法務部資訊安全管理文件規範
修正條文
一、 訂定目的
為有效管理法務部資訊安全管理制度（Information Security Management System，以下簡稱ISMS）文件，使文件達到一致性，並提升文件品質及管理功能，特訂定此管理文件規範以為依循。
二、 適用範圍
本部資訊安全文件之訂定、修正、下達、函頒、停止適用、登錄、公告、保存與銷毀。
三、 本部資訊安全文件階層類別及其內容：
（一） 政策性（第一階文件）
說明本部ISMS之目標、方向及執行原則。
（二） 規範性（第二階文件）
為達成政策性文件目標所訂之行政規則或相關執行標準文件，文件名稱可命名為規範、要點、注意事項等。
（三） 程序性（第三階文件）
針對規範性文件中之規定，敘述相關作業之辦理程序。
（四） 空白表單、紀錄及其他（第四階文件）
1、 空白表單：本部ISMS作業所需使用之空白表單。
２、 紀錄：本部ISMS作業已填寫資料之表單。
３、 其他：本部ISMS作業所產生之文件、報告、計畫及相關參考資料。
四、 本部資訊安全文件審核權責如下：
（一） 政策性文件應提報本部資通安全會報審查或簽報部次長核定。
（二） 規範性文件屬行政規則者，依行政規則作業程序下達，其餘文件依本部分層負責規定辦理；其內所含之程序、空白表單併同規範文件辦理。但有特殊情況經機關首長或其授權人核定者，不在此限。
（三） 程序性文件及空白表單，依本部分層負責規定辦理。
（四） 紀錄及其他文件，視其性質分別依第二款或第三款規定程序辦理。
五、 本部資訊安全文件管理人員之權責如下：
（一） 文件維護人員之權責：
1、辦理文件（包括：政策、規範、程序性文件及空白表單）之訂定、修正、下達、函頒、停止適用、公告、及其他相關事宜。
2、辦理文件（包括：紀錄及其他文件）之保存、銷毀及其他相關事宜。
（二） 文件管制員之權責：
辦理本部資訊安全文件（紀錄及其他文件除外）之架構維護、文件編號、文件登錄、版本管理、保存、銷毀及其他相關事宜。
六、 本部資訊安全文件管理空白表單如下：
（一） 文件訂定/修正/停止適用申請單。
（二） 文件管理彙總表。
（三） 文件停止適用銷毀彙總表。
（四） 文件調閱申請單。
七、 本部資訊安全文件管理程序如下：
（一） 文件之訂定及修正
１、 文件之研擬階段
（１） 文件之訂定
由文件維護人員研擬文件草稿，並得邀集(徵詢)相關業務人員討論草稿內容。
（２） 文件之修正
文件維護人員得向文件管制員調取最近一版之電子檔及紙本，據以修正經核可之文件內容。
２、 文件之審核階段
文件維護人員應填寫「文件訂定/修正/停止適用申請單」，勾選申請單中「文件訂定」或「文件修正」之選項，並檢附文件草稿，循文件審核權責之核定程序辦理。
３、 文件之完成階段
文件完成訂定/修正之審核後，文件維護人員須在文件「版本修正紀錄表」中登載修正之項目，並將奉核之「文件訂定/修正/停止適用申請單」正本及其核准文件之影本提送文件管制員，由文件管制員公告施行及留存備查。
（二） 文件之停止適用
１、 文件維護人員須填寫「文件訂定/修正/停止適用申請單」，勾選申請單中「文件停止適用」之選項，並填寫申請單其他各項目，循文件審核權責之核定流程辦理。
２、 文件停止適用之申請單如不予批准時，即送交文件管制員歸檔保存備查；經核准停止適用時，由文件維護人員將奉核之「文件訂定/修正/停止適用申請單」正本及其核准文件之影本，提送文件管制員辦理文件停止適用，文件管制員須留存備查及保留該文件最後一版次之電子檔。
（三） 文件適用性之檢討
文件維護人員得隨時依照實際作業狀況檢討各文件之適用性，適時提出文件訂定/修正/停止適用之申請，最少每年應重新檢討一次。
（四） 文件之公告週知：
１、 文件公告依下列方式為之：
（１） 公文函頒。
（２） 公告於內部網站之資訊安全行政規則專區。
（３） 以電子郵件通知。
（４） 下達並刊登本部主管法規資料庫。
２、 屬行政規則之文件，由文件維護人員送交專責法規異動通報人員通報至本部主管法規資料庫。
（五） 文件之安全分級
文件之安全等級分為三級，並以適當標示區分：
１、 公開文件
指無須經授權即得任意查閱或運用之文件。
２、 一般文件
僅供部內使用，部外單位非經授權不得查閱或運用之文件。
３、 限閱文件
