各機關對危害國家資通安全產品 限制使用原則

函轉臺中市政府函文，為因應新型態數位服務延伸之新興資安風險，各公務機關應遵循「各機關對危害國家資通安全產品限制使用原則」。

一、依據本府114年4月9日府授數網字第1140088537號函辦理。

二、為避免公務及機敏資料遭不當竊取，導致機關機敏公務資訊外洩或造成國家資通安全危害風險，行政院前已發布「各機關對危害國家資通安全產品限制使用原則」，明確要求中央與地方機關（構）、公立學校、公營事業、行政法人以及自行或委外營運提供公眾活動或使用之場地，限制使用危害國家資通安全產品，並以行政院秘書長109年12月18日院臺護長字第1090201804A號函，重申公務用之資通訊產品不得使用大陸廠牌，且不得安裝非公務用軟體。

三、為因應新型態數位服務延伸之新興資安風險，再次重申各公務機關應遵循前述規定，並請配合辦理以下事項：

(一)公務用之資通訊產品不得使用大陸廠牌，且不得安裝非公務用軟體。

(二)各機關應就已使用或採購之大陸廠牌資通訊產品列冊管理，且不得與公務環境介接。

(三)前開產品未汰換前，應有適當配套措施或相應作為，例如：

１、以不含個資及資料的電腦單機將其下載並以斷網或非公務網路之獨立網路使用。

２、強化資安管理措施，例如：設定高強度密碼、禁止遠端維護等。

３、產品遇資安攻擊導致顯示畫面遭置換，應立即置換靜態畫面，或立即關機。

４、產品若為硬體，應確認其不具持續連網功能（非僅以軟體關閉）。若需以外接裝置方式進行更新，須有專人在旁全程監督，於傳輸完成後立即移除外接裝置。

５、產品使用屆期後，不得再購買危害國家資通安全產品。

６、訂定適當配套管制措施，並將使用情形列入年度稽核檢視項目。

(四)公務機關原則全面禁用Deepseek AI等大陸廠牌資通訊產品，倘因業務需求且無其他替代方案，必須採購或使用前開產品時，應具體敘明理由，經機關資安長及其上級機關資安長逐級核可，函報《資通安全管理法》主管機關數位發展部核定後，以專案方式購置列冊管理。另教

學及研究場域之使用原則，則依教育部與國家科學及技術委員會另定規範辦理。

(五)中央目的事業主管機關應督導《資通安全管理法》所定關鍵基礎設施提供者及政府捐助之財團法人參考上開原則辦理，以確保國家資通安全。

四、經查詢所屬學校資通安全責任等級為D級，不須導入GCB管理系統。

有關「疑似危害國家資通安全軟體清單」，可至市府「e 化公務入口網/應用系統/網路文件夾/資訊安全專區/01_教育訓練講義/114年資安業務填報、網路攻防演練及數位部TLS憑證申請作業說明會」下載參考。

師生ST學習帳號使用注意事項

學習帳號僅供學習輔助使用（例如線上教學、會議、繳交作業等），請勿使用於非關學習之應用程式或網頁（例如線上遊戲或線上金融服務等）之聯絡或綁定帳號資訊。

勿使用ST帳號綁定購買網路服務(含遊戲) 

因應Google對ST網域使用權限更改為「未滿18歲的使用者無法再使用未經確認的第三方應用程式」，對於學生以ST帳號綁定購買之網路服務無法登入之情況，請依說明辦理。

一、 為讓使用者以ST帳號綁定購買之網路服務(含遊戲)有緩衝期可從ST帳號改綁定為「該使用者其他非ST網域之帳號」，即日起至113年2月15日止，允許使用者執行只會索取「使用Google帳戶登入」功能所需基本資訊的第三方應用程式，113年2月16日之後將再次恢復為禁止使用者執行任何未經授權的第三方應用程式。

二、 若使用者以ST帳號綁定購買之網路服務(含遊戲)需要比上述「說明一」更大的權限時，請各校業務權管人員委請資訊組長協助聯繫資網中心協同處理。

三、 請各校向校內師生宣導勿使用ST帳號綁定購買網路服務(含遊戲)，並請使用者於113年2月15日前儘快將目前仍綁定ST帳號的網路服務更改綁定。

四、 對於貴校教學所需之第三方應用程式，仍依臺中市教育服務網112年11月15日文件佈告欄202685號之說明辦理(請由所屬業務權管人員判定為教學所需後，請寄電郵到 service@st.tc.edu.tw 信箱提出申請，信件內容請說明「申請單位」、「申請人姓名與職稱」、申請之「應用程式名稱」、「用途」)。

各校(園)使用資通系統或服務蒐集及使用個人資料之注意事項

一、 依據教育部110年9月8日臺教資(四)字第1100122001號函辦理。

二、 鑒於學校使用雲端資通服務(如Google表單等)蒐集個人資料時，可能因設定不當而增加個資外洩及資安風險，請各校(園)使用資通系統或雲端資通服務蒐集教職員、學生及家長個人資料者，應注意旨揭事項，以「最小化」為原則，降低風險，並請各校(園)加強宣導。

學校使用資通系統或服務蒐集及使用個人資料 注意事項

 一、教育部為保護教職員、學生、家長之權益，特訂定學校使用資通系 統或服務蒐集及使用個人資料注意事項（以下簡稱本注意事項）。

 二、各級學校為行政目的使用資通系統或服務蒐集教職員、學生、家長 之個人資料者，應遵循個人資料保護法相關規定並參酌本注意事項 辦理。但各直轄市、縣（市）政府另有規定者，其所轄學校從其規 定。 

