為符合🔗《資通安全管理法》第 10 條、🔗《資通安全管理法施行細則》第 7 條第 1 項、🔗《資通安全責任等級分級辦法》第 11 條第 2 項之規定，敬請本校同仁辦理資通服務委外採購時（包含小額採購），依本網頁所列各項作業規範及注意事項辦理，要求受託廠商簽署資通安全條款、保密切結書等相關文件。落實前述要求，除可確保委外作業符合相關資通安全法規外，於實務上亦可保障本校權益、降低委外過程之資通安全風險，並明確化雙方責任及風險分擔。

• 應請受託廠商簽署本校「🔗資通服務委外之資通安全條款切結書」。
• 如果受託廠商會蒐集、處理或利用個人資料，則還要再請受託廠商一併簽署本校「🔗個人資料委外監督及保護條款切結書」。
• 簽署時機：
  • 如有招標程序，應於招標前將上述切結書納入招標文件。
  • 如有簽署契約，應將上述切結書納入契約內容。
  • 如未簽署契約，則另行請受託廠商簽署上述切結書。
• 切結書內容調整原則：請依專案實際需求，調整紅字內容，並可以將不適用之條款刪除。
  ► 例如：專案金額未達新臺幣一千萬元者，得刪除「資通服務委外之資通安全條款切結書」第 19 條。
  ► 例如：專案未涉及資通系統建置與維運者，得刪除「資通服務委外之資通安全條款切結書」之「柒、資通系統之建置與維運」所列各條款。
  ► 備註：「個人資料委外監督及保護條款切結書」第 2 條勾選選項所提及之「個資自行評估作業」，可參考「🔗個人資料安全查核表_初階自評版」辦理。

• 廠商保密切結：應請受託廠商以其公司名義，簽署 1 份本校「🔗PIMS-2-015-02委外廠商保密切結書」。
• 人員保密切結：應請所有參與專案之受託廠商人員，每人各自簽署 1 份本校「🔗PIMS-2-015-03委外廠商人員保密切結書」。

如果專案涉及資通系統建置與維運，則應注意下列事項：

• 評估防護需求等級：應依據《🔗資通安全責任等級分級辦法》附表九，評估專案所涉及資通系統之防護需求等級，並據以勾選「資通服務委外之資通安全條款切結書」第 20 條所述防護需求等級。
  ► 防護需求等級越高，則該資通系統所需資安防護措施越多，詳如《🔗資通安全責任等級分級辦法》附表十。
• 資安經費編列：如有招標程序，應請廠商於估價單等投標文件中明列資安經費，且至少占資訊經費的 5%。
  ► 參考範例：🔗數發部「資通系統籌獲各階段資安強化措施」網頁之🔗附件1_廠商估價單_資安作業範例
• 評選作業原則：
  • 宜採最有利標、不訂底價為原則，並以評選方式選任廠商。
  • 資安配分要求：應將資安作為納入評選項目，配分至少占總分 10%；假如系統或服務占比低於 10%，則配分至少占 5%。
    ► 參考範例：數發部「資通系統籌獲各階段資安強化措施」網頁之🔗附件2_評選委員評選表_範例
  • 廠商自評：評選前應請廠商針對資安作為進行自我評估，以利後續說明履約之資安作為。
    ► 參考範例：數發部「資通系統籌獲各階段資安強化措施」網頁之🔗附件3_廠商資安管理作業自我評估表_範例

• 系統上線前盤點：如果專案涉及資通系統建置與維運，應於系統上線前，協同受託廠商填寫本校「🔗資通系統盤點表」。
  其中「03_系統防護基準檢核表」分頁，應依據系統防護需求等級，請受託廠商評估其符合情形並檢附相關佐證資料。完成後請將盤點表寄送至 isms@ncnu.edu.tw。
• 新增人員保密簽署：如果受託廠商有新增人員參與專案，應請該人員簽署 1 份本校「個人資料委外監督及保護條款切結書」。

🔗 重點文件下載連結

• 🔗資通服務委外之資通安全條款切結書
• 🔗個人資料委外監督及保護條款切結書
• 🔗PIMS-2-015-02委外廠商保密切結書
• 🔗PIMS-2-015-03委外廠商人員保密切結書
• 🔗資通系統盤點表