ISMS與PIMS整合導入之研究－以國防部全球資訊網站系統為例

孫天貴 ； 左瑞麟

《資訊安全通訊》 21卷4期 (2015/10) Pp. 32-43

摘要

近年來全球資訊安全事件不斷發生，所肇生的資訊系統損害、資料毀損、個資外洩、財務詐騙事件也不斷增加；個資法實施之後，資訊系統在技術上、管理上、法規遵循上更具複雜性，稍有不慎，將造成單位重大影響與傷害。為全面性解決資安與個資問題，資訊安全管理系統（ISMS）與個人資訊管理系統（PIMS）整合導入便是一套可有效控制管理之方法。本研究試著以資料的生命週期，資訊安全的機密性、完整性、可用性，PDCA運作模型...等角度進行本質上探討，來進行整合ISMS與PIMS的整合工作。本研究從各角度分析進行多面向整合工作，並提出4點可有效整合具體作法：1.清查作業流程須包含個人資料所延伸之流程。2.進行作業流程上資訊資產及個資清查作業。3.資訊資產及個人資料風險評鑑作業。4.建立ISMS與PIMS四階文件，產出ISO27001適用性聲明須包含個資法。以國防部網站系統為實作目標，運用整合結果進行實作，結果也證實本研究提出論點確實有效，更有效且更有邏輯性的面對各種資安與個資問題，以作業流程面來分析資安與個資，讓每個控制點更加明確，最後運用以各國均能接受的ISO標準（ISO 27001標準包含個資管理流程）來驗證本實作，也證明整合確實有效，均能符合相關標準與法規。

關鍵字

資訊安全管理系統（ISMS） ； 個人資料管理系統（PIMS） ； 個人資料保護法

並列摘要

無資料

並列關鍵字

MSS ； ISO27001 ； TPIPAS ； BS10012

參考文獻

(ANSI, “ Justification study for a new work item proposal for a energy management standard ad guidance document,” 2007).

(ISO, “Guidelines for the justification and development of management system standards,” ISO, ISO Guide 72:2001(E), 2001).

(ISO, “Information and documentation – Management system for records – Fundamentals and vocabulary,” ISO, ISO DIS 30300:2010-05-21, 2010).

張文瀞(2014)。ISO27001:2013 和ISO27001:2005 的主要差異。臺灣大學計算機及資訊網路中心電子報。0030

經濟部商業司, “TPIPAS 臺灣個人資料保護與管理制度規範,” 2012. http://www.tpipas.org.tw/model.aspx?no=159