資訊安全政策

壹、目的

苗栗縣政府衛生局（以下簡稱本局）暨所屬機關為強化資訊安全管理，確保所屬之資訊資產的機密性、完整性及可用性，以提供本局暨所屬機關之資訊業務持續運作之資訊環境，並符合相關法規之要求，使其免於遭受內、外部的蓄意或意外之威脅，特定此政策規範。

貳、適用範圍

本局暨所屬機關之所有單位。

參、定義

一、所有人員

(一)本局員工。

(二)與本局業務往來之外部機關。

(三)對本局提供服務或勞務之廠商。

(四)所屬機關員工

肆、願景與目標

一、資訊安全政策願景

(一)強化人員知能

(二)避免資料外洩

(三)落實日常維運

(四)確保服務可用

二、依據資訊安全政策願景，擬定資訊安全目標如下：

(一)辦理資訊安全教育訓練，推廣員工資訊安全之意識與強化其對相關責任之認知。

(二)保護本局暨所屬機關業務活動資訊，避免未經授權的存取與修改，確保其正確完整。

(三)定期進行內部與外部稽核，確保相關作業皆能確實落實。

(四)確保本局暨所屬機關核心業務維持一定水準的系統可用性。

三、應針對上述資訊安全目標，擬定年度待辦事項、所需資源、負責人員、預計完成時間以及結果評估方式與評估結果，相關監督與量測程序，應遵循本局「監督與量測管理程序書」辦理。

四、資通安全推動小組應於管理審查會議中，針對資訊安全目標有效性量測結果，向資訊安全委員會召集人進行報告。

伍、責任

一、本局的管理階層建立及審查此政策。

二、資通安全推動小組透過標準和程序以實施此政策。

三、所有人員須依照相關安全管理程序以維護資訊安全政策。

四、所有人員有責任報告資訊安全事件和任何已鑑別出之弱點。

五、任何危及資訊安全之行為，將視情節輕重追究其民事、刑事及行責任或依本局之相關規定進行懲處。

陸、審查

本政策應至少每年審查乙次，以反映政府法令、技術及業務等最新發展現況，以確保本局永續運作及資訊安全實務作業能力。

柒、實施

一、資訊安全政策配合管理審查會議進行審核。

二、政策經「資通安全推動小組」進行會審後，由召集人核定後實施，修訂時亦同。