三、學校為行政目的使用資通系統或雲端資通服務（如 Google 表單、 Microsoft Forms 等問卷調查服務）涉及蒐集個人資料者，應注意 下列事項：
（一）資料蒐集最小化：僅蒐集適當、相關且限於處理目的所必要 之個人資料，處理及利用時，不得逾越特定目的之必要範 圍，並應與蒐集之目的具有正當合理之關聯。
（二）存取控制：應注意檔案存取權限設定，應採最小權限原則， 僅允許使用者依目的，指派任務所需之最小授權存取。
（三）使用雲端資通服務者，應詳閱設定內容，不宜使用者共同編 輯個人資料檔案清冊，並應注意避免設定允許顯示其他使用 者作答內容（如 Google 表單不應勾選「顯示摘要圖表和其他 作答內容」），避免使用者能瀏覽其他使用者資料，造成個人 資料外洩。公佈前應確實做好相關設定檢查，並實際操作測 試，確認無誤後再行發布。
（四）傳輸之機密性：網路傳輸應採用網站安全傳輸通訊協定 （HTTPS）加密傳輸，並使用 TLS 1.2 以上版本傳輸。
（五）資料儲存安全：如涉及蒐集個人資料保護法第 6 條之個人資 料或其他敏感個人資料，應以加密方式儲存。
（六）應訂定個人資料保存期限，並於期限或業務終止後將蒐集之 個人資料予以刪除或銷毀，避免個人資料外洩。 

四、各校或其主管機關得依本注意事項，訂定各校相關作業流程規定。

【攻擊預警】北韓駭客組織HIDDEN COBRA所利用的惡意程式Joanap及Brambul，請注意防範。

轉發行政法人國家資通安全科技中心 資安訊息警訊 NCCST-ANA-201806-0020。
美國國土安全部與聯邦調查局公布最新北韓駭客組織HIDDEN COBRA所利用的惡意程式：Joanap遠端存取後門程式與Brambul網路檔案分享系統蠕蟲。

若資訊設備遭受感染會有以下風險：
1.個人或單位資料遭竊取。
2.個人工作或單位運作被影響而中斷停擺。
3.資訊設備資源被利用於對外攻擊。

建議除使用防毒軟體檢查資訊設備是否受惡意程式感染，也可透過下列方式檢查感染與否：
1.路徑「%WINDIR%\system32\」下存在檔案「mssscardprv.ax」。
2.嘗試寄信至redhat@gmail.com。
3.嘗試寄信至misswang8107@gmail.com。
4.嘗試連線至HIDDEN COBRA-IP黑名單。
下載連結：
http://140.117.101.5/pdf/HIDDENCOBRA-IP.rar

[影響平台:]
微軟作業系統

[建議措施:]
部署黑名單於防護設備進行偵測，監控是否有資訊設備已遭入侵

若確認資訊設備已遭入侵，建議處理措施：
1.重新安裝作業系統，並更新作業系統及相關安裝軟體。
2.更換系統使用者密碼。
3.安裝及啟用防毒軟體防護。
4.安裝及啟用防火牆防護。

日常資訊設備資安防護建議：
1.持續更新作業系統及辦公室文書處理軟體等安全性修補程式。若所使用的作業系統已不再提供更新程式，建議升級至較新版本作業系統。
2.系統上所有帳號需設定強健的密碼，非必要使用的帳號請將其刪除或停用。系統上非必要的服務程式亦建議移除或關閉。
3.安裝及啟用防毒軟體防護，並持續更新病毒碼及掃毒引擎。
4.安裝及啟用防火牆防護，並設定防火牆規則僅開放所需之通訊埠。

https://www.us-cert.gov/ncas/alerts/TA18-149A
https://www.us-cert.gov/ncas/analysis-reports/AR18-149A

太平資通安全宣導文件

太平資訊設備使用規範

太平資通安全作業程序

太平無線網路管理辦法

太平校園網路使用規範

太平資通安全管理規範

資通安全素養宣導

推薦臺中市教育局網路中心數位教學平台的資通安全素養宣導課程：

http://elesson.tc.edu.tw/md221/course/view.php?id=255

Uber使用者個人帳號資料外洩，建議使用者儘速修改帳號密碼

Uber公司於美國時間11月21日在官方部落格表示2016年曾遭駭客入侵，造成約5,700萬筆用戶資料外洩，其中包含60萬筆合作駕駛資料，外洩資料內容包含姓名、電子郵件信箱、行動電話號碼及合作駕駛的駕照號碼。

為避免資安疑慮，建議各校切勿使用公務資料(例如：單位電話號碼、公務電子郵件信箱及公用行動電話號碼)註冊任何非中央或地方政府提供之免費服務。

[建議措施]
1.若有曾使用公務資料註冊Uber服務，應立即變更密碼並確認註冊人的信用卡資料有無異常紀錄。
2.建議修改曾使用公務資料於其他網站或機關/單位註冊之密碼，密碼設定應符合複雜性需求且定期更換密碼。
3.加強各校人員對社交工程電子郵件的安全性認知，應詳細檢視寄件來源與相關連結，勿開啟不明來源郵件之連結或附檔。