1.
資產盤點計畫表
資產盤點最終產出為下表 1資訊資產清冊（Excel格式檔案如附件二），本章係說明資訊資產清冊表格編製細節：
|
資產編號
|
資產類別
|
資產名稱（型號）
|
數量
|
權責單位
|
資產管理
負責人員 |
放置地點
|
機密性
|
完整性
|
可用性
|
資產
價值
|
|
HW-00001
|
硬體
|
空氣品質感測器─SAN01
|
1台
|
桃園市環保局
|
OO承辦人
|
八德區
|
2
|
3
|
4
|
4
|
|
PN-00001
|
人員
|
王OO
|
1員
|
行政院環保署
|
OO業務承辦人
|
台北市
|
2
|
4
|
3
|
4
|
|
|
|
|
|
|
|
|
|
|
|
|
1.1. 資產編號、類別、名稱、數量
資產類別：在進行資產盤點之前，首先要先定義資產類別，此處的資訊資產即對民生公共物聯網有價值，使用前瞻計畫經費的各項事、物，但需注意不在計畫範圍的資產可不盤點，分為以下類別：
一、資訊資產（Data,
簡稱DA）：切換操作資料、測得值及量測資料、計量表及量測資料、操作紀錄、參數化資料、量測訊息案卷及原始程式碼等。
二、資料資產（Document,
簡稱DO）：對業務或作業有指導性質之文件，如合約、資安管理辦法、物聯網作業程序書、系統文件、使用者手冊等。
三、軟體資產（Software,
簡稱SW）：程序控制軟體、視覺化系統、管理及優化軟體、模擬軟體、參數化軟體、管理監視系統、運作資源規劃系統、程式設計環境、韌體、歸檔軟體及其他相關軟體程式。
四、硬體資產（Hardware,
簡稱HW）：控制及自動化組件、遙測及遠距控制組件、資料傳輸系統組件、保護及生命財產安全組件、數位計量及量測裝置、智慧計量、物聯網感測器及致動元件、參數化及程式設計裝置、視覺化及運作組件、數位監視及記錄系統及區域與廣域網路。
五、服務資產（Service,
簡稱SV）：緊急通訊服務、氣象服務及一般公用設施服務，如電力供應、清潔服務及保全服務等。
六、人員資產（Personnel,
簡稱PN）：參與各項物聯網處理作業及物聯網資訊系統運作之相關同仁與服務廠商人員。
資產編號：共七碼，前二碼為資產類別簡稱，包含DA、DO、SW、HW、SV、PN六種；後五碼為流水號，依序編號。例如桃園市環保局的某一型號空氣感測器
第一台編為HW-00001，第二台編為HW-00002，第五百台編為HW-00500。如該縣市環保局另有網站伺服器硬體，亦給予一編號，如HW-00501。
資產名稱：此處填入資產的名稱及型號，用以識別資訊資產。
資產數量：以前面感測器為例，則填入「1台」。
1.2. 權責單位
此處權責單位指實際保管或使用該資訊資產之縣市環保局（感測器）或環保署（系統後台伺服器），注意這裡指單位，非指人員。
1.3. 資產管理負責人員
此處權責單位指實際保管或使用該資訊資產承辦人姓名，注意這裡指人員，非指單位。
1.4. 放置地點
該項資訊資產實際放置的地點，例如八德區、三民區、文心機房、東七機房等等。
1.5. 機密性、完整性、可用性與資產價值
定義：
一、
機密性(C)係指此資訊資產所包含資訊為機關內部或各項法律所規範的機密資訊。資訊資產的機密性評價，針對資訊及其使用權限分級要求，評估其未經授權存取之影響。評價辦法在於資訊處理之授權，並且只有取得存取權限的人員或程序才可以進行授權範圍內之資訊的處理作業。未經過授權、或不當的授權便進行資訊處理(包含使用設備及單位內提供露或複製經手之業務資料)，可能對單位內之業務運作造成不等程度之影響。
二、
完整性(I)：資產具有完整性要求，且完整性被破壞會對組織造成傷害，甚至會造成業務終止。資訊資產的完整性評價，針對資訊及其使用過程，必須正確地進行資訊處理的要求程度進行評估。評價辦法在於評估資訊及運用過程遭受變更、竄改、破壞等不當的變動或更改措施(包含移動設備、改變單位內提供之服務內容、更改系統組態或檔案、破壞實體設施、改變傳輸內容、竄改資料庫或交易資訊、冒用或假借名義進行業務處理、人為錯誤或誤用設施)，可能對單位內之業務運作造成不等程度之影響。
三、
可用性(A)：該資訊資產容許失效一段時間不須被修復或是尋找替代品。資訊資產的可用性評價，針對資訊及其處理過程，獲得適當授權者對於資訊及處理設備於需要存取時，能夠正常使用的需求程度。評價辦法在於評估其資訊運用過程中，提供正常服務的時間，以程度區分對不同資產之需求。影響資產可用性被破壞的情況如實體設施無法使用、實體區域無法進入、系統軟體或程式錯誤導致執行中斷、網路連線中斷、職務代理不明或未建立相關辦法。
資產價值分數計算：資產價值分數為機密性、完整性、可用性的價值分數取最大者，例如某資訊資產，其機密性價值為2、完整性價值為3、可用性價值為4，則資產價值分數為MAX（C,I,A）=4。各該項價值分數之計算方式請參考下表 2：
|
價值
|
機密性(C)
|
完整性(I)
|
可用性(A)
|
|
1
|
不具保密價值之資訊，即使洩漏後也不會使組織安全遭受損害者。
|
資訊遭受未經授權的破壞或修改，不會產生重大影響且(或)對業務衝擊可忽略。
|
組織可以接受長時間 (3天以上)，資產無法使用之情形。
|
|
2
|
僅限組織內部應用之資訊，但揭露後應不致產生嚴重損害者。
|
資訊遭受未經授權的破壞或修改，其產生之影響對業務衝擊輕微，可迅速處理改正。
|
組織可以接受中長時間(1天以內)，資產無法使用之情形。
|
|
3
|
具有保密價值之資訊，洩漏後可能使組織安全或形象遭受明顯損害者。
|
資訊遭受未經授權的破壞或修改，將對業務產生明顯衝擊影響。
|
組織可以接受4個鐘頭內，資產無法使用之情形。
|
|
4
|
具有極高機密價值的資訊，資訊揭露予非授權者將危及國家安全者。
|
資訊遭受未經授權的破壞或修改，將對業務產生重大影響，且可能導致長時間嚴重的業務中斷。
|
組織可以忍受極短時間(1個鐘頭內)，資產無法使用之情形。
|
資產盤點表所盤點出來的資產價值有四種可能等級，其分數為1至4分：
|
資產價值等級
|
資產價值
|
|
極高
|
4
|
|
高
|
3
|
|
中
|
2
|
|
低
|
1
|
沒有留言:
張貼留言