資通安全管理法 第 8 條

依本條第一項，主管機關得定期或不定期稽核，代表既有例行稽核，也可能無預警臨檢。第五項規定主管機關須擬訂年度稽核計畫報行政院核定後辦理。因為有不定期稽核，把資安執行紀錄維持在隨時可調閱的狀態，比稽核前才臨時抱佛腳安全得多。

通常不會直接罰。依本條第二項，會先進入改善報告的迴圈，由收受機關或中央目的事業主管機關審查，必要時要求說明或調整。但若缺失牽涉責任等級該做未做，且屆期仍不改善，特定非公務機關可能依罰則條文受罰。第一份改善報告的品質決定迴圈長短。

主管機關依資通安全管理法第 8 條查核機關資通安全維護計畫的實施情形，重點在有沒有真的執行，而非文件是否漂亮。

指計畫對應的實際執行證據，例如教育訓練簽到、演練紀錄、滲透測試報告，拿不出來即算未落實。

針對稽核缺失提出的報告，須載明缺失項、改善措施、完成時程、驗證方法四件事。

公務機關及特定非公務機關，依其資通安全責任等級（第 7 條）對應的維護計畫實施情形。

先盤點每項計畫對應的執行證據是否齊全 → 整理成可即時調閱 → 稽核當下能舉證，缺失認定最少。

載明缺失項、改善措施、完成時程、驗證方法，寫到具體可查，避免空泛的『已加強控管』被退回。

公務機關送第 14 條收受機關、特定非公務機關送中央目的事業主管機關審查後，由審查機關送交主管機關。

靠教育訓練簽到、演練紀錄、滲透測試報告、設備設定紀錄等可調閱的執行證據，當場舉證最有利。

定期是例行排程，不定期可能無預警臨檢。因有不定期，執行紀錄要維持隨時可調閱，不能臨時抱佛腳。

公務機關送第 14 條收受機關審查，特定非公務機關送中央目的事業主管機關審查，最後都送主管機關。