資訊服務採購及資安風險管理(113) 解答

資訊服務採購機關針對廠商履約成果涉及的智慧財產權，為利後續系統維護管理及功能增修，以取得全部所有權為原則。

• 是
• 非

資訊服務採購以下敘述何者為非

• 評選項目可以列「創意及回饋」項目
• 採固定價格決標符合政府採購法第52條第2項「以不訂底價最有利標」之原則
• 採固定價格決標者，於議價程序得與廠商議條件

資訊服務採購的預算編列，就需要參考SSDLC(安全系統開發生命週期)概念分階段估算所需經費。

• 是
• 非

資訊服務採購若採不訂底價最有利標，就必須採公開招標經上級機關核准。

• 是
• 非

機關委外建置資訊系統在以下何種情形需要評估導入IV&V（獨立驗證與認證）？

• 委託建置範圍涉及機關的核心資通系統
• 委外採購金額達新台幣1000萬元以上
• 以上同時具備時

有關【各類資訊（服務）採購之共通性資通安全基本要求參考一覽表】，以下敘述何者為非

• 依照一覽表區分的九類資訊服務類型，各類所列資安要求項目基本上都要參照要求廠商辦理
• 一覽表所列各項資安基本要求，需要對應採購機關的資通系統防護需求等級來擇定
• 一覽表的目的是為協助各機關即時有效強化資通安全防護及妥適辦?資訊服務採購

機關的資通系統依據《資通安全責任等級分級辦法》§11附表九區分為

• ABC級
• 普中高級
• 123級

資訊服務採購標的若涉及國安或資安，應不允許陸資廠商投標。

• 是
• 非

資訊服務採購應以資通系統籌獲案資訊經費至少須達至多少比例估算資安經費

• 3%
• 5%
• 7%

機關委外辦理資訊系統建置，以下敘述何者為是

• 機關與廠商進行需求訪談之窗口宜有一定決策權限
• 為兼顧履約時程效益，廠商可邊需求訪談邊進行開發
• 機關若有臨時新增系統功能需求，可以請廠商納入開發範圍，不用辦理契約變更

資訊服務採購契約執行過程中

• 交付標的或執行服務過程中，不得提供或使用中國廠牌之資通訊軟硬體產品
• 服務履約人員不得為中國籍
• 以上皆是

機關採購雲端服務應依資通安全責任等級要求雲服務進行日誌資料保存，且應至少保存最近幾個月？

• 3個月
• 6個月
• 12個月

資訊服務採購以不訂底價最有利標為原則。

• 是
• 非

機關建置或使用雲端服務，以下何者為是

• 禁止使用大陸地區（含香港及澳門地區）之雲服務廠商
• 為提供雲端服務所使用的資通訊產品不得為大陸廠牌，雲服務提供者自己設計的白牌設備也不得使用
• 執行機關雲端服務委外案的團隊成員不管在境內或境外，都不得有中國籍人士參與

資訊服務採購的資安經費，包含在工作細項裡一起預估即可。

• 是
• 非

有關「危害國家資通安全產品」之敘述以下何者為非

• 指對國家資通安全具有直接或間接造成危害風險，影響政府運作或社會安定之資通系統或資通服務
• 各機關不得使用危害國家資通安全產品，但委外營運提供公眾活動或使用的場地，可以使用
• 如果機關沒有替代方案必須使用大陸廠牌的資通訊產品，須經過資安?和上級機關資安?核可，函報數位部核定，且要強化相關資安措施才得使用

工程會與數位部訂定之「各類資訊(服務)採購共通性資通安全基本要求參考一覽表」是對應

• 資安事件等級
• 機關的資通安全責任等級
• 資通系統防護需求等級

機關使用雲端服務的資料實體所在地，不論資料機敏程度，資料存取、備份及備援之實體所在地都應在我國境內。

• 是
• 非

機關辦理資訊業務委外，採購時應考量廠商之專業能力與經驗、委外項目之性質及機關本身資通安全需求，以選任適當之受託者。

• 是
• 非

資訊服務採購得標廠商不允許分包。

• 是
• 非

針對資訊委外業務受託者的管理，只要採購前注意選任條件即可。

• 是
• 非

政府的資訊業務原則上由機關自行開發建置、維運，以節省行政成本。

• 是
• 非

資訊服務採購若採限制性招標準用最有利標，議價程序採購人員一定要議減價格或要求廠商提出優規。

• 是
• 非

考量機關預算經費有限及避免採購程序繁複，資訊服務採購以最低標為原則。

• 是
• 非

機關使用雲端服務的資料實體所在地，以下何者為非

• 機敏資料在雲端服務的存取、備份及備援的實體所在地不得位於大陸地區，香港及澳門地區則不限
• 機敏資料跨境傳輸至境外只要儲存地非大陸地區即可，傳輸過程不予限制
• 以上皆非
• 創作者介紹
• 阿德
• 永無止盡的學習路