1 目的
為確保國立成功大學醫學院附設醫院斗六分院（以下簡稱本院）管轄資訊資產之機密性、完整性、安全性、可用性及符合相關法規之要求，進而保障本院及就醫民眾之權益，特訂定本政策。

2 適用範圍
本政策適用於本院所有資通系統、資通服務業務，包含全院員工、本院業務往來之外部單位、對本院提供服務、勞務之委外廠商。

3 資通安全政策
建立可靠完整的核心資通系統與網路系統，提供全院同仁及民眾安全的資通服務。

4 資通安全目標
4.1 量化型目標
本院之量化型目標依本院執行之資訊安全管理制度（ISMS）需達成之資通安全目標，依據「ISMS-3-D6-012資訊安全管理系統量測指標作業說明書」之相關規定辦理。
4.2 質化型目標
4.2.1 落實資通安全，強化資訊服務品質：由全體同仁貫徹執行資通安全管理，所有資通作業相關措施，應確保業務資料之機密性、完整性及可用性，免於因外在之威脅或內部人員不當的管理，遭受洩密、破壞或遺失等風險，選擇適切的保護措施，將風險降至可接受程度持續進行監控、審查及稽核資通安全管理制度的工作，強化服務品質，提升服務水準。
4.2.2 加強資安訓練，符合法令要求規範：督導全體同仁落實資通安全管理工作，每年持續進行適當的資訊安全教育訓練，建立「資通安全，人人有責」的觀念，促使同仁瞭解資訊安全之重要性，促其遵守資通安全規定，藉此提高資通安全認知及緊急應變能力，降低資通安全風險，達持續營運之目標。
4.2.3 規劃持續營運，迅速完成災害復原：訂定重要資訊資產及關鍵性業務之緊急應變計畫及災害復原計畫，並定期執行各項緊急應變流程的演練，以確保資通系統失效或重大災害事件發生時，能迅速復原，確保關鍵性業務持續運作，並將損失降至最低。
4.2.4 適時因應法令與技術之變動，調整資通安全維護之內容，以避免資通系統或資訊遭受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，以確保其機密性、完整性及可用性。
4.2.5 達成資通安全責任等級分級之要求，並降低遭受資通安全風險之威脅。
4.2.6 有效偵測與預防外部攻擊。

5 責任劃分
5.1 各級主管應支持資訊安全管理系統之推動。
5.2 成立跨單位之資通安全小組，負責資通安全管理推動事宜，並透過管理審查會議，檢討資通安全管理績效。
5.3 資通安全小組綜合規劃分組應識別資通安全管理有關之關注各方，以及其對資通安全之要求，適時修改四階文件，以確保資通安全管理符合相關規定。
5.4 資通安全小組綜合規劃分組每年應針對自行或委外開發之資通系統，依據「資通安全責任等級分級辦法」附表九完成資通系統分級，鑑別本院核心資通系統。
5.5 透過「適用性聲明書」，鑑別資訊安全管理系統驗證範圍邊界與適用性。
5.6 各部門應指定主管人員負責資通安全管理事項之協調及推動，另視資通安全管理需要，指定適當人員負責辦理資通安全相關事宜。
5.7 本院全體員工（正式員工、院聘人員）、與本院業務往來之外部機關、對本院提供或預計提供服務、勞務之委外服務廠商應遵守本政策及資通安全管理相關文件規定，並於發現資通安全事件時通報醫療事務組(資訊)。
5.8 醫療事務組(資訊)應每年針對本院之需要並配合主管機關之規定，就各類人員辦理資通安全教育訓練。

6 風險評估與管理
6.1 資訊資產、醫療儀器應建立分類與管理機制，並進行風險評估與管理工作，以有效掌控本院之資通安全風險。
6.2 規劃資通安全管理時，應考慮影響醫院資通安全管理達成預期效果的內部與外部議題，並決定需要解決之風險和機會，防止或減少對醫院不利之影響，實現持續改進資通安全管理承諾。
6.3 執行風險評估後，應針對不可接受之風險建立風險管理機制（如降低、移轉、避免或接受），並落實執行追蹤控制。

7 違反資通安全規定之處置
本院全體員工（正式員工、院聘人員）、與本院業務往來之外部機關、對本院提供或預計提供服務、勞務之委外服務廠商未遵循本政策，或有任何危及本院資通安全之行為，將予議處。

8 政策文件維護權責
8.1 本政策應每年定期或發生重大變更時審查，以確保以下列事項：
8.1.1 建立資通安全目標或提供建置資通安全目標之框架。
8.1.2 滿足資通安全相關要求之承諾。
8.1.3 實現本院持續改進資通安全管理之承諾。
8.2 本政策由醫療事務組(資訊)制定，並經院長核定後實施，修正時亦同。