查，保存期限至少二年。
（五）網路監控
1.網路管理人員應每天檢視系統日誌中之警告、錯誤訊息及伺服器硬碟空間使用情形，並將檢視結果，記錄於所管網域之管理日誌。
2.最高權限管理帳號應經其科長或單位主管授權後，方得使用。
3.若發現異常狀態，應填寫「正式作業異常紀錄表」，並進行後續處理。
第三節 CBCLAN及CBCintra以外之個人電腦區域網路之使用與管理
第六章 實體管理
第一節 電腦門禁管理
第二節 電腦機房及設備管理
二百四十三、 電腦機房管理應依下列規定管理之：
（一）本行台北電腦機房應設置「台北機房電腦操作日誌」，記錄開機／關機及當日操作情形，桃園備援中心電腦機房應設置「桃園機房輪值人員工作紀錄表」，記錄每週開機／關機及當週工作事項，「台北機房電腦操作日誌」、「桃園機房輪值人員工作紀錄表」應陳單位主管核閱後，歸檔存查。
（二）正式作業環境操作遇有異狀，應即通知維護人員處理，並應填製「作業環境異常狀況紀錄表」，送資訊處系統科列管追蹤，使用備援環境時應比照正式作業環境辦理。
（三）正式作業環境操作，應依下列原則管制：
1.定期之例行性作業，應於系統開發完成，正式作業前，製作操作日誌、手冊，陳單位主管核可後，送資訊處系統科開始作業。
2.不定時之作業，應逐次填製「資料處理申請書」，陳單位主管核可後，送資訊處資料科登記管制後送系統科處理。
3.機房內主機之維護由系統工程人員執行，主機之操作由操作人員執行、其他人員若須操作主機有關設備，應先陳報。
（四）電腦機房門禁，應依下列原則管制：
1.電腦機房應設門禁管制，未持有通行卡之人員非經許可不得擅入，若有需要則應填寫「機房進出人員登記簿」，註明進出時間、陪同人員、進出事由及註明是否攜帶儲存媒體進出。
2.「機房進出人員登記簿」應由系統科彙整每月呈閱單位主管。
3.外部單位人員若因業務需求需進入電腦機房時，應由系統科人員全程陪同。
（五）輪值之操作人員負責當日電腦機房之管理，辦理下列事項：
1.主機之操作及「台北機房電腦操作日誌」之填製。
2.操作使用媒體之領用及歸還。
3.機房出入之管制。
4.機房整潔之保持、管理。
5.電腦主機有關設備維護之協辦。
6.電腦主機各項附屬設備之啟動及關閉。
（六）電腦機房管理應注意下列事項：
1.值班操作員不得擅離工作崗位。
2.開機前，應先起動冷氣設備。
3.關機時，應逐項關閉未使用之各設備電源。
4.存放電腦主機等重要設備之機房應隨時注意溫度及濕度，溫度須保持18℃至26℃之間，相對濕度須保持30％至70％之間，遇有不正常時，應即通知維護人員處理；只存放個人電腦、伺服器之機房亦應注意溫溼度之控制，瞭解電腦設備可容忍之溫濕度範圍，採取必要措施加以控制。
5.電腦主機運轉時，非因失火或其他緊急狀況，不得關閉機房總電源。
6.電腦作業中遇空襲時，應儘速結束作業，關機斷電後，離開機房，平日演習時，為免影響正式作業運作，應關閉電燈，機房留守一人。
7.機房內嚴禁跑、跳、吸煙、進食、飲料存放私人物品。
8.機房內磁帶、磁片等各類媒體，應由操作人員負責整齊放置於指定位置，作廢之報表紙必須經過碎紙處理後，放置於盛器內。
（七）電腦機房設施配置管理應注意下列事項：
1.機房內布線應規劃適當之保護設施，避免人員誤觸或蟲害而影響資訊系統運作。
2.機房內重要設備應固定牢靠，避免不必要晃動及位移。
3.機房重要設備應連接不斷電系統。
（八）硬體、通信等設備故障時，機房操作人員須將問題通報系統工程人員。系統工程人員研判問題並記錄於「作業環境異常狀況紀錄表」，若將造成業務停頓，應依循資安事件通報暨處理程式進行通報與處理。
（九）電腦機房作業相關紀錄及操作日誌應至少留存一年。
二百四十四、 機房內電腦相關設備應依下列規定管理之：
（一）機房冷氣系統，應每年至少一次由有關單位派員保養及清洗濾風網。
（二）機房防火設備，應每年至少一次由有關單位派員檢查及更換滅火劑。
（三）機房所有電力系統，應每年至少一次由有關單位派員檢查。
（四）機房內高架地板下，應每年評估並視需要洽有關單位派員清潔。
（五）機房內及其四周，應視需要洽有關單位派員實施鼠害及蟲害防治措施。
