教育體系電子郵件服務與安全管理指引

109.03.02 臺教資(四)字第1090008789號

  1. 教育部(以下簡稱本部)為確保各級學校、臺灣學術網路區域網路中心、各直轄市、縣(市)教育網路中心電子郵件服務安全使用,減少不當使用及降低資通安全威脅,特訂定教育體系電子郵件服務與安全管理指引(以下簡稱本指引)。
  2. 本指引適用對象為各級學校、臺灣學術網路區域網路中心、各直轄市、縣(市)教育網路中心(以下簡稱各單位)。
  3. 各單位辦理公務業務或核心業務時,應使用單位配發之電子信箱收發公務所需資訊,不得使用非公務信箱進行公務郵件收發等事宜。
  4. 各單位建立電子郵件服務時,應明確規範電子郵件服務對象(教職員、學生、校友、校外人士、電子郵件服務人員及廠商、資安人員)、申請方式、使用用途範園及使用期限,且不得提供服務對象以外者使用電子郵件服務。

    各單位建立前項電子郵件服務,應訂定電子郵件服務使用相關規範,明確規範使用者之權利、責任及相關安全原則如下:
    1. 初次申請者應驗證使用者身份。
    2. 應強制使用者最低密碼複雜度;強制密碼最短及最長之效期。
    3. 使用者使用電子郵件服務時,不得散布詐欺、排謗、侮辱、狠褻、騷擾、非法軟體交易或其他違法之訊息,導致他人權益受損。
    4. 使用者使用電子郵件服務時應尊重智慧財產權,不得有違法傳送或侵害他人智慧財產權之行為。
    5. 使用者使用電子郵件服務時不可作為商業用途。
    6. 使用者使用電子郵件服務時,應尊重網路隱私權,不得任意窺視其他使用者之個人資料或有其他侵犯隱私權之行為。不得盜用他人或系統資源,或以任何方式影響系統正常運作。
    7. 使用者辦理公務、及重要(或敏感)專案使用之電子郵件信箱(可規劃專用電子郵件信箱),不得轉至外部私人信箱收發公務資訊。
    8. 教職員如轉任或借調至公務機關服務者,不得使用學校電子郵件信箱收發公務機關相關電子郵件。
    9. 使用者如因故無法使用公務信箱讀取訊息,以致影響公務執行,得由直屬單位主管指定代理人提出申請,並經郵件維護負責單位審核必要性後,授權代理人讀取公務信箱相關內容。

      各單位訂定之前項規範,應辦理教育訓練,以利使用者了解並落實遵守相關規範。
  5. 各單位委外辦理電子郵件服務系統建置,應考量受委託者之專業能力與經驗,選任適當之受託者,監督其資通安全維護情形,並注意資通安全管理法施行細則第四條第一項各款事項。

    各單位應提供適當之加密或認證相關機制(或工具) ,作為公務郵件傳送敏感性資訊時採用。

    前項傳送敏感性資訊時,應採用傳輸層安全性協定(Transport Layer Security)傳輸。

  6. 各級學校應將應用於學校校務行政及教學等重要業務之電子郵件服務納入核心資通系統,辦理業務持續運作演練及網站安全弱點檢測,並導入資訊安全管理系統,大專校院應通過第三方驗證。

    各單位視資源能力設置適當之安全防護系統及設備,並應注意資通安全管理法相關規定。

    各單位應備電子郵件過濾機制,視資源能力對電子郵件特徵(來源網域名稱、IP、電子郵件地址,發信量、發信次數等)實施必要檢查,以強化電子郵件服務安全。

  7. 各單位自行開發或委外開發建置電子郵件服務系統,應辦理資通安全責任等級分級作業辦法附表十資通系統防護基準至少「中」以上之控制措施。

    各級學校內部單位如有建置電子郵件服務系統,應向學校網路管理部門提出服務架設申請,以利學校垃圾郵件統一管控。

  8. 各級學校接受政府機關(構)委託辦理其有國家安全機密性或敏感性業務或技術研究者,應使用通過第三方驗證之電子郵件伺服器及信箱,且該信箱不得作為非公務之個人信件收發使用。

