N2SF 導入準備檢查清單
查看五個領域的 15 項確認事項，以及各領域可先準備的資料。
展開與機構需求相關的領域，先整理現有資料，以利洽詢與評估轉型範圍。
轉型範圍與可視性
- 是否已區分須維持網路隔離與可評估轉型的範圍？
- 是否定期盤點對外暴露的資產、服務與連接埠？
- 網路架構圖與資訊系統清冊是否維持最新狀態？
可先準備的資料
- 最新網路架構圖與資訊系統清冊
- 對外暴露資產、服務及連接埠現況
- 須維持網路隔離與可評估轉型的範圍
資訊分級準備
- 是否具備細分至作業層級的業務功能分類體系？
- 是否整理各項業務的相關法規及公開或不公開資訊的依據？
- 是否能查閱機密與限閱資訊登錄簿及已公開資訊清單？
可先準備的資料
- 業務功能分類體系與處理資訊清單
- 資訊公開或限制公開的依據
- 各項業務相關法規與內部規章
治理與制度
- 是否已訂定資訊分級核准及向機構首長報告的決策程序？
- 分級判定與驗證是否由不同角色負責？
- 是否將 N2SF、ISMS-P 等評估要求對應至共同的控制清單？
可先準備的資料
- 組織圖與資安職責分工
- 資訊分級、驗證與核准程序
- 目前適用的安全控制與評估準則
AI 應用準備
- 是否掌握員工使用生成式 AI 的情形，包括個人帳號？
- 是否已向員工說明可輸入外部 AI 服務的資訊準則？
- 是否識別出會影響民眾權利或資格判定的 AI 應用業務？
可先準備的資料
- 生成式 AI 使用現況與規劃應用業務
- 外部 AI 資訊輸入準則與內部核准程序
- 影響權利或資格判定業務的檢視準則
零信任與營運
- 是否逐步導入多因素驗證等使用者與裝置存取控制？
- 是否能衡量從偵測資安事件至採取處置的時間？
- 轉型期間暫時核准的例外是否設有期限與撤銷程序？
可先準備的資料
- 使用者與裝置存取控制現況
- 資安事件應對程序與營運紀錄
- 暫時例外的核准、到期與撤銷紀錄
依機構的準備情形討論導入。
歡迎以電子郵件說明需要釐清的領域，一起檢視適合機構環境的轉型範圍與所需資料。