papa-資訊存取問題

1、PAPAPAPA－資訊存取問題－資訊存取問題資工一甲資工一甲陳莉雯陳莉雯U92B150U92B150一、資訊系統(tǒng)存取控制規(guī)定1、應(yīng)訂定資訊系統(tǒng)存取控制規(guī)定，界定存取控制之需求，並以書面、電子或其他方式記錄之。2、應(yīng)將業(yè)務(wù)系統(tǒng)之存取控制需求，明確告知系統(tǒng)服務(wù)提供者，以利其執(zhí)行及維持有效的存取控制機制。3、業(yè)務(wù)應(yīng)用系統(tǒng)擁有者，應(yīng)訂定系統(tǒng)存取控制政策，並明定使用單位及使用人員的系統(tǒng)存取權(quán)利。4、資訊系統(tǒng)存取控制規(guī)定之研擬，應(yīng)考量事項如下：（1

2、）個別業(yè)務(wù)應(yīng)用系統(tǒng)之安全需求。（2）資訊傳佈及資料應(yīng)用之名義及授權(quán)規(guī)定。（3）相關(guān)法規(guī)或契約對資料保護(hù)及資料存取之規(guī)定。二、使用者之存取管理（一）使用者註冊管理1、對於多人使用的資訊系統(tǒng)，應(yīng)建立正式的使用者註冊管理程序。2、使用者註冊管理程序，應(yīng)考量的事項如下：（1）查核使用者是否已經(jīng)取得使用該資訊系統(tǒng)之正式授權(quán)。（2）查核使用者被授權(quán)的程度是否與業(yè)務(wù)目的相稱，是否符合資訊安全政策及規(guī)定（例如:有無違反權(quán)責(zé)分散原則。）（3）應(yīng)以書面、電

3、子或其他方式，告知使用者之系統(tǒng)存取權(quán)利。（4）要求使用者簽訂約定，使其確實瞭解系統(tǒng)存取的各項條件及要求。（5）在系統(tǒng)使用者尚未完成正式授權(quán)程序前，資訊服務(wù)提供者不得對其提供系統(tǒng)存取服務(wù)。（6）應(yīng)建立及維持系統(tǒng)使用者之註冊資料紀(jì)錄，以備日後查考。（7）使用者調(diào)整職務(wù)及離（休）職時，應(yīng)儘速註銷其系統(tǒng)存取權(quán)利。2、系統(tǒng)存取權(quán)限之評估，應(yīng)考量事項如下：（1）系統(tǒng)存取權(quán)限評估，以每六個月評估一次為原則。（2）系統(tǒng)存取特別權(quán)限之評估，以每三個月評估

4、一次為原則。（3）定期檢討系統(tǒng)存取特別權(quán)限之核發(fā)情形，防止有人未經(jīng)正式的授權(quán)程序取得特別權(quán)限。三、網(wǎng)路存取之安全控制（一）網(wǎng)路服務(wù)之限制1、個別使用者或是從特定端末機存取電腦及網(wǎng)路服務(wù)之安全規(guī)定，應(yīng)依業(yè)務(wù)存取控制規(guī)定辦理。2、使用者應(yīng)在授權(quán)範(fàn)圍內(nèi)存取網(wǎng)路系統(tǒng)服務(wù)事項。（二）強制性的通道1、從使用者端末機連接電腦系統(tǒng)之線路，應(yīng)適當(dāng)加以控制（例如：建立強制性的通道），以減少未經(jīng)授權(quán)存取系統(tǒng)或電腦設(shè)施之風(fēng)險。2、應(yīng)建立強制性的通道，防止未被授

5、權(quán)的使用者從不同的管道進(jìn)入電腦系統(tǒng)。3、建立強制性的通道應(yīng)考量的安全措施如下：（1）指定專線及電話號碼。（2）自動將通訊埠連上特定的應(yīng)用系統(tǒng)及安全通道。（3）限制使用者只能選擇特定的路線。（4）防止無限制的網(wǎng)路漫遊。（三）使用者身分鑑別1、開放機關(guān)以外的使用者從公眾網(wǎng)路，或從機關(guān)網(wǎng)路以外的網(wǎng)路與本機關(guān)連線作業(yè)，應(yīng)建立遠(yuǎn)端使用者身分鑑別機制，以降低未經(jīng)授權(quán)存取系統(tǒng)的風(fēng)險。2、可考量使用「詰問及回應(yīng)」（challengeresponse）或