    前項之電子郵件伺服器應強化安全性檢測及防護基準如下:
    1. 每半年辦理一次網站安全弱點檢測並完成弱點修補。
    2. 落實資通安全責任等級分級作業辦法附表十資通系統防護基準有關「系統與通訊保護」構面之「高」等級控制措施。
  9. 各單位應定期辦理使用電子郵件服務教育訓練,提醒使用者勿開啟來路不明之電子郵件,並加強如電子郵件相關政策、管理、使用注意事項及新型態威脅等資安宣導。

    各單位應配合本部每年定期辦理防範惡意電子郵件社交工程之演練作業,進行單位人員教育訓練,並勿過濾測試郵件,以加強使用者之安全警覺意識。

    各單位應針對前項演練不合格人員加強資安訓練及宣導。

  10. 各單位應持續監控電子郵件服務效能及通信紀錄,並保存相關軌跡,遇大量異常郵件、異常設定自動轉寄、異常權限變更等異常情形時,應依臺灣學術網路各級學校資通安全通報應變作業程序規定,即時至臺灣學術網路危機處理中心(TACERT)通報資安事件,啟動緊急應變作為(區域網路中心及直轄市、縣(市)教育網路中心適時提供必要協助),分析遭攻擊情況、攻擊管道,採取必要之損害管控及防護措施。
  11. 各單位電子郵件服務提供與使用,本指引未規定者,依資通安全管理法及本部相關資通安全規定辦理。

臺灣學術網路骨幹網路介接及互連作業要點

109.1.16臺教資(四)字第1080176151B號令訂定發布

  1. 教育部(以下簡稱本部)為建立臺灣學術網路(Taiwan Academic Network) 骨幹網路連接原則,特訂定臺灣學術網路骨幹網路介接及互連作業要點(以下簡稱本要點)。
  2. 本要點用詞,定義如下:
    1. 直轄市、縣(市)教育網路中心(以下簡稱縣市教育網路中心):指臺灣學術網路管理規範第二點第一項第二款之縣市教育網路中心。
    2. 區域網路中心:指臺灣學術網路管理規範第二點第一項第二款之區域網路中心。
    3. 臺灣學術網路骨幹網路(以下簡稱骨幹網路) :指由本部統籌建構、維運、管理之連接各縣市教育網路中心、區域網路中心之網路電路及相關基礎設施等環境。
    4. 介接:指前款骨幹網路與依臺灣學術網路管理規範第三點規定之申請連線單位(以下簡稱連線單位)間網路之連接。
    5. 互連:指第三款骨幹網路與依臺灣學術網路管理規範第四點規定審議通過之網路服務提供者(包括網際網路服務、網路內容及網路交換等業者或組織) (以下簡稱互連業者)間網路之連接。
  3. 連線單位與互連業者得依本要點規定辦理其所屬網路與骨幹網路介接或互連相關事宜。
  4. 連線單位之網路電路介接至骨幹網路之原則如下:
    1. 大專校院之校園網路連接至所在區域之區域網路中心。
    2. 國立高級中等學校或非直轄市主管之私立高級中等學校,其校園網路以連接至所在縣市之縣市教育網路中心或所在區域之區域網路中心。
    3. 直轄市、縣(市)政府主管之高級中等以下學校或數位機會中心,其網路以連接至所在縣市之縣市教育網路中心。
    4. 前三款以外之連線單位,其網路以介接至各區域網路中心為優先;如有其他介接規劃者,應檢附規劃事由、網路架構、維運管理及預定連接點網路管理單位之協調紀錄,報本部同意後,其電路連接得從其介接規劃方式。
  5. 連線單位於新申請或變更申請所屬網路介接至骨幹網路者,應檢具經單位首長核定之「與臺灣學術網路骨幹網路介接計畫書」 (以下簡稱介接計畫書) ,依前點介接原則向區域網路中心或縣市教育網路中心提出申請,並由區域網路中心或縣市教育網路中心審查同意後辦理介接事宜。
  6. 前點介接計畫書應包括下列項目:
    1. 所屬網路及應用系統相關伺服主機之現況與架構說明。
    2. 內部網路使用規範:應參照臺灣學術網路管理規範之相關規定,納入於各該連線單位之網路使用相關規範,並經行政程序核定及公告於學校或機關(構)之對外網站首頁。
    3. 所屬網路之整體使用流量統計:應建置與骨幹網路介接之網路使用流量情形統計資訊網頁(包括以日、週、月為單位之即時及歷史流量)。
    4. 所屬IP 之每日使用流量排序分析:就服務範圍使用之IP 位址,統計分析其對骨幹網路之個別IP 使用流量排名最高前三十名並紀錄,紀錄內容包括流入、流出及總量等之使用流量資訊。紀錄至少應保留一個月。
    5. 建立連線單位處理網路管理、資通安全之聯繫機制:至少建立abuse 及security 等公務電子郵件帳號(abuse 主要作為spam 或攻擊等不當使用之反應帳號;security 用為資通安全通報使用) ,並指派專人管理該帳號及負責相關事宜之訊息處理。
    6. 建立IP 位址管理機制:包括IP 位址分配之主機用途及管理人之相關資料,登記資料如涉及個人資料,應依個人資料保護法及其相關法規規定辦理。
    7. 建立對廣告信或網路攻擊等資安事件之處理機制:包括來自單位內部或外部之異常事件,並提出具體之管理規定及改善措施。
    8. 高級中等以下學校應建立不適合存取網站內容(如色情、賭博、暴力等)之過濾防護機制:說明所建立之過濾防護機制相關軟硬體設施架構。
  7. 連線單位應確保所提之介接計畫書所列事項正常運作,區域網路中心或縣市教育網路中心每年應至少一次,以書面或實地訪查方式,檢核與其介接頻寬達一Gbps 以上連線單位之執行情形。

