1. 1. 7. 資料、資訊之存取，必須符合「資通安全管理法」及子法、「個人資料保護法」、「電子簽章法」及「智慧財產權」等相關法規、法令之規定，或契約對資料保護及資料存取使用控管之規定。
      8. 系統主機之公用程式路徑之存取權限應適當控管，禁止一般使用者存取。
      9. 針對無人看管的資通資產設備，應有適當控管程序，以防未經授權之存取或濫用。
      10. 個人桌上型電腦、可攜式電腦應設定於一定時間不使用或離開後，應自動清除螢幕上的資訊並登出或鎖定系統，以避免被未經授權之存取。
   2. 帳號與密碼管理
      1. 新購置之應用軟體或系統，安裝完成後應立即更新預設之密碼，並刪除或關閉不必要之帳號。
      2. 使用者帳號管理
         1. 使用者帳號申請應填寫「資訊服務申請表」，經會辦資通安全執行秘書後，由帳號管理人員進行使用者帳號建立作業。
      3. 管理者帳號管理
         1. 系統管理者應避免共用系統管理者帳號，系統管理者帳號與密碼應存放於安全之處。
         2. 系統管理者密碼設置，至少8碼，且應符合密碼設置原則。
      4. 密碼管理
         1. 使用者首次使用系統時，應要求更改密碼設定，並妥善保管帳號與維持密碼之機密性，保存帳號密碼之檔案應以加密方式處理。
         2. 使用者應避免將帳號密碼記錄在書面上，張貼在個人電腦、螢幕或其他容易洩漏秘密之場所。
         3. 使用者禁止共用帳號密碼。
         4. 使用者發現密碼可能遭破解時，應立即更改密碼。
         5. 使用者每次存取系統時應輸入密碼登入系統，避免使用記錄密碼功能，導致開機時自動登入系統。
         6. 資通資產價值為4以上之系統，系統管理者應至少3個月更換密碼一次，學籍系統之使用者(學校行政人員)應至少6個月更換密碼一次，並禁止重複使用相同的密碼。
         7. 使用者密碼設置至少8碼，且應符合密碼設置原則。
         8. 密碼設置原則

應儘量避免使用易猜測或公開資訊為設定，例如：

1. 1. 1. 1. 1. 個人姓名、出生年月日、身分證字號
            2. 機關、單位名稱或其他相關事項
            3. 使用者ID、其他系統ID
            4. 電腦主機名稱、作業系統名稱
            5. 電話號碼
            6. 空白

