6. 情境如附圖所示，關於資通安全責任等級分級辦法，下列敘述何者正確？
(A) 資通安全管理法規範公務機關及特定非公務機關之資通安全 責任等級，分為 A 至 D 級
(B) 公務機關應每三年核定其所屬機關資通安全責任等級
(C) 公務機關其負責業務有涉及國家機密，其資通安全責任等級即為 A 級
(D) 各公務機關未維運自行或委外開發之資通系統者，其資通安全責任等級為 C 級

答案分析

(C) 公務機關其負責業務有涉及國家機密，其資通安全責任等級即為 A 級 —— 正確答案

• 說明： 根據分級辦法，公務機關若符合「業務涉及國家機密」、「業務涉及外交、國防或國土安全」、「屬關鍵基礎設施提供者」或「屬全國性提供之公務服務」等條件，其責任等級應核定為 A 級。這是最高等級，要求最嚴格的資安防護與人力配置。

錯誤選項說明

(A) 資通安全管理法規範...分為 A 至 D 級

• 錯誤原因： 責任等級實際上分為 A 級至 E 級，共有五個等級，而非四個。

• 補充： * A/B/C 級： 具有較高重要性，需配置專職資安人員並導入 ISMS。

  • D/E 級： 多為業務較單純、資產價值相對較低的機關（例如鄉鎮市公所或小型學校常被列入 D 或 E 級）。

(B) 公務機關應每三年核定其所屬機關資通安全責任等級

• 錯誤原因： 時間周期錯誤。公務機關應 每兩年 核定其所屬（轄）機關之資通安全責任等級。

• 補充： 若機關業務有重大變更（如組織改制、業務調整）時，則應隨時重新評估核定，不受兩年限制。

(D) 各公務機關未維運自行或委外開發之資通系統者，其資通安全責任等級為 C 級

• 錯誤原因： 這是 D 級 的核定標準。

• 說明： * C 級： 主要是指維運「自行或委外開發」之資通系統，且非屬 A、B 級者。

  • D 級： 才是指「未維運」自行或委外開發之資通系統。

  • E 級： 通常指僅使用上級機關提供的資通服務（如僅用公文系統、沒主機、沒網頁）的基層單位。

資通安全責任等級（公務機關）判定重點摘錄