      連線單位如未依計畫書確實執行,經通知限期改善,屆期仍未改善者,區域網路中心或縣市教育網路中心得限制或暫停連線單位必要範圍之網路連線服務。
  8. 互連業者應檢附「與臺灣學術網路骨幹網路互連申請計畫書」(以下簡稱互連申請計畫書)向本部提出互連申請。

      互連申請計畫書經臺灣學術網路技術小組初審及臺灣學術網路管理會複審通過後,始得連線。

      互連申請計畫書應包括申請單位簡介、網路架構與頻寬、網路管理、互連模式、配合措施及互連效益。
  9. 連線單位或互連業者應自備連接骨幹網路連接點之電路及兩端必要光纖模組或相關設備。

      網路頻寬一百Mbps 以下者以乙太介面FE(Fast Ethernet)介面介接,超過一百Mbps 者使用乙太介面GE(Gigabit Ethernet)介面介接。
  10. 有下列情形之一者,本部得終止互連:

    1. 互連業者有未依互連申請計畫書之內容確實執行情形,經查屬實,並經通知限期改善,屆期仍未改善者。
    2. 本部或互連業者認已無互連之需求時,應以書面通知他方並獲他方書面同意。

終止互連之審核作業程序,經臺灣學術網路管理會決議通過後,由本部以書面通知該互連業者辦理終止連線作業,並應於通知送達至少十五日後,始終止連線作業。但該互連業者因業務營運終止者,不在此限。

台灣學術網路台中區域網路中心管理委員會設置要點

臺灣學術網路台中區域網路中心
管理委員會設置要點
八十五年五月三十一日台中區域網路中心第四次技術小組會議通過

  1. 本要點依「臺灣學術網路管理原則」訂定,以配合臺灣學術網路管理政策,管理台中區域學術網路,以增進其有效運作。
  2. 本委員會由台中區域網路中心中興大學電子計算機中心主任擔任召集人,並由台中區域網路中心聯絡人擔任執行秘書,除召集人及執行秘書為當然委員外,其餘委員由左列單位之代表一名組成:
    1. 與台中區域網路中心連線之單位。
    2. 台中市﹑台中縣﹑彰化縣﹑南投縣教育局。
    3. 經台中區域網路中心管理委員會核定之單位。
  3. 本委員會之功能及任務如次:本委員會每季開會一次,必要時得召開臨時會議。
    1. 配合臺灣學術網路運作,訂定各項管理措施。
    2. 引導使用者尊重資訊倫理,重視網路禮節及正確使用資訊。
    3. 研擬網路管理規範﹑解釋爭議及仲裁和協調。
    4. 考核各連線單位之網路管理情形。
    5. 交流經驗及技術,舉辦各類相關研討會並定期出刊台中區域網路中心通訊。
    6. 其它相關事項。
  4. 本要點修正時,須經台中區域網路中心管理委員會通過。

 