（六）應訂定電腦相關設備之開機及關機順序，供有關人員使用。
（七）冷氣、電力、消防等設施，應訂定正確操作方式（手冊）交有關人員使用。
（八）各項電腦相關設備均應備有操作手冊。
（九）電腦相關設備故障，應即通知資訊處管理科，洽有關單位派員維修，並應於電腦操作日誌上，登載故障情形及維修結果。
（十）電腦機房可能遭遇之各種災變（如火災、漏水、停電、空調失靈等）平日應訂定復原程式並加以演練；如發生時應即通知單位主管並採取相關復原措施。
第三節 媒體之管理
二百五十、 磁性媒體之維護及使用應注意下列事項：
（一）磁性媒體不用時，應蓋緊盒蓋或裝入封套，以免灰塵侵入。
（二）磁性媒體盒護片等不可損壞。
(三)磁性媒體集中存放之媒體室，其環境應維持定溫(18℃至28℃)定濕(40％至75％)。
（四）勿移除磁帶導帶頭，並勿開啟保護閘門；勿用手指直接接觸磁帶表面、磁片及光碟片顯露處。
（五）磁性媒體附近不可置放磁性物體或煙灰缸、茶杯等什物。
（六）磁帶應經常保持豎立狀況存放，如因需要採取平疊方式存放時，其卷數不得超過五卷，存放時間不得超過二十四小時；磁片應保持直立方式存放，避免折疊或壓損。
（七）磁性媒體應按所屬類別放置於固定之櫃架上，以利存取。
（八）各項電腦作業所使用之備份磁帶檔案，應與正式作業檔案分開存放，依其使用時間及安全性要求，存放於磁帶室、電腦機房、辦公場所或其他安全場所。
（九）行外單位送交之磁性媒體，應由資料管制人員檢查無誤後，於「磁性資料送件單」第一聯上簽收；磁性媒體取回時應於送件簿上簽章領回。
（十）磁片及光碟片標籤應先填妥粘貼其上，勿直接在磁片及光碟片上書寫文字或記號。
（十一）磁帶使用前，應先開封置於室溫二十四小時。
（十二）磁帶應由資料管制人員每季定期盤點，並記錄之。
（十三）備份儲存媒體之報廢
1.所有不堪使用，或已達使用期限之儲存媒體，應由資料管制人員會同相關單位監辦報廢媒體之銷毀。
2.為防範機密與敏感資料外洩，所有不再使用的儲存媒體應施以適當破壞，方式包含搗碎、焚毀、邏輯性之破壞（例如：低階格式化）或其他可靠之方式，以確保儲存媒體中資料已無法讀取。
第七章 委外處理
第一節 委託外包作業
二百五十一、 本行委託外包之資訊業務，應依下列原則辦理：
（一）委託外包作業如因應業務需要，須進行機敏資料交換時，應要求廠商遵照相關法規辦理。
（二）進行委託外包作業時，本行得於契約中保留外部查核權利。
（三）委託設計之應用系統，須於測試環境測試，系統初次移入正式作業環境前，開發廠商應檢具程式清單並出具程式中無本行需求以外功能之保證書。系統中與系統安全有關之程式，並應由本行人員審核編譯置入正式作業環境。應用系統中正式資料之移入，須俟安全及備援檢討完成、正式作業環境建立後，由本行人員置入。
（四）委託設計及委託處理之系統，於開發過程中，均應由本行業務單位、資訊單位及稽核單位人員共同參與。
（五）委託設計完成之系統，對於保固期滿後之維護工作，由資訊處洽會業務主管單位評估業務及安全需求情形後，簽報委外或由資訊處收回辦理。
（六）委託設計完成之系統，經交本行驗收後，由本行資訊處維護者，其有關系統之維護，資料檔案之管理或連線網路之管制等，悉依本規範有關規定辦理。
（七）委託處理之系統，應由受託廠商負責該系統之一切運用及維護支援事宜，業務單位負責該系統之使用及各項資料檔案管制事宜，包括採取適當及足夠之安全管制措施，防止資料被竊取、竄改、販售、洩漏及不當備份等情形發生。
（八）對委外開發且本行無所有權之程式原始碼，應考量在契約中簽訂原始碼託管協議，俾本行在必要時可至公正第三者處檢視或取得該程式原始碼。
（九）訂定委託外包契約時，可考量專案之安全需求，將安全要求列入契約中。
第二節 委外廠商人員管理
二百六十、 委外廠商人員於本行工作時使用資訊設備應遵守下列規定：
（一）在專案執行期間之所有資訊設備（包含軟硬體），皆應由本行提供，若委外廠商人員欲攜帶資訊設備進入本行，應依第九章第四節有關可攜式設備管理之規定辦理，並填具「委外廠商人員之資訊設備查核表」。
（二）攜帶、使用之資訊設備，未經許可，不得擅自與本行網路連線，使用任何網路資源。
