委外資訊系統建置需求標準作業流程說明

:::

執行目的：為提升行政效率及服務品質，協助各行政單位強化委外資訊系統之自主管理能力，並督促受託廠商建置及維運穩定、安全之資訊系統，請各單位於辦理資訊系統採購、建置或續約維護前，依本作業流程相關檢核項目先行辦理自我檢核。

相關資通安全要求應納入招標需求書、規格文件或採購合約內，並於「S3.委外資訊系統建置需求標準作業流程表」註明對應文件及頁碼後，送計網中心協助檢視資通安全相關事項並提供建議。

涵蓋範圍：全校委外資訊系統
檢核重點：遵循資通安全管理法、個人資料保護法、相關政府法規及本校資訊安全管理制度等規範辦理。
作業流程圖：委外資訊系統建置需求標準作業流程圖說明.PDF

作業流程步驟說明：

步驟一、下載相關表單.ZIP

【文件對照說明】：

文件對照說明
表冊編號	單位申請審核文件	參考對應文件
S1	資訊系統安全等級評估表V1.5-1150703	依「資通系統防護需求分級原則」評定資通系統之防護需求等級，作為後續適用資通系統防護基準控制措施之依據。
S2	委外資訊系統契約參考V3.5-1151013 (委外資訊系統合約書或招標規格書草案或需求建議書)	資通系統防護基準之控制措施可參考1.委外資訊系統簽約注意事項參考範本、2.「委外資訊系統契約參考 V3.5-1151013」、3.資通系統防護基準之控制措施編製，並依系統防護需求等級納入相關資通安全要求。
S3	委外資訊系統建置需求標準作業流程V3.5-20261013	依 S2 實際契約、招標規格書或需求建議書內容逐項辦理自我檢核，並註明對應文件頁碼、未符合原因或不適用原因。
表冊編號	廠商確認交付文件	文件簡要說明
T1	附表十資通系統防護基準(原頁面開啟) (T1 屬於法規要求，敬請自行參閱上述連結以確認最新版本的附表十)	屬法規所定之資通系統防護基準。請依 S1 評定之系統防護需求等級，確認並落實附表十所定之適用控制措施；法規如有修正，以主管機關最新公告版本為準。
T2	資通系統防護基準自我檢核表V2-20261022	依現行「資通系統防護基準」控制措施整理之自我檢核文件。請依 S1 評定之系統防護需求等級，逐項確認適用控制措施之落實情形，並填列實施方式、現況說明或相關佐證資料。如主管機關修正資通系統防護基準或本校更新表單版本，請以最新公告內容辦理。
T3	應用系統使用公鑰憑證處理之安全檢查表-10909	國發會要求政府機關應納入契約驗收項目，確保系統安全。

步驟二、單位與廠商協議合約並進行自我檢核：

1、依「資通系統防護需求分級原則」評定資通系統之防護需求等級，完成 S1.資訊系統安全等級評估表。(如屬非資訊系統類之服務，例如單純設備採購、顧問服務等，可免填寫 S1 內容，但請於檔案名稱註記「非系統類服務」並一併上傳，以利後續辨識。)

2、依 S1 評定之防護需求等級，對照現行「資通系統防護基準」確認應適用之控制措施，並參考 T2.資通系統防護基準自我檢核表及相關契約參考文件，將適用之資通安全要求納入招標需求書、規格文件、需求建議書或採購契約。
3、申請單位與廠商就系統功能、建置、維運及資通安全需求進行溝通協調，完成 S2.委外資訊系統合約書、招標規格書草案或需求建議書。
4、依 S2 文件內容逐項填寫 S3.委外資訊系統建置需求標準作業流程表：

符合：請註明 S2 、招標規格書或需求建議書內容等...對應條文、項目及頁碼。
未符合：請敘明未能達成之原因及相關替代措施。
不適用：請敘明不適用原因。

步驟三、線上申請審核並上傳表單：

1、線上申請審核網址 https://cnc.ntut.edu.tw/p/423-1004-2529.php?Lang=zh-tw(另開新視窗)
2、請用校園入口網站帳密登入後，備妥下列表單依序上傳
S1. 資訊系統安全等級評估表
S2. 委外資訊系統合約書或招標規格書草案或需求建議書
S3. 委外資訊系統建置需求標準作業流程表

步驟四、計中協助第一次審核並提供建議：

計網中心依各組業務權責，協助檢視申請文件提供未符合項次說明及建議Email給申請人，並提供諮詢管道。
如有未符合、內容不明確或建議補充事項，將提供相關說明及建議予申請單位，並提供諮詢管道。

計網中心之檢視以資通安全及相關技術、管理要求之諮詢與建議為原則；採購需求、契約內容及履約管理仍由各業管單位依權責辦理。

步驟五、單位請依法規及建議請廠商修訂合約：

1、單位依計中審核建議修正並評估可承擔風險，與廠商修訂完成S2. 委外資訊系統合約書或招標規格書草案或需求建議書
2、依修正後之 S2 文件，同步更新 S3.委外資訊系統建置需求標準作業流程表及其對應頁碼。
3、涉及法令、主管機關規定或本校強制性資通安全要求者，應完成必要修正；其餘屬風險管理或建議性事項，由申請單位依業務需求及風險評估結果辦理。

4、文件確認完成後，申請者請列印 S1、S2、S3 相關文件，送請單位主管核章，再送計網中心確認。

步驟六、計中紙本文件審核：

1、計網中心依前次檢視意見，協助確認相關文件未符合項目修正情形。

2、計中各組第二次紙本審核，若有未依檢核重點建議事項修正部分，將視為單位願意自行承擔負責之風險。

3、若計中各組第二次紙本審核發現有嚴重違反法規必須配合之事項，將註明原因後退件給申請者修正或交由資安長裁示。

步驟七、單位與廠商簽訂正式合約並落實相關法規：

委外資訊系統建置需求標準作業流程各檢核重點遵循資通安全管理法、個資法及政府法規與本校資訊安全管理制度等規範訂定要求。

申請單位應依計網中心提供之資通安全檢視意見，將必要之資通安全要求納入正式招標需求、規格文件或契約，並於後續履約、驗收及維運階段持續落實相關管理措施。
涉及法令或強制性資通安全要求者應依規定辦理；其他經風險評估後未採行之建議事項，由業管單位依權責負責後續風險管理及履約管考。

友善列印