教育部補助台灣學術區域網路中心管理運作要點

92.2.14教育部台電字第0920021069號令發布
92.1.17教育部教育經費分配審議委員會第2次會議通過
93.12.3教育部教育經費分配審議委員會第5次會議通過
94.12.9 教育部(台)電字第0940169054號令發布
94.9.27教育部教育經費分配審議委員會第3次會議通過
96.9.12教育部教育經費分配審議委員會第2次會議通過

  1. 依據:
    教育部(以下簡稱本部)為執行「教育及學術資訊管理與發展計畫」之「全國學術電腦資訊服務及大學電腦網路子計畫」,特訂定本要點。
  2. 目的:補助對象:
    1. 維運臺灣學術網路骨幹、支幹及連線網路之正常運作,提供校際網路整合及網路應用功能。
    2. 推廣臺灣學術網路之網路應用服務,協助各縣市教育網路中心及各級學校網路技術、建設及管理維護運作等支援。
    3. 參與臺灣學術網路管理組織運作,研定相關網路運作政策、措施及研發網路管理技術,並依臺灣學術網路相關管理規範,落實管理網路使用者遵守網路使用規範。
    4. 配合執行臺灣學術網路管理使用上各項政策性措施及宣導事宜。
  3. 負責臺灣學術網路(TANet)區域網路中心運作之學校。
  4. 補助範圍:
    1. 區域網路中心執行年度工作計畫基本及重點任務所需聘用專、兼職人員;有關區域網路中心之基本任務及年度重點任務由教育部電算中心另訂公布之。
    2. 推動臺灣學術網路相關之網路管理、應用及技術等業務。
    3. 為維持管理維運整體區域網路中心骨幹、支幹連線網路及所連接的校園網路暢通所提供之服務措施,或需建置相關電腦、網路設備之軟硬體系統。
    4. 對整體區域網路中心網路運作效能、網路使用流量統計分析等以提升網路使用品質及服務,所規劃辦理的相關業務、措施。
    5. 辦理區域網路中心管理組織會議及各類網路法令規定、使用管理措施及行為規範的宣導、研討及技術教育訓練等活動。
    6. 配合執行辦理整體臺灣學術網路所擬定的各項管理政策,如不當資訊防制、資通安全措施、網路資源及管理資訊透明化、IP/DNS管理核發等。
    7. 參與臺灣學術網路管理組織整體運作及辦理全國性網路相關活動、文宣刊物等。
  5. 補助原則:
    1. 依各區域網路中心規劃之年度工作計畫,經教育部依年度運作績效、業務實際需要及經費補助相關規定核定之。
    2. 補助經費額度及項目,由教育部電算中心依年度經費預算、年度施政重點及會計相關規定等,訂定經費編列基準表如附表。
    3. 各區域網路中心提報之年度工作計畫,由本部依相關業務及編列項目、額度辦理初審,初審結果由本部循行政程序簽奉核定後辦理補助核撥作業。
    4. 本補助經費本部得於年度法定預算完成後,依通過預算額度請各申請學校配合調整。
    5. 各校經費核辦應依會計相關規定(如「教育部補助及委辦經費核撥結報作業要點」)辦理。
  6. 申請方式:
    1. 由各區域網路中心負責學校提報年度執行工作計畫書及經費概算表,備函提送教育部申請。
    2. 各申請補助學校於會計年度開始前依教育部所提概算額度完成提報作業,本部將於年度法定預算通過後開始辦理審核。
  7. 經費請撥與核銷:
    1. 本部核定後的年度工作計畫及補助額度,函請各申請學校備文檢據報部請款。
    2. 受補助單位:
      I. 公立學校實施校務基金者應納入校務基金收支處理。
      II. 私立學校,部分補助者免報核銷;全額補助者於計畫辦理結束後一個月內將原始支出憑證報部核銷。
  8. 補助成效考核:依本要點補助所產生之講義、教材或軟體,授權本部及其所屬機關在教育利用範圍內 以無償重製、改作及利用。
    1. 第一階段:自評及報告
      本部於年度終了前辦理工作執行成效訪評,各受補助學校應先行辦理自評,並於本部電算中心定期舉行之TANet區網/縣網中心工作研討會中,由各負責單位做工作報告,由本部遴聘專家學者進行考評。
    2. 第二階段:總檢討會
      依各受補助學校年度自評及報告結果,邀集該年度評審委員於本部召開評核總檢討會議,給予評核等第。
    3. 第三階段:實地訪視本部得視實際需要依年度執行評核結果,辦理實地觀摩訪視作業。
    4. 評核項目及自評內容由本部另定之,評核等第分為四等級:特優、優等、佳和待改進,受評結果由教育部函請各區域網路中心負責學校辦理獎勵或改進事宜。
    5. 本補助的評核結果將列入下年度績效補助之依據,評核結果並供「教育部教育經費分配審議委員會」及相關單位參考。
    6. 申請學校應將工作計畫內容及執行情形,隨時上網於教育部指定網址。