密碼設定可考慮下列原則：

1. 參雜數字、英文字母、特殊符號、大小寫
2. 特殊意義詞彙
   2. 1. 9. 使用者遺忘密碼時，須填具「資訊服務申請表」，經單位主管核准後，由帳號管理人員重新設定。
   3. 使用者存取管理
      1. 各項系統資源使用權限之申請、註冊及註銷應遵循作業管理程序，並維護相關之申請、註冊、註銷資料與紀錄，以備查核。
      2. 使用者職務異動或離職時，單位主管應即時通知相關單位調整或終止使用者之存取權限。
      3. 特殊權限之使用者必須與一般權限之使用者區分管理；針對特殊權限帳號，應妥善管理。
      4. 特殊權限之授權管理，必須依執行業務系統別之需求，例如作業系統、資料庫管理系統、網路服務系統、監控管理系統等賦予系統存取特殊權限的授權，且以執行業務及職務所必要的最低資源存取授權為限。
      5. 系統相關作業人員需經正式授權存取業務相關之資通資產，其識別資料與帳號必須為唯一，禁止借用他人之帳號或共用帳號。
      6. 各項設備與系統相關之使用權限（例如使用者帳戶與作業權限）應留存紀錄。
      7. 應妥善管理久未登錄系統之帳戶，若超過6個月未曾登錄，則視需要清除閒置帳號。
      8. 應要求使用者變更初始密碼並定期變更密碼；重要資通系統及特殊權限之存取帳號之密碼變更期間應較一般權限之帳號頻繁。
      9. 使用者存取權限應定期審查，週期不得超過6個月。
      10. 重要系統稽核資料應由專人定期審核，系統管理者不得新增、刪除或修改稽核資料，審查週期不得超過6個月。
      11. 每半年將學籍系統、主機、網路設備等帳號權限設定資料印出，或填寫於「帳號清查紀錄表」，進行帳號權限清查，並將查核結果記錄於「帳號清查結果報告」會辦資通安全執行秘書。
   4. 作業系統存取控制
      1. 系統設定應避免於終端機登入程序中以明碼方式顯示密碼相關資訊。
      2. 只有在完成所有的登入資料輸入後，系統才開始查驗登入資訊的正確性；若登入發生錯誤，系統不應顯示錯誤發生之原因。
      3. 在系統登入被拒絕後，應立即中斷登入程序，並不得給予任何的協助。
      4. 應設定系統登入程序之時間限制，如果超出時間限制，系統將自動中斷登入。
      5. 使用者帳號避免顯示任何足以辨識使用者特別權限的訊息，例如：顯示其為管理者或監督者。
      6. 系統管理人員結束系統維護作業後，應結束應用系統及網路連線，清除螢幕上的資訊，登出系統，並鎖定主控台螢幕。
      7. 系統之存取使用應留存查核紀錄。
   5. 應用系統之存取控制
      1. 資訊存取之限制
         1. 應用系統資訊之使用，僅限業務相關之授權使用者，並應適當控制。例如：新增、刪除或執行等。
         2. 應用系統之敏感與機密性資訊，應與一般資訊作適當區隔，並加強權限控管措施。
      2. 原始程式資源之存取控制
         1. 應用程式原始碼，應集中存放，並由系統負責人管理程式之增修作業。
         2. 開發中之原始程式碼，應與線上程式碼分開放置與控管。
         3. 舊版的原始程式應妥慎保管，並詳細記錄使用的明確時間，以備新版失敗回復使用。
         4. 應用程式之異動需經適當控管。
         5. 應用程式管理人員，應檢視程式目錄清單，如有異常情形，應即查明原因及處理。
   6. 網路存取控制
      1. 網路系統應依其性質之不同，分開成不同的領域，各領域應以特定的安全設施（如防火牆及網路閘門）加以保護，以降低可能的安全風險。
      2. 網路管理人員應定期檢視網路存取之紀錄，並留存查核紀錄。
      3. 對於開放提供外部客戶或廠商存取之服務，必須限制使用者之網路功能以確保網路安全。
      4. 網路路由之規劃必須確保任何網路連線或資訊傳輸符合網路存取之安全需求。
   7. 遠端存取之限制
      1. 所有資訊資源使用者，非經單位主管授權或允許，禁止執行遠端存取作業。
   8. 資料庫存取控制
      1. 資料庫之存取權限，應經適當程序之授與及移除，且須使用獨立之帳號及密碼登入。
      2. 資料庫存取之身分驗證機制，須由系統內部安全機制提供。
      3. 資料庫使用者之帳號密碼設定必須符合本程序書及相關系統之帳號密碼管理規範之要求。
      4. 資料庫公用程式路徑之存取權限應適當控管，禁止一般使用者存取。
      5. 資料庫最高權限帳號之存取授權應僅限於資料庫管理員。
      6. 資料庫預設帳號應變更密碼，或是關閉使用。
      7. 資料庫之存取紀錄應留存查核紀錄。
   9. 系統被入侵時的異常處理
      1. 立即拒絕入侵者任何存取動作（例如關閉可疑帳號），防止災害繼續擴大。
      2. 關閉受侵害的主機，或立即與網路離線。
      3. 檢查防火牆及系統紀錄，研判入侵管道之方式，必要時作安全漏洞修補。
      4. 通知主機供應商提供必要的回復協助。
      5. 如伺服主機的完整性受侵害，應將完整的系統備份資料存回受害主機上，並測試其功能，直至完全回復為止，最後再將該主機重新上線。