TEST123

委外資訊系統建置需求標準作業流程說明

一、執行目的

為提升行政效率及服務品質，協助各行政單位強化委外資訊系統之自主管理能力， 並督促受託廠商建置及維運穩定、安全之資訊系統，請各單位於辦理資訊系統採購、 建置或續約維護前，依本作業流程相關檢核項目先行辦理自我檢核。

相關資通安全要求應納入招標需求書、規格文件或採購合約內， 並於「S3.委外資訊系統建置需求標準作業流程表」註明對應文件及頁碼後， 送計網中心協助檢視資通安全相關事項並提供建議。

涵蓋範圍：全校委外資訊系統。

檢核重點： 依資通安全管理法、個人資料保護法、相關政府法規及本校資訊安全管理制度等規範辦理。

作業流程圖： 委外資訊系統建置需求標準作業流程圖說明（PDF）

二、作業流程步驟說明

步驟一、下載相關表單 :下載委外資訊系統建置需求相關表單

[文件對照說明]

 
表冊編號 單位申請審核文件 參考對應文件
S1 資訊系統安全等級評估表V1.5-1150703 依「資通系統防護需求分級原則」評定資通系統之防護需求等級， 作為後續適用資通系統防護基準控制措施之依據。
S2 委外資訊系統契約參考V3.5-1151013
(委外資訊系統合約書或招標規格書草案或需求建議書)		 可參考「委外資訊系統契約參考 V3.5-1151013」及資通系統防護基準之控制措施編製，並依系統防護需求等級納入相關資通安全要求。
S3 委外資訊系統建置需求標準作業流程V3.5-20261013 依 S2 實際契約、招標規格書或需求建議書內容逐項辦理自我檢核， 並註明對應文件頁碼、未符合原因或不適用原因。
表冊編號 廠商確認交付文件 文件簡要說明
T1 附表十資通系統防護基準(原頁面開啟)
(T1 屬於法規要求，敬請自行參閱上述連結以確認最新版本的附表十)		 屬法規所定之資通系統防護基準。 請依 S1 評定之系統防護需求等級，確認並落實附表十所定之適用控制措施； 法規如有修正，以主管機關最新公告版本為準。
T2 資通系統防護基準自我檢核表V2-20261022 依現行「資通系統防護基準」控制措施整理之自我檢核文件。 請依 S1 評定之系統防護需求等級，逐項確認適用控制措施之落實情形， 並填列實施方式、現況說明或相關佐證資料。 如主管機關修正資通系統防護基準或本校更新表單版本， 請以最新公告內容辦理。
T3 應用系統使用公鑰憑證處理之安全檢查表-10909 系統涉及公鑰憑證應用者，應依相關規範辦理安全檢查， 並視案件實際需求納入契約及驗收事項。

步驟二、單位與廠商協議需求並進行自我檢核

  1. 依「資通系統防護需求分級原則」評定資通系統之防護需求等級， 完成 S1.資訊系統安全等級評估表。

    如屬非資訊系統類之服務，例如單純設備採購、顧問服務等， 可免填寫 S1 內容，但請於檔案名稱註記「非系統類服務」並一併上傳， 以利後續辨識。

  2. 依 S1 評定之防護需求等級，對照現行「資通系統防護基準」確認應適用之控制措施， 並參考 T2.資通系統防護基準自我檢核表及相關契約參考文件， 將適用之資通安全要求納入招標需求書、規格文件、需求建議書或採購契約。

  3. 申請單位與廠商就系統功能、建置、維運及資通安全需求進行溝通協調， 完成 S2.委外資訊系統合約書、招標規格書草案或需求建議書。

  4. 依 S2 文件內容逐項填寫 S3.委外資訊系統建置需求標準作業流程表：

    • 符合：請註明 S2 、招標規格書或需求建議書內容等...對應條文、項目及頁碼。
    • 未符合：請敘明未能達成之原因及相關替代措施。
    • 不適用：請敘明不適用原因。

步驟三、線上申請並上傳相關文件

  1. 線上申請網址： 委外資訊系統線上申請

  2. 請使用校園入口網站帳號密碼登入，並備妥下列文件依序上傳：

    • S1.資訊系統安全等級評估表
    • S2.委外資訊系統合約書、招標規格書草案或需求建議書
    • S3.委外資訊系統建置需求標準作業流程表

步驟四、計網中心協助第一次檢視並提供建議

計網中心依各組業務權責，協助檢視申請文件提供未符合項次說明及建議Email給申請人，並提供諮詢管道。。

如有未符合、內容不明確或建議補充事項， 將提供相關說明及建議予申請單位，並提供諮詢管道。

計網中心之檢視以資通安全及相關技術、管理要求之諮詢與建議為原則； 採購需求、契約內容及履約管理仍由各業管單位依權責辦理。

步驟五、申請單位依建議與廠商確認並修訂文件

  1. 申請單位依計網中心提供之檢視意見， 與廠商確認並修訂 S2.委外資訊系統合約書、招標規格書草案或需求建議書。
  2. 依修正後之 S2 文件，同步更新 S3.委外資訊系統建置需求標準作業流程表 及其對應頁碼。
  3. 涉及法令、主管機關規定或本校強制性資通安全要求者， 應完成必要修正；其餘屬風險管理或建議性事項， 由申請單位依業務需求及風險評估結果辦理。
  4. 文件確認完成後，申請者請列印 S1、S2、S3 相關文件， 送請單位主管核章，再送計網中心確認。

步驟六、計網中心第二次紙本確認

  1. 計網中心依前次檢視意見，協助確認相關文件修正情形。
  2. 如仍有屬建議性或風險管理事項未採行者， 由申請單位依業務需求及風險評估結果辦理後續管理。
  3. 如發現涉及法令、主管機關規定或本校強制性資通安全要求， 且尚未完成修正者，將敘明原因退請申請單位修正； 如涉及重大資通安全風險或有疑義者，得提請資安長裁示。

步驟七、申請單位完成採購或簽約並落實相關要求

「委外資訊系統建置需求標準作業流程」各項檢核重點， 係依資通安全管理法、個人資料保護法、相關政府法規及本校資訊安全管理制度等規範訂定。

申請單位應依計網中心提供之資通安全檢視意見， 將必要之資通安全要求納入正式招標需求、規格文件或契約， 並於後續履約、驗收及維運階段持續落實相關管理措施。

涉及法令或強制性資通安全要求者應依規定辦理； 其他經風險評估後未採行之建議事項， 由業管單位依權責負責後續風險管理及履約管考。