委外SOP_SAMPLE1

執行目的：為提升行政效率及服務品質，協助各行政單位強化委外資訊系統之自主管理能力， 並督促受託廠商建置及維運穩定、安全之資訊系統，請各單位於辦理資訊系統採購、 建置或續約維護前，依本作業流程相關檢核項目先行辦理自我檢核。
相關資通安全要求應納入招標需求書、規格文件或採購合約內， 並於「S3.委外資訊系統建置需求標準作業流程表」註明對應文件及頁碼後， 送計網中心協助檢視資通安全相關事項並提供建議。
涵蓋範圍：全校委外資訊系統
檢核重點：遵循資通安全管理法、個人資料保護法、相關政府法規及本校資訊安全管理制度等規範辦理。
作業流程圖：委外資訊系統建置需求標準作業流程圖說明.PDF
作業流程步驟說明：
步驟一、下載相關表單.ZIP
【文件對照說明】：
文件對照說明
表冊編號 單位申請審核文件 參考對應文件
S1 資訊系統安全等級評估表V1.5-1150703 依「資通系統防護需求分級原則」評定資通系統之防護需求等級， 作為後續適用資通系統防護基準控制措施之依據。
S2 委外資訊系統契約參考V3.5-1151013
(委外資訊系統合約書或招標規格書草案或需求建議書)		 資通系統防護基準之控制措施可參考1.委外資訊系統簽約注意事項參考範本 2.「委外資訊系統契約參考 V3.5-1151013」3.資通系統防護基準之控制措施編製，並依系統防護需求等級納入相關資通安全要求。
S3 委外資訊系統建置需求標準作業流程V3.5-20261013 依 S2 實際契約、招標規格書或需求建議書內容逐項辦理自我檢核， 並註明對應文件頁碼、未符合原因或不適用原因。
表冊編號 廠商確認交付文件 文件簡要說明
T1 附表十資通系統防護基準(原頁面開啟)
(T1 屬於法規要求，敬請自行參閱上述連結以確認最新版本的附表十)		 屬法規所定之資通系統防護基準。 請依 S1 評定之系統防護需求等級，確認並落實附表十所定之適用控制措施； 法規如有修正，以主管機關最新公告版本為準。
T2 資通系統防護基準自我檢核表V2-20261022 依現行「資通系統防護基準」控制措施整理之自我檢核文件。 請依 S1 評定之系統防護需求等級，逐項確認適用控制措施之落實情形， 並填列實施方式、現況說明或相關佐證資料。 如主管機關修正資通系統防護基準或本校更新表單版本， 請以最新公告內容辦理。
T3 應用系統使用公鑰憑證處理之安全檢查表-10909 國發會要求政府機關應納入契約驗收項目，確保系統安全。
步驟二、單位與廠商協議合約並進行自我檢核：
1、依「資通系統防護需求分級原則」評定普中高，產出S1. 資訊系統安全等級評估表。(非系統類的服務，如:設備、顧問案等...可以不用寫S1.「資訊系統安全等級評估表」，但是檔名需要註記非系統類服務並一併上傳)
2、依上述S1表單評定等級對應「資通系統防護基準」的控制措施及參考「委外資訊系統簽約注意事項參考範本」草擬合約內容。
3、與廠商溝通協調合約內容初議草約，產出S2. 委外資訊系統合約書或招標規格書草案或需求建議書。
4、依上述S2表單對應檢核要項，自我檢核是否符合，產出S3. 委外資訊系統建置需求標準作業流程表。(符合請敍明文件頁數編號，未符合請註明無法達成之原因)
步驟三、線上申請審核並上傳表單：
1、線上申請審核網址 https://cnc.ntut.edu.tw/p/423-1004-2529.php?Lang=zh-tw(另開新視窗)
2、請用校園入口網站帳密登入後，備妥下列表單依序上傳
  S1. 資訊系統安全等級評估表
  S2. 委外資訊系統合約書或招標規格書草案或需求建議書
  S3. 委外資訊系統建置需求標準作業流程表
步驟四、計中協助第一次審核並提供建議：
計中各組第一次審核，提供未符合項次說明及建議Email給申請人，並提供諮詢管道。
步驟五、單位請依法規及建議請廠商修訂合約：
1、單位依計中審核建議修正並評估可承擔風險，與廠商修訂完成S2. 委外資訊系統合約書或招標規格書草案或需求建議書
2、依上述S2表單修正S3. 委外資訊系統建置需求標準作業流程表。
3、申請者請印出S1、S2、S3相關表單，送請單位主管核章並送計中核章確認結案。
步驟六、計中紙本文件審核：
1、計中各組第二次紙本審核，若有未依檢核重點建議事項修正部分，將視為單位願意自行承擔負責之風險。
2、若計中各組第二次紙本審核發現有嚴重違反法規必須配合之事項，將註明原因後退件給申請者修正或交由資安長裁示。
步驟七、單位與廠商簽訂正式合約並落實相關法規：
委外資訊系統建置需求標準作業流程各檢核重點遵循資通安全管理法、個資法及政府法規與本校資訊安全管理制度等規範訂定要求。
請依計網中心審核說明及建議修正於正式合約，若有未符合法規或未改善事項由單位自行負責。