臺灣學術網路 (TANet) 分散式阻斷服務 (DDoS) 通報應變作業指引

主旨:檢送「臺灣學術網路 (TANet) 分散式阻斷服務 (DDoS) 通報應變作業指引」,請查照辦理。

說明:

一、依據教育部「臺灣學術網路管理小組第71次會議」會議紀錄辦理。
二、為提升臺灣學術網路(TANet)轄下各連線學校資安防護能量,降低學術網路之使用者受到分散式阻斷服務攻擊(Distributed Denial of Service, DDoS)之影響。教育部於105年建置DDoS防護系統,供連線單位申請使用,並研擬本作業指引以資參考遵循。

下載:「臺灣學術網路 (TANet) 分散式阻斷服務 (DDoS) 通報應變作業指引

台灣學術網路BBS站管理使用公約

92.4.17 TANet 管理委員會決議通過
(中華民國92年5月12日臺電創字第0920032794號)

  1. 目的
    為促進學術網路應用服務品質的提升,並對有意願參與擔任「台灣學術網路資訊應用服務中心」(以下簡稱資訊應用服務中心)的機關(單位)/學校,建立公開、 公平參與的遴選作業程序,特訂定「教育部台灣學術網路網路資訊應用服務中心設置要點」(以下簡稱本要點)。
  2. 預期目標
    1. 增進台灣學術網路主動服務規劃與運作效能 。
    2. 提升台灣學術網路資源整合、有效管理與運用效率。
    3. 結合學校人力、設施資源,提供多元迅速的網路資源服務。
    4. 強化落實資訊應用推廣績效。
  3. 設置原則
    1. 有意願及熱誠提供網路資訊應用服務之公私立大專校院、縣(市)教育網路中心,提出具體 計畫,經台灣學術網路管理委員會同意後試行一年,試行期滿後需檢附資訊服務相關統計資料,向委員會提出試行服務成果報告,成績優良經委員會同意者,教育部 依行政程序經簽奉部長核定後,得正式成為「資訊應用服務中心」。
    2. 試行期間,每月需統計其資訊應用服務成效,並且公佈於網站,該資訊應用服務系統所需運作及相關費用由該校自行負擔。
    3. 正式成立之「資訊應用服務中心」,得參與台灣學術網路管理委員會和技術小組運作。
  4. 參與資格
    1. 教育部核淮設立之國內公私立大專院校、縣(市)教育網路中心。
    2. 學校應設有電子計算機中心、計算機與網路中心、網路通訊中心、圖資中心等或類似負責電腦網路與應用系統業務執行及管理之校內一級專責行政組織。
    3. 專責行政組織內應具網路資訊應用系統規劃及設計維護人員至少四名,並提供相關諮詢服務。
    4. 學校應具有光纖網路電路及 Gigabit以上頻寬的對外連線設施
  5. 服務範圍
    提供各類網路資訊應用服務內容供學術網路連線單位或使用者運用,其服務範圍需備下列條件之一,始得向教育部台灣學術網路管理委員會提出設置申請:
    1. 台灣學術網路使用單位至少需達400所學校以上(以TANet十分之一的連線單位計)
    2. 台灣學術網路使用該資訊應用服務對象人數需達到10萬人以上
    3. 台灣學術網路使用者每日平均使用其服務人數達五萬人次以上
    4. 以上服務條件應由申請機關(單位)/學校提出具公信力的數據證明文件。
  6. 遴選作業程序
    1. 由臺灣學術網路管理委員會,確認遴選作業相關規定,並透過網站或其他公開方式公告相關遴選規定。
    2. 有意願擔任「臺灣學術網路資訊應用服務中心」的機關(單位)/學校,正式備函向教育部電子計算機中心提送遴選計畫書,其格式如附件一。
    3. 由臺灣學術網路管理委員會對各機關(單位)/學校所提計畫書,進行書面及簡報答詢審查,遴選結果於教育部網站(www.edu.tw)公告,相關審查評分表及說明如附件二。
  7. 考評與終止
    1. 教育部每年得對擔任「資訊應用服務中心」機關(單位)/學校執行運作績效及成果辦理考評,經考評為成效不彰或該服務已不再具有需求,得終止該中心運作。
    2. 正式成為「資訊應用服務中心」後,每月需統計其資訊應用服務成效,並公佈於網站,若連續三個月未能達到服務範圍條件時,經台灣學術網路管理委員會討論,得終止該中心運作。
  8. 網路資源提供
    對該「資訊應用服務中心」連接所需網路電路,由教育部以下列方式之一提供:
    1. 納入臺灣學術網路骨幹電路建設統籌規畫辦理
    2. 補助連接臺灣學術網路區域網路中心所需電路月租費用

