阮綜合醫院

生效日期115年04月24日

一、目的

為遵循相關法令並保護阮綜合醫療社團法人阮綜合醫院（以下簡稱本院）所屬之資訊資產的機密性、完整性及可用性與個人資料保護之要求，且遵循個人資料保護法、ISO/IEC 27001、ISO/IEC 27701及相關法規辦理個人資料之蒐集、處理與利用，並保障病患、員工及利害關係人個人資料之權益，使其免於因外在之威脅，或內部人員不當之管理與使用，確保網宇安全；為有效識別可能致遭受竄改、揭露、破壞或遺失等風險進行控管，特制訂資訊安全暨隱私安全政策（以下簡稱本政策）以做為遵循依據。

二、範圍

本政策適用於全院之全體同工、委外廠商、第三方人員以及所有相關資訊資產之安全管理，及所有執行個人資料蒐集、處理、利用、儲存、傳輸、查詢或刪除等行為之人員。

三、說明

（一）維護本院資訊資產之機密性、完整性與可用性，並保障使用者個人資料保護。本院資訊安全暨隱私安全政策訂為：

1.保護本院業務活動資訊，遵循合法、公正、透明原則處理個人資料。
2.保護本院業務活動資訊，明確蒐集目的並確保資料最少化，避免未經授權的修改，確保其正確完整。
3.維持資料或個資正確性與即時性。
4.建立資訊業務永續運作計畫（包含個人資料系統），確保本院業務活動之持續運作。
5.本院之業務活動執行須符合相關法令或法規之要求。

（二）為達成本院資訊安全暨隱私安全政策目的，相關目標訂定如下：

1.確保相關資訊安全、隱私安全措施或規範符合政策與現行法令之要求，每年至少進行一次資訊安全暨個人資料保護安全查核。
2.每年至少進行一次業務永續計畫之測試及檢核(包含ISMS與PIMS)。
3.每年完成資安暨個資內部稽核及缺失改善追蹤率達100%。
4.重大新系統或改版；如涉及個人資料皆需完成PIA（隱私影響評估）。
5.確保資訊資產受適當之保護，防止未經授權或因作業疏忽對資產所造成之損害。
6.確保所有資訊安全事件或可疑之安全弱點，皆依適當通報程序反應，並予以適當調查及處理。
7.符合政府資訊安全及個人資料保護相關政策、規定以及相關法令要求。
8.定期實施資訊安全教育。

（三）資訊安全暨隱私安全責任

1.本院的管理階層應建立及核定本政策，並定期召開管理審查會議，審核本政策之修訂，以確保本政策符合現行需求。
2.本院管理階層應宣示落實資訊安全與隱私安全之決心，以確保本院資訊安全暨隱私安全措施之實施，並責成相關單位與人員成立資訊安全管理分組，配置資訊安全暨隱私安全責任與進行有效之資源管理。
3.本院資訊室(以下簡稱資訊室)，辦理本院資訊及隱私安全相關事項，負責本院相關資訊系統與隱私安全之規劃、協調及推動工作和資訊環境之資訊安全與隱私安全維護與管理。
4.本院各部門應遵循並落實本政策之要求。
5.資訊安全暨隱私安全管理者透過適當的標準和程序以實施本政策。
6.所有人員、各連線使用單位、簽約廠商和委外服務廠商均須依照相關安全管理程序以維護資訊安全暨隱私安全政策。
7.所有人員皆負有通報所發現之資訊安全、隱私安全事件或資訊安全、隱私安全弱點之責任。
8.本院所有人員應瞭解於工作期間所有取得之資訊皆為本院之資產，未經允許，禁止做任何其他未授權之使用。
9.本院與委外服務廠商簽訂相關合約時應遵循本政策之規定與相關要求。
10.資訊室所有委外廠商皆須簽署保密協議書，並遵循本政策以及相關程序之規定，不得未經授權使用或濫用本院之各類資訊資產。
11.本院所有人員遵循政策並接受教育訓練，保護處理中之隱私資料。
12.本院所有人員違反本政策，或發生其他任何危及本院資訊安全暨隱私安全保護安全之行為，將視情節輕重追究其民事、刑事及行政責任或依本院之相關規定進行懲處。

（四）注意事項

1.本政策應至少每年審查乙次，以反應政府法令、技術及業務等最新發展現況，以確保本院永續運作及提供資訊服務之能力。
2.資訊安全暨隱私安全政策配合管理審查會議進行資訊安全暨隱私安全政策審核。
3.本政策經資訊暨電子病歷管理委員會核定後實施，修訂時亦同。