义守大学个人资料档案风险评估与管理程序.PDFVIP

個資檔案風險評估 與管理程 序 文件編號： 制定日期：103/5/26 機密等級 ：內部文件 義守大學個人資料檔案風險評估與管理程序 一、目的： 為建立本校個人資料檔案之風險管理制度，提供共同遵行之風險評 估標準，並規範高風險個資檔案之風險控制流程，特訂定本程序， 以期有效降低個人資料檔案遭受損害之風險。 二、範圍： 本校各項涉及個人資料之業務所產生的個人資料均適用之。 三、權責： 會議 /單位 /人員 工作說明 個人資料保護工 1.風險評估結果審查 作小組 2.確認可接受風險程度 個人資料保護工 3.許可風險處理計畫 作小組 4. 提供所需必要資源 單位個資保護窗 1. 協助單位同仁進行個資檔案盤點與風險評估 口 2.彙整單位個資檔案清冊 1.個人資料檔案盤點 各單位 2.個人資料檔案風險評估 3. 擬定並執行個資檔案風險處理計畫 四、定義： (一)個人資料檔案：指依系統建立而得以自動化機器或其他非自動 化方式檢索、整理之個人資料之集合。本校個人資料檔案依存 在之形式區分為系統資料、電子資料及紙本資料三大類。 (二)系統資料：係指以應用系統存在之個人資料，並存放於伺服器 資料庫中。 (三)電子資料：係指儲存於硬碟、磁帶、光碟、隨身裝置等儲存媒 1 個資檔案風險評估 與管理程 序 文件編號： 制定日期：103/5/26 機密等級：內部文件 介以數位形態存在之電子檔案。 (四)紙本資料：係指以紙本形式存在之文書。 (五可接受風險：係指對於個人資料檔案發生損害，本校可容忍) 的最大程度。 (六)剩餘風險：係指個人資料檔案於施行相關控制措施後所剩餘 的風險。 五、作業內容： (一)個人資料盤點及風險評估執行時機 1.本校每年定期執行一次個人資料盤點及風險評估作業。 2.於下列情形發生時，需對影響範圍內個人資料重新進行個 人資料盤點及風險評估： (1)學校組織、業務權責變更時。 (2)作業流程變更時。 (3)個人資料項目新增或異動時。 (4)發生重大資訊安全事件時。 (二)個人資料盤點 1.分析業務作業流程 個人資料盤點應由分析業務作業流程開始，由單位負責 業務相關之程序與規範中（如：內部控制制度、標準作 業程序、工作職掌、委外作業……等），了解資訊的流