（三）嚴禁利用網際網路（Internet）下載可能觸犯著作權法之檔案或從事與工作無關之上網活動。
（四）不得存取或企圖以不正當之方法存取未授權之檔案或資料。
（五）未經授權，不得將本行之資料、電子文件、檔案儲存於電腦設備中。
（六）未經授權不得將本行之資料、電子文件、檔案傳遞或攜出本行。
（七）在本行使用資訊設備時，必須安裝電腦病毒防治軟體並定期更新病毒碼等必要事前預防及保護措施。
（八）在本行使用資訊設備時，未經授權不得下載及使用本行軟體。
（九）未經授權不得將軟體複製或安裝至本行設備。
第八章 資訊安全管理制度之內部查核
（一）查核小組成員應具備至少二年以上之內部或外部查核，或網路、伺服器管理之經驗。
（二）查核小組成員應取得國內外稽核或電腦相關認證資格，或於查核前一年內接受十小時以上之內部稽核或資訊安全管理相關訓練，其中六小時以上之訓練並需獲得合格證書或通過測驗或評量之合格證明。
（三）基於職務分工之原則，查核人員不可兼任受查核部門之資訊安全管理工作。
二百六十三、 查核計畫應依下列規定執行之：
（一）執行查核前應由會計處指派之領隊，召集查核小組成員舉行查核前置會議，於會議中說明並討論查核日期、查核範圍、查核重點，及應注意事項等。
（二）執行查核時應由會計處簽發檢查函予受檢單位，以作為執行查核之憑據。檢查函內容應包含查核小組成員、日期、查核範圍等。
（三）查核人員應於執行查核前擬訂「查核項目表」，內容包含本查核案之全部查核項目，隨同檢查函送交受查單位預先準備受檢資料。
（四）查核小組執行查核時應就查核項目表所列項目逐項進行，並就受查單位遵循狀況確實記載，如有部分遵行或未能遵行之情形，應詳加以記錄，並蒐集書面文件、表單或紀錄以資佐證。
（五）查核過程中若須使用查核工具，應事先與查核標的之管理人員討論施行方法、時間及可能之風險，避免造成營運中斷。
（六）查核小組應秉持公正客觀態度進行查核；受查單位應指派人員陪同，配合查核作業進行。
二百六十五、 建議改進事項處理應依下列規定處理之：
（一）經查核發現缺失之事項，其屬輕微可立即改善或不影響業務者，面請該受查單位立即改善，並於下次查核時複查；屬重大或案情複雜者，則於查核報告內列為建議改進事項，於簽奉副總裁、總裁核准或批示後，發函受查單位限期函復改善狀況。
（二）受查單位應於期限內針對上述建議改進事項進行原因分析，並於「建議改進事項辦理情形表」中填寫事項原因、矯正措施、預防措施及改善期限，函復處理狀況。
（三）會計處查核承辦人員應就函復處理狀況，研擬後續處理建議，彙整於「建議改進事項辦理情形彙總表」，陳報會計處處長，並簽奉副總裁、總裁核准後據以結案，或進行後續追蹤、控管。
（四）會計處查核人員追蹤建議改進事項辦理情形，經複查確已於期限內改進者，予以結案；未於限期內完成者，應詳註未改善原因，並繼續追蹤，直至改善或採取其他經核准之補償性措施，並經複查通過後結案。追蹤及複查結果應記錄於「建議改進事項辦理情形彙總表」。
二百六十七、 查核工具之控管應依下列規定辦理：
（一）對於使用查核工具之使用申請，應先確認其使用之適當性，並針對該工具之來源、用途及可能影響進行評估，於確認不影響業務運作，並經領隊同意後始可使用。
（二）查核工具之使用限制：
1.查核工具僅限系統管理人員、網路管理人員或查核人員使用。
2.未經申請核准，不得使用於執行中之營運系統。
3.不可對營運系統進行寫入、修改、刪除或對資料進行異動等行為。
（三）查核結束後，使用人員應協同系統管理人員，匯出查核工具之原始查核紀錄檔案後立即移除所安裝之查核工具，並妥善保管，以防範未經授權之存取。查核工具之原始查核紀錄檔案由會計處查核承辦人員統一控管。
第九章 教育訓練暨資產管理
第一節 資訊教育訓練
第二節 個人電腦管理
二百七十六、 各單位應指派專人管理各個人電腦相關軟硬體設備及文件、負責資料安全，並注意以下各點：
（一）本行人員使用本行所提供之個人電腦，其最高權限管理者（ administrator）帳號之通行碼應依通行碼原則進行設定。
（二）硬碟使用規劃及作業系統、公用程式與套裝軟體之建立與管理。
