資通安全管理法 第 23 條

不行。第 23 條明文規定資安長必須是代表人、管理人、其他有代表權的人，或由這些人正式指派的「適當人員」。把最基層的 MIS 拉來掛名，稽核時會被認定不符合法定要件。實務上主管機關看的是這個人有沒有實際的指揮調度權，一個調不動其他部門的人，掛了也等於沒設。

資安長不會因為擔任這個職位本身就有刑責。第 23 條是組織法規定，課的是行政管理責任。但如果資安事件牽涉個資外洩、業務過失或隱匿不報，相關責任可能依個資法、刑法另外追究。真正的風險是出事後能不能證明你有實際在推動監督，留下會議紀錄、稽核軌跡、改善追蹤，是資安長保護自己的關鍵。

要求特定非公務機關設置資通安全長，並把資安責任綁定到具代表權的決策層，是關鍵基礎設施的核心治理義務。

資安長是決策層的推動監督者（第 23 條），資安專職人員是執行面的辦理人員（第 21 條），層級與職責不同。

被指定的關鍵基礎設施提供者、政府捐助之財團法人、公股事業等，受資安法課予維護義務的私部門機關。

依法或依章程得對外代表機關為意思表示之人，例如董事長、總經理，或其正式指派的適當人員。

確認被指定身分 → 從代表人或有代表權人中選任或正式指派 → 完成書面指派 → 賦予實質職權 → 建立推動監督紀錄。

保留會議紀錄、稽核軌跡、改善追蹤等文件，作為事件調查時證明實際推動監督的依據。

依主管機關核定的法遵期限辦理，最佳做法是在收到正式指定與期限前就先佈局，避免臨時掛名。

屬資安維護義務一環，可能面臨主管機關限期改正或裁罰；發生事件時更會成為課責的不利證據。

第 12 條規範公務機關（首長指派副首長兼任），第 23 條規範特定非公務機關（須代表人或有代表權人或其指派）。

資安法走關鍵基礎設施，金管會/證交所走公開發行公司治理，兩套要求可能同時罩到同一家公司。