司法院及所屬各機關資訊安全事件通報及應變作業處理程序 第 6 條

六、資安事件應變作業處理程序： （一）狀況判斷： 1.各機關就資安事件之徵兆，查明事件狀況、安全等級區分、判定可能影響範圍、評估可能損失、判斷是否需要支援申請等作業項目逐一檢討與處置；並保留被入侵或破壞等證據（如網頁置換等）。 2.透過系統弱點（病毒）資料庫、上網站、技術支援單位（或廠商）等方式，查詢獲得解決方案（如下載漏洞修補程式、解毒程式等）；或依既定之緊急應變計畫，實施災害緊急應變搶修處置（如保護、救援、回復運轉等），並持續性主動積極之監控與追蹤管制。 3.視損害程度啟動備援計畫等應變措施。 4.如屬新生（以往未發生過）無法解決之危害事件，應迅速向本院資安小組反映，請求提供相關技術支援。 5.執行其他災害應變及防止事件擴大之措施。 （二）應變作業優先順序如後： 1.審判服務：民刑整合系統、行政法院審判系統、筆錄電腦化系統、前案通撤緝系統、法學檢索系統等。 2.資訊網路：司法網路、GSN VPN 網路、機關內部網路等。 3.一般行政：公文電子交換系統、公文系統、差勤系統、訓練業務行政系統、人事系統、薪資系統等。 4.網路服務：防火牆、DNS 、網站伺服器、電子郵件伺服器、防毒主機等。 （三）分類應變作業處理程序： 1.內部資安事件：應迅速查明事件影響狀況、受損程度等，啟用備分資料、程式或啟動備援計畫相關措施，以儘速回復正常運作。2.外力入侵事件： （1）病毒感染事件：病毒入侵後，應先拔除網路線隔離病毒，避免疫情擴散，並隨時掌握電腦病毒感染最新動態；同時儘速取得所需病毒清除程式，並按病毒修護程序，完成病毒清除及修護復原工作。 （2）駭客攻擊（或非法入侵）事件： A.發現（或）被入侵時，立即隔離受入侵系統及拒絕入侵者任何存取動作，如切斷入侵者之實體連線或調整防火牆設定等，以阻絕駭客進一步入侵，並迅速啟動備援系統或程序。 B.如入侵者已被嚴密監控但不危害內部（含 DMZ 區）網路安全下，可考慮讓入侵者作有條件的連接，適度允許其繼續動作，以利追查入侵者 IP 位置；並利用稽核檔案或系統指令、聯合 ISP 公司等方式，追蹤入侵者行蹤。惟一旦入侵者危害到內部（含 DMZ 區）網路安全，則立即切斷入侵者之實體連線。 C.正式紀錄入侵情形、被駭統計分析及損失評估等資料，以供防護與預警之參考，並向主管機關或檢警單位反映。 3.天然災害或重大突發事件： （1）如遇颱風、水災、地震等天然災害或火災、爆炸、核子事故、重大建築災害等重大意外事件，應迅速攜帶重要資料及程式等離開現場，或儲存於防火保險櫃等設施內，以利災後系統重置復原。 （2）如遇通訊網路系統骨幹中斷事件，應立即查明障礙點、影響區間及範圍，啟動應變機制，緊急調撥備援系統或替代路由，實施流量控管，執行搶修作業。 （四）分級處理程序： 1.3 級：機房人員應儘速通知相關系統負責人及主管處理該事件，立即採取緊急處置（如關閉電源、搬離重要資料等），並連絡維護廠商或相關技術支援單位（如 TWCERT 及技服中心）協助。 2.2 級：系統負責人應儘可能備份目前系統所有資料及狀態，找尋其它可行替代運作方案，並邀集主管、維護廠商或相關人員處理該事件及研判問題所在。 3.1 級：系統負責人應先復原該系統，並邀集廠商或相關人員研判問題所在，以確定系統異常原因。 4.上述各項災害，若系統負責人懷疑損害會因網路或系統開機而持續擴大，應立即中斷網路連線或關機。 （五）資安事件應變作業處理流程圖如附件二。