- 本辦法依電信管理法（以下簡稱本法）第十五條第三項規定訂定之。
- 本辦法未規定者，適用其他有關法令之規定。
原始資料來源：全國法規資料庫、立法院法學系統全國法規資料庫來源異動 109.07.09
電信事業資通安全管理辦法
條號直達點條號跳到條文，懸停看白話小標
- 電信事業應於主管機關通知之日起三個月內，訂定資通安全維護計畫，報請主管機關備查，並依該計畫實施。
- 前項電信事業提報之資通安全維護計畫不完備者，應於主管機關通知之期限內補正。
- 第一項資通安全維護計畫之資通安全管理範圍至少應包含下列項目： 一、電信網路之設備及功能元件、電信設備機房及網路管理中心機房等。 二、公眾電信網路維運系統，包含作業維運系統及業務維運系統。其中作業維運系統包括核心網路、接取網路等維運系統；業務維運系統包括用戶資料、客服與帳務等維運系統。 三、為保護前二款所設置之資通安全防護設施。
- 第一項資通安全維護計畫之各項資通訊系統防護分級處理方式，電信事業應依主管機關公告之資通訊防護等級分級原則辦理。
- 電信事業應於提供電信服務之日起二年內，通過下列資通安全管理驗證並維持其有效性： 一、CNS27001國家標準或ISO/IEC27001國際標準。 二、主管機關公告之電信事業資通安全管理手冊ISO/IEC27011增項稽核表。
- 前項驗證範圍應於驗證前報請主管機關核准，變更時亦同。
- 電信事業有下列情形之一時，經主管機關通知後提出修正之驗證範圍，報請主管機關核准，並於主管機關指定期限內通過資通安全管理驗證： 一、發生資通安全事件達資通安全事件通報及應變辦法規定之第三級資通安全事件以上者。 二、有危害國家安全或資通安全之虞，經有關機關通知者。
- 第一項期間，經國家安全或資通安全有關機關通知，主管機關得命電信事業縮減之。
- 電信事業資通安全維護計畫執行方式應載明下列事項： 一、資通安全政策及目標。 二、核心業務及其重要性。 三、公眾電信網路資通安全維護範圍。 四、資通安全推動組織。 五、資訊及資通系統之盤點規劃。 六、資通安全風險評估。 七、資通安全防護及控制措施。 八、資通安全維護計畫與實施情形之持續精進及績效管理機制。
- 前項電信事業經主管機關指定為關鍵基礎設施提供者時，其資通安全維護計畫執行方式除應載明前項各款外應包括下列事項： 一、專責人力及經費之配置。 二、資通安全長之配置。 三、資通安全事件通報、應變及演練相關機制。 四、資通安全情資之評估及因應機制。 五、資通系統或服務委外辦理之管理措施。 六、所屬人員辦理業務涉及資通安全事項之考核機制。 七、資通安全偵測與防護之建置及執行方案。 八、執行前款執行方案所蒐集、儲存、處理及利用用戶之隱私與個人資料安全保護措施。 九、通過資通安全管理驗證之執行方案。
- 電信事業之資通安全維護計畫內容變更時，應敘明理由報請主管機關備查。
- 前項計畫應載明事項有不完備者，電信事業應於主管機關通知之期限內完成補正。
- 電信事業應以實體隔離方式設置電信設備機房，並具備獨立出入口。
- 前項出入口應設置全天候入侵告警與錄影監控之門禁安全管理系統，告警與錄影紀錄至少應保存六個月。
- 第一項電信設備機房除設置、維護、監督或其他營運必要之目的外，禁止任何人進入機房。
- 電信事業設置之電信設備機房應訂定機房安全管理作業規定。
- 前項電信設備機房之安全管理作業規定至少包含下列項目： 一、權責劃分：包含安全維護區、負責單位、員工編制及職掌、員工進出機房權限等。 二、門禁管理：包含進出機房人員之姓名、身分證統一編號或護照號碼等身分識別、所屬機關（構）、進出時間、進入目的、複查人員之複查紀錄及物品進出機房等管理。 三、維運管理：包含員工維運或協力廠商維護機房設備等管理。 四、環境管理：包含消防、保全、電力及相關設施管理。 五、管理紀錄：包含門禁管理、維運管理及環境管理等紀錄。 六、查核作業：包含定期與不定期查核作業。
- 前項第五款管理紀錄應至少保存六個月。
- 第四項機房安全管理作業規定，主管機關得視電信事業實施狀況要求電信事業變更之。
- 電信事業應落實執行第四項機房安全管理作業規定，主管機關得定期或視需要派員查核之。
具危害國家安全疑慮之人員，經國家安全或資通安全有關機關知會主管機關，電信事業應依主管機關通知，禁止該人員進入電信設備機房。
- 主管機關為辦理前條第一項之稽核，得組成稽核小組。
- 前項稽核小組成員三人至七人，由具備資通安全政策或該次稽核所需之技術、管理、法律或實務專業知識之公務機關代表或專家學者擔任；其中公務機關代表不得少於全體成員人數之三分之一。
- 前項公務機關代表或專家學者有下列情形之一者，應主動迴避擔任該次稽核之稽核小組成員： 一、本人、其配偶、三親等內親屬、家屬或上開人員財產信託之受託人，與受稽核之特定非公務機關或其負責人間有財產上或非財產上之利害關係。 二、本人、其配偶、三親等內親屬或家屬，與受稽核之特定非公務機關或其負責人間，目前或過去二年內有僱傭、承攬、委任、代理或其他類似之關係。 三、本人目前或過去二年內，曾為受稽核之特定非公務機關進行與受稽核項目相關之顧問輔導。 四、其他足認擔任稽核小組成員將影響稽核結果公正性之情形。
- 主管機關應以書面與稽核小組成員約定利益衝突之迴避事項及執行稽核之保密義務。
- 電信事業之資通安全維護計畫實施情形，經稽核後認有缺失或待改善者，應於收受主管機關交付之稽核結果報告後一個月內，向主管機關提出改善報告。
- 前項受稽核之電信事業提出改善報告後，應依主管機關指定之方式及時間，提出改善報告之執行情形；主管機關認有必要時，得要求該電信事業說明或改善。
本辦法自中華民國一百零九年七月一日施行。
事實摘要
以下各句為自含語境之客觀事實描述；引用請以全國法規資料庫為準。
- 電信事業資通安全管理辦法全文共 14 條，最新異動日為 109.07.09，全文收錄於法律人 LawPlayer；條文以全國法規資料庫為準。
- 本頁為全國法規資料庫公開法規全文之整理呈現，非正式公布文本；引用請以全國法規資料庫為準（LawPlayer 整理）。