（三）應使用具有合法來源之軟體，並依規定程序安裝，不得使用不合法之軟體；且已安裝之軟體不得任意再安裝至其他機器上。若要換機安裝，應將原先安裝之軟體清除，再安裝至其他機器上，屬於本行軟體財產者，應填寫軟體異動單，交資訊處辦理財產管理系統異動登記。
（四）資料應區分機密等級，機密性資料應由專人保管，非經授權不得使用。
（五）重要資料應定時備份至輔助儲存體。
（六）為節省儲存空間，可定時清理磁碟檔案。
（七）對執行業務具重要性之.COM及.EXE檔案應設定為唯讀。
（八）為防範電腦病毒，各電腦應裝設防毒及偵毒軟體。
（九）不應連結來路不明網站及點擊網站廣告，以免遭受惡意程式攻擊。
（十）個人電腦及其週邊設備旁應避免擺置飲料、花瓶、食物、溶劑等容易污損機器之物品。
（十一）個人電腦資料夾分享，非必要開放權限者，不應開放。
（十二）除經核准不關機外，下班應將個人電腦及其週邊設備關機，以節約能源並避免危險。
（十三）本行個人電腦如因業務需要須和本行以外機構之設備連接時，應先檢討防毒措施，簽報 核可後辦理。
第三節 個人電腦軟體管理
二百八十四、 關於個人電腦軟體財產之管理原則如下：
（一）屬於本行財產之軟體，初次交付本行時，由資訊處建立軟體保管單。對隨電腦共同採購之軟體，由秘書處將軟體安裝明細、所建立之電腦硬體財產編號、軟體採購明細及軟體媒體、保證書、授權書送資訊處，據以建立軟體保管單；對零星採購之軟體，由秘書處於廠商交貨安裝後，將請購清單及軟體媒體、保證書、授權書送資訊處，據以建立軟體保管單。
（二）軟體使用人或保管人遇有下列異動情形，應填寫「軟體財產異動申請書」送資訊處更新軟體保管單及有關資料：
1.軟體換機使用。
2.軟體已不再使用。
3.其他造成軟體狀況改變之情形、
（三）軟體財產之增列異動，由資訊處及時更新「本行財產管理系統」之軟體財產紀錄；不屬於本行財產之軟體，不登錄於「本行財產管理系統」。
（四）資訊處定期查核軟體目錄時，同時檢查個人電腦上屬於本行財產軟體與軟體保管單之記載是否符合。
（五）軟體作廢應依軟體是否仍需使用為標準，無需使用之軟體，可會洽秘書處、會計處及資訊處後，辦理軟體減損作成帳冊，再公告於本行網頁，以提供其他政府機關、學校或正當社會團體索取，若有人索取，則移請秘書處辦理轉贈；若否，則銷毀。
第四節 可攜式設備管理
二百八十八、 筆記型電腦、USB 隨身碟、外接式硬碟應依下列原則辦理：
（一）各單位對兩人以上共用之設備應指定專人保管。
（二）申請借用時，應填寫「可攜式設備借用紀錄表」說明申請目的、期間及是否有攜出行外需求。
（三）申請人歸還前應刪除所儲存之資料。
（四）保管人於申請人歸還時，應確認儲存之應刪除內容已清除。「可攜式設備借用紀錄表」應每月定期陳報科長，留存備查。
（五）非本行核准使用之設備不得與本行個人電腦、伺服器或網路連接；外部單位人員若需使用，須由本行相關專案負責人提出申請，經單位主管核准後，方可使用。
（六）儲存本行重要資料者應妥適保管；未經授權，不可傳輸或儲存本行機敏資料；對機敏資料應考量加密後儲存、對設備上鎖或設定開機 /檔案密碼等。
（七）人員離職或異動時，應繳回。
第五節 影像文件複製設備之管理
第六節 資訊用品管理
第七節 文件管理
三百零一、 各類資訊業務文件（包括：資訊業務相關管理規定、作業程序、操作手冊、表單等）之制訂、修正、廢止，應依下列原則辦理：
（一）若屬全行共用，由資訊處統籌辦理；若屬單一單位使用者，由該單位自行辦理。
（二）文件之製作，設有制式用紙者，應使用制式用紙填製，未訂有制式用紙者，其格式以使用 A4規格用紙、直式橫書為原則。
（三）各文件之編碼原則、標示應依「CBCLAN資訊資產控管原則」辦理。
（四）文件應標註核定日期，以作為版次控管之依據。若核定日期與生效日期不同，應另加註生效日期。
（五）各類文件表單異動時，文件管理單位應更新「文件彙總表」，並將影本送資訊處管理科。
（六）各類文件應每年一次定期檢視、修正。
（七）文件之廢止、銷毀應依下列原則辦理：
1.舊版文件如有參考價值，得蓋作廢章後，由文件負責人員存檔保管。
2.舊版文件如不具參考價值，須進行實體銷毀。
第十章 附則