司法院所管特定非公務機關資通安全管理作業辦法

本辦法依資通安全管理法（以下簡稱本法）第十七條第四項規定訂定之。

1司法院（以下簡稱本院）所管特定非公務機關（以下簡稱特定非公務機關）之資通安全維護計畫，應依本法施行細則第六條第一項規定辦理。

2特定非公務機關依本法第十七條第二項規定提出資通安全維護計畫實施情形，應依本法施行細則第六條第二項規定辦理。

特定非公務機關，經本院要求提出資通安全維護計畫者，應於接受本院通知後一個月內，依本院指定之方式提出。

特定非公務機關，經本院依本法第十七條第二項規定要求提出資通安全維護計畫實施情形者，應於接受本院通知後一個月內，依本院指定之方式提出。

1本院得每年擇定特定非公務機關（以下簡稱受稽核者），以現場實地查核之方式，稽核其資通安全維護計畫實施情形。

2本院為辦理前項稽核，應訂定稽核計畫，其內容包括稽核之依據與目的、期間、稽核小組組成方式、保密義務、稽核方式、基準及項目等與稽核相關之事項。

3本院決定前項稽核之基準及項目時，應綜合考量我國資通安全政策、國內外資通安全趨勢、過往稽核成效及稽核資源等因素。

4本院依第一項規定擇定受稽核之特定非公務機關時，應綜合考量其資通安全責任等級、資通安全事件發生之頻率與程度、資通安全演練之結果、歷年受本院稽核之頻率與結果及其他與資通安全相關等因素。

1本院辦理前條第一項之稽核，應於一個月前將稽核計畫以書面通知受稽核者。

2受稽核者因業務因素或其他正當理由，無法於本院指定之時間配合稽核者，得於收受前項通知後五日內，以書面敘明理由向本院申請變更稽核日期。

3前項申請，除有不可抗力之事由外，以一次為限。

1本院辦理第五條第一項之稽核，得要求受稽核者之人員為資通安全維護計畫實施情形之相關說明、協力或提供相關文件或證明供現場查閱，並執行下列事項：

一、稽核前訪談。

二、現場實地稽核。

2受稽核者依法律有正當理由，不能為前項說明、配合措施或提供資料時，應以書面敘明理由，向本院提出。

1本院為辦理第五條第一項之稽核，應依第五條第四項之考量因素及實際稽核需求，就各受稽核者分別組成稽核小組。

2前項稽核小組成員三人至七人，由具備資通安全政策或該次稽核所需之技術、管理、法律或實務專業知識之公務機關代表、專家學者擔任；其中公務機關代表不得少於全體成員人數之三分之一。

3前項公務機關代表或專家學者有下列情形之一者，應主動迴避擔任該次稽核之稽核小組成員：

一、本人、其配偶、三親等內親屬、家屬或上開人員財產信託之受託人，與受稽核者或其負責人間有財產上或非財產上之利害關係。

二、本人、其配偶、三親等內親屬或家屬，與受稽核者或其負責人間目前或過去二年內有僱傭、承攬、委任、代理或其他類似之關係。

三、本人目前或過去二年內曾任職之機關（構）、事業或單位，曾為受稽核者進行與受稽核項目相關之顧問輔導。

四、其他足認擔任稽核小組成員將影響稽核結果公正性之情形。

4本院應以書面與稽核小組成員約定利益衝突之迴避事項及執行稽核之保密義務。

1本院應於稽核作業完成後一個月內，將稽核結果報告交付受稽核者。

2前項稽核結果報告之內容，應包括稽核之範圍、缺失或待改善事項、第七條第二項受稽核者無法為說明、配合措施或提供資料之情形與理由及其他相關事項。

3本院辦理稽核後，應於隔年度一月底前彙整第一項稽核結果報告，並提交主管機關備查。

1受稽核者經發現其資通安全維護計畫實施有缺失或待改善者，應於收受稽核結果報告後一個月內，以書面方式向本院提出改善報告。

2受稽核者依前項規定提出改善報告後，應依其缺失或待改善事項之性質、程度，適時以書面提出改善報告之執行情形；本院認有必要時，得要求受稽核者進行說明或改善。

本辦法所定書面，依電子簽章法之規定，得以電子文件為之。

本辦法自發布日施行。