數位發展部主管法規共用系統

一、為推動資通安全管理法第六條第一項所定資通安全整體防護事宜，協
    助公務機關完備電子看板之管理，降低設備遭入侵、內容遭竄改、錯
    假訊息擴散、維運管理失當及供應鏈所生之資通安全風險，特訂定本
    須知。

二、本須知用詞，定義如下：
（一）電子看板：指用於播放公告、宣導或資訊之顯示設備，其包含看板
      播放端、管理端及內容更新機制。
（二）看板播放端：指實際播放電子看板內容之終端設備。
（三）管理端：指中控平台、內容管理系統、管理伺服器或其他用以派送
      、排程、管理或維運電子看板內容之系統。
（四）離線單機型電子看板：指未接取任何對外網路，僅透過實體介面由
      人工手動更新內容之電子看板。
（五）網路連線型電子看板：指可連網更新內容，並得透過程式或管理系
      統進行內容派送、排程及維運之電子看板。

三、公務機關應明確釐訂管理權責分工，並辦理下列事項：
（一）權責分工原則由業務單位統籌辦理，並請資訊單位協助資通安全防
      護相關事項；如為委外維運，則由業務單位請委外廠商配合完備資
      通安全相關措施，並由資訊單位複核。
（二）建立並定期更新電子看板清冊及業務聯繫窗口資訊，並得結合資產
      盤點作業辦理。
（三）定期檢查設備外觀，確認無遭破壞或加裝側錄裝置等異常狀態。
（四）通用作業系統應部署端點防護軟體，並關閉非必要服務、連接埠及
      封鎖閒置之實體介面。
（五）定期執行作業系統及應用軟體之安全性更新。

四、公務機關對電子看板之帳號管理及內容發布，應符合下列事項：
（一）依最小權限原則配置帳號，禁止共用帳號及密碼或使用預設密碼；
      因應運作需要得設置受控之專用服務帳號支援自動登入。
（二）建立內容發布流程，包括上架審核、版本更新、緊急下架或回復等
      程序，並留存內容發布及設定變更紀錄。

五、公務機關委外辦理電子看板建置或維運管理，應落實委外及供應鏈安
    全管理，並符合下列事項：
（一）公務機關應依資通安全管理法第十條規定，落實受託者之選任及監
      督；其委外契約應載明服務範圍、資安責任分工、故障與異常通報
      、復原時限、弱點修補及日誌留存等要求。
（二）電子看板之產品、軟體或雲端服務如有危害國家資通安全之疑慮時
      ，應依資通安全管理法第十一條及危害國家資通安全產品審查辦法
      等相關規定辦理。

六、離線單機型電子看板除依第三點至前點規定辦理外，並應符合下列事
    項：
（一）外接儲存媒體限用公務儲存媒體，且接取前應完成惡意程式掃描。
（二）留存人工更新紀錄，記載更新時間、內容來源及作業人員。

七、網路連線型電子看板除依第三點至第五點規定辦理外，並應符合下列
    事項：
（一）看板播放端及管理端應採獨立網段區隔；看板播放端不得與一般辦
      公內網混用。
（二）連線跨越公開網路者，應採 Site-to-Site VPN 或加密連線機制；
      管理介面禁止直接暴露於網際網路，並應採白名單存取控制及多因
      子認證機制。
（三）設備應建立唯一身分識別及專屬連線授權機制（如憑證或權杖），
      並由管理端定期輪替且不得共用。
（四）完整留存設備登入、內容更新、網路連線等日誌，保存期限依資通
      安全責任等級分級辦法附表十資通系統防護基準有關事件日誌與可
      歸責性構面之控制措施辦理，並得介接至集中日誌平台。
（五）遠端維護應採申請核准制，限縮連線對象、時段及權限，過程應集
      中控管並留存紀錄，作業完成後立即關閉。

八、電子看板發生異常畫面、疑似入侵或其他資通安全事件時，應辦理下
    列事項：
（一）拍照或錄影存證，並記錄時間、畫面及處置動作。
（二）優先防止錯假訊息持續散布；必要時得關閉看板播放端電源，或採
      斷網措施抑制擴散並保留跡證。
（三）依資通安全管理法及相關規定，通報資安窗口並於時限內辦理資通
      安全事件通報。
（四）復原前應完成惡意程式清除、弱點修補、帳密重設及權限盤點等措
      施，確認後始得重新使用。
（五）其餘未盡事項，依各機關資通安全事件通報及應變處理作業程序規
      定辦理。

九、公務機關得請公有場域委外營運之民間業者，就其場域之電子看板，
    參考本須知進行自主管理；公務機關應與民間業者建立通報機制，請
    民間業者於接獲異常情事時，能即時應處，並於處置後向公務機關回
    報結果。

十、本須知實施前，未能符合規範之電子看板，應於既有契約履約期限屆
    滿或設備汰換時配合調整；調整前公務機關應採取適當之補償性防禦
    措施（Compensating Controls） 。

十一、資通安全管理法所定之特定非公務機關，得參考本須知之規定辦理
      。