指含敏感資料之文件，該文件須經審核或授權始得查閱或運用。
（六） 文件之保存與銷毀
１、 文件管制員應確實登錄與維護「文件管理彙總表」，並核對其正確性。
２、 第三點所定本部資訊安全文件均須適當保管，如有修正時，文件及電子檔案須保留現行版本及前一版本；停止適用時則保留現行版本。
３、 限閱文件須存放於可上鎖之儲存櫃中，以保持資料之機密性與完整性。
４、 第三點所定本部資訊安全文件完成停止適用作業且無需保存者，由文件管制員執行銷毀程序，並填寫「文件銷毀彙總表」登錄所銷毀之文件。
５、 紀錄超過保存年限時，應由文件維護人員執行銷毀程序。
６、 文件銷毀程序應考量其安全分級，依「機關檔案保存年限及銷毀辦法」所訂之銷毀方式執行。
（七） 文件之調閱
１、 文件管制員保存之實體文件及文件維護人員保存之紀錄，原則上僅供內部使用，除經本部核准得使用該文件及紀錄之單位外，不提供予無使用權限者。
２、 本部各單位申請調閱前目之資料，須填寫「文件調閱申請單」，經管制單位審查並刪除不適宜公開之資訊後，始得調閱。
（八） 外部文件之管理
１、外部文件係指本部ISMS及其運作所需參照之相關規範性文件。（如：行政院、數位發展部及所屬資通安全署訂定之資安相關計畫、作業規範等。）
２、外部文件取得人應將取得之外部文件，送交文件管制員辦理發布，其格式得不適用本管理規範相關規定。
３、外部文件取得人取得外部文件更新版，應送文件管制員辦理更版事宜。
八、 本部資訊安全紀錄管理程序如下：
（一） 填寫及保存紀錄時注意事項：
1、 各紀錄由該文件維護人員負責保管與維護。
２、 紀錄應保持易於查詢、閱讀、識別及取用。
３、 紀錄之保存年限應符合相關法令法規之要求，如無其他規定，應至少保存二年。
（二） 紀錄表單格式之設計及變更依第七點第一款填寫「文件訂定/修正/停止適用申請單」辦理。
九、 本部資訊安全文件格式
（一） 原則
１、 行政規則文件依行政規則案作業程序辦理。
２、 非行政規則文件，文件格式依循本規範規定辦理。
（二） 文件編輯架構
１、 第一層以一、二、三…等數字標示。
２、 第二層以（一）、（二）、（三）…等數字標示。
３、 第三層以１、２、３…等全形數字標示。
４、 第四層以（１）、（２）、（３）…等全形數字標示。
５、 第五層以甲、乙、丙…等文字標示。
６、 第六層以（甲）、（乙）、（丙）…等文字標示。
（三） 文件編號
文件編號共計五碼。由下列代號或號碼組成，並由文件管制員編訂：
１、 階層代號：共計一碼，代表文件的階層編號。
２、 文件類別代號：共計二碼，代表文件所屬類別，依據ISO27001標準及附錄A，分為下列十八類。
01：風險評鑑。
02：文件管理。
03：（保留供將來本部新增控制類別時使用）
04：（保留供將來本部新增控制類別時使用）
05：政策目標。
06：組織安全。
07：人員安全。
08：資產管理。
09：存取控制。
10：加解密。
11：實體安全。
12：作業管理。
13：通訊管理。
14：系統開發維護。
15：供應商管理。
16：事件通報。
17：營運持續管理。
18：符合性。
３、 文件流水號：共計二碼，依文件類別依序編配流水號。
（四） 版次：文字及數字共計三碼。第一次之版本為1.0版，版本小幅修正時，其小數位數字依次遞增（例如：1.1、1.2等以此類推）；版本大幅修正時，其個位數字依次遞增（例如：2.0、3.0等以此類推）。
（五） 文件樣式
１、 文件封面
除第四階文件外，文件封面應包含本部名稱、文件名稱、文件安全分級、文件編號、版次及施行日期。
２、 頁首
（１） 頁首左上方需標示「法務部ISMS」之字樣。
（２） 頁首右上方註明各文件類別代號及名稱（例如：02_文件管理。）。
（３） 第四階空白表單之頁首需另註明文件安全分級。
３、 頁尾
（１） 頁尾左下方為文件名稱。
（２） 頁尾中間為頁碼及總頁數（例如：第4頁，共10頁）。
（３） 頁尾右下方為文件編號及版次（例如：30201-1.0）。
（六） 電子檔案名稱
文件之電子檔案，命名方式為：文件編號-文件版次_文件名稱，以利區隔保存（例如：30201-1.0_文件管理程序）。
十、 適法性遵循事項
行政規則文件之訂定、修正應會辦本部相關單位檢視是否符合現行法令、合約義務及各項安全之要求。