教育部教育雲端服務平臺管理規範

教育部教育雲端服務平臺管理規範

 

  • 教育部(以下簡稱本部)為推動教育部教育雲端服務平臺(以下簡稱本平臺)資源之申請及使用,維持本平臺各項服務之穩定運作,特訂定本規範。
  • 本平臺由本部整合本部及各資料中心資源建置並提供服務。

前項提供服務之對象如下:

  1. 本部及所屬機關(構)。
  2. 前款以外之各資料中心、學校、其他機關團體。

三、前點第二項第二款所定服務對象符合下列資格者,得向本部申請本平臺

    提供服務,經本部核准後,始得使用本平臺:

  1. 非以營利為目的。
  2. 全國性服務。
  3. 教育服務、學術研究相關應用推廣。

前項申請,應依申請流程(如附件一)提交申請單(如附件二)及相關資料。

四、經本部核准使用本臺者(以下簡稱使用單位),應遵守下列規定:

  1. 對於本平臺所提供之服務及資源如有新增、異動及停用之需求,應提出申請,經教育部教育雲端服務平臺管理小組(以下簡稱管理小組)審核通過。
  2. 除資料中心提供之服務及軟硬體資源外,於本平臺安裝之其他軟體應自行取得合法授權,如涉智慧財產權爭議時應自行負責。
  3. 於本平臺建置之應用服務應定期進行資通安全檢測及修補,如涉資安事件應自行負責通報及應變處理。
  4. 於本平臺建置之應用服務,應遵守台灣學術網路管理規範及相關規定;違反者,本部得於通知後,暫停其相關服務。
  5. 有前款暫停或重大影響本平臺維運等情事之應用服務,本部應通知使用單位限期改善,未能於期限內有效改善者,經管理小組確認後,停止對其提供本平臺之服務,並通知使用單位;使用單位應自通知日起三個月內移除該應用服務。

五、為有效運用本平臺資源,管理小組得視使用單位實際使用情形,於維持 原服務正常運作下,進行相關資源調整及移置,並告知使用單位。

 六、各資料中心應辦理下列事項:

  1. 配置專業人力維運資料中心機房:
  1. 確保本平臺之正常運作。
  2. 相關人員應簽署保密承諾書。
  3. 提供單一聯絡窗口,俾利緊急事件之聯絡。
  1. 提供服務及資源:
  1. 虛擬主機與資源配置:配置設定虛擬主機(包括CPU、記憶體)及儲存空間等資源。
  2. IP位址配發:設定虛擬主機使用IP位址之新增、異動與停用。
  3. 網路負載平衡:提供網路負載平衡所需設備及相關負載平衡服務設定。
  4. 資通安全防護:提供防火牆及入侵偵測防禦。
  5. 資料備份與還原:每日應進行本地端虛擬主機快照備份,其快照資料至少保留七個日曆天,並提供快照還原服務。
  6. 如需進行計畫性維護而暫停相關服務,應提前七個日曆天公告並通知使用單位。

 七、各資料中心為持續維運及發展相關服務,得向本部提出維運及發展計畫,經本部審核後,依實際需要提供適當之經費及資源。

 

DMC Firewall is developed by Dean Marshall Consultancy Ltd