核心法源與適用範圍

資通設備資通安全審驗合格證明核發作業原則，其法源依據直接來自《資通設備資通安全審驗作業要點》第5點第2款。此規範由國家通訊傳播委員會（NCC）基礎設施與資通安全處負責執行，主要目的在建立資通設備進入市場前的安全防護門檻[citation:1]。隨著《資通安全管理法》於107年5月11日通過，台灣積極推動國家資通安全政策，加速建構資安環境，以保障國家安全與公共利益[citation:3]。

適用對象不僅涵蓋公務機關，更包括關鍵基礎設施提供者、公營事業及政府捐助之財團法人等特定非公務機關。這些單位維運的資產、系統或網絡一旦停止運作，將對國家安全、公共利益或經濟活動造成重大影響[citation:3]。尤其值得留意的是，行政院已要求各機關於110年底前完成汰換所使用或採購的大陸廠牌資通訊產品，無論其原產地於台灣、大陸地區或第三地區，均須列入管理範圍[citation:8]。

申請程序與文件準備要領

檢測實驗室選擇與報告取得

申請者首要步驟是向NCC認可的本國實驗室認證組織認可之檢測實驗室申請資通安全檢測。經檢測合格後，由檢測實驗室出具資通安全檢測報告，此為後續審驗的基礎文件[citation:1]。檢測實驗室必須符合《資通設備資通安全檢測實驗室管理作業要點》的規範，確保其技術能力與公正性。

申請書與應備文件

申請者需填具資通設備資通安全審驗申請書，並檢附以下文件正本或影本一份向NCC提出申請：

• 中英文使用手冊或說明書：需完整記載設備操作與安全設定方式
• 技術規格資料（中文或英文）：包含硬體規格、通訊協定與安全功能說明
• 資通安全檢測報告正本：由認可實驗室出具的有效報告
• 公司登記證明文件：申請者為代理商時，應加附製造商設立證明
• 其他指定資料：NCC得視個案需求要求補充文件
• 電子檔光碟：內含申請書與所有文件電子檔[citation:1]

特別需注意的是，當申請設備涉及客製化資通系統開發，且屬委託機關的核心資通系統或委託金額達新臺幣一千萬元以上時，委託機關應自行或委託第三方進行安全性檢測[citation:5][citation:7]。

大陸廠牌產品的特殊規範

依據《各機關對危害國家資通安全產品限制使用原則》，大陸廠牌資通訊產品無論產地，均被視為可能對國家資通安全造成直接或間接危害的產品[citation:2][citation:4]。行政院已明令：

1. 公務用資通設備不得使用大陸廠牌，且不得安裝非公務用軟體
2. 個人設備不得處理公務事務或與公務環境介接
3. 機關既有大陸廠牌產品須列冊管理，且不得與公務環境介接[citation:8]

對於提供公眾活動或使用之場地，各機關自行或委外營運時，均不得使用大陸廠牌資通訊產品，並應將此要求納入委外契約[citation:4]。因此，企業在申請認證時若涉及大陸廠牌產品，應預先評估替代方案。

表：大陸廠牌資通訊產品管理規範要點

技術規範與檢測標準

關鍵基礎設施防護要求

NCC於110年1月21日訂定《關鍵電信基礎設施資通設備資通安全檢測技術規範》，針對可能影響電信基礎設施安全的設備提出具體檢測要求[citation:1]。這些設備需通過更嚴格的安全測試，包括：

• 韌體驗證：確保設備軟體未被植入惡意程式
• 通訊協定分析：檢驗資料傳輸過程的加密完整性
• 漏洞掃描：識別已知安全弱點並提出修補方案
• 韌性更新機制：確認韌體更新過程的完整性和驗證機制

核心資通系統強化措施

當資通系統被判定為核心資通系統（支持核心業務持續運作必要之系統）或防護需求等級為高時，需實施更嚴格的控制措施：

1. 高強度密碼設定：不得使用預設密碼，需符合複雜性要求
2. 遠端維護禁止：限制外部連線存取，防止未授權操作
3. 連網功能管控：硬體層級禁用WiFi等持續連網功能（非僅軟體關閉）
4. 韌體更新監督：需專人全程監督外接更新裝置，完成後立即移除[citation:2][citation:4]

證書核發後的管理與義務

取得認可證書不代表程序終結，實驗室與設備供應商需持續履行以下義務：

定期更新與監督機制

• 證書有效期管理：認可證書設有有效期限，屆期前需重新申請審驗
• 不定期抽檢：NCC得對獲證設備進行市場監督檢測
• 變更通報義務：設備規格或安全設計變更時，應主動通報並重新檢測[citation:1]

安全事件應變責任

當產品遭遇資安攻擊導致異常時，應立即啟動應變程序：

1. 立即隔離：將受影響設備與網路環境隔離
2. 畫面置換：若顯示畫面遭置換，應立即置換靜態畫面或關機
3. 通報與調查：依《資通安全事件通報及應變辦法》向主管機關通報
4. 改善報告：提出事件調查與具體改善措施[citation:2][citation:4]

區域合作與最新發展趨勢

中台灣資安聯防機制

台中市府數位治理局近期舉辦「資通安全專業教育訓練」，結合中台灣區域治理平台的8縣市資源，共同培訓公部門資安人員。此合作模式從人員培訓、資安資訊交換逐步擴展到防護機制合作，形成區域資安保護網[citation:6]。企業在申請認證時，可關注此類區域性資安要求，預先強化設備安全性設定。

數位發展部法規調適

數位發展部已修正《各機關對危害國家資通安全產品限制使用原則》，重點包括：

• 產品生命週期管理：危害產品使用屆期後不得再購置
• 供應鏈安全驗證：委外案件境內團隊不得有陸籍人士參與
• 資料儲存地域限制：機敏資料存取、備份不得位於大陸地區（含港澳）[citation:4]

企業實務操作建議

申請文件常見缺失預防

根據審驗實務經驗，申請文件常見問題包括：

1. 檢測報告缺漏：未含完整測試案例或結果數據不完整
2. 規格不一致：申請書記載規格與實際設備不符
3. 授權文件過期：代理授權書或商標使用授權超出有效期
4. 電子檔格式錯誤：光碟檔案格式不符或無法讀取[citation:1]

企業應建立文件三重檢查機制：由技術單位、法遵部門與品管單位分別確認文件正確性，避免補件延誤時程。

資安維護計畫整合要點

特定非公務機關需制定資通安全維護計畫，建議整合認證要求：

• 人員配置：配置具資安證照或經驗的專業人員
• 第三方驗證：通過ISO 27001等國際標準驗證
• 複委託管控：明定複委託範圍與對象的資安要求
• 系統開發安全：客製化系統應提供安全性檢測證明[citation:5][citation:7]

結語：建構合規與安全並重的管理思維

資通設備安全審驗不僅是法規遵循程序，更是企業風險管理的重要環節。隨著台灣資安法規持續演進，企業應建立主動監測機制，定期檢視NCC最新公告與技術規範。特別是涉及關鍵基礎設施的設備供應商，更需將安全設計（Security by Design）原則融入產品開發生命週期，從源頭降低資安風險。

同時，企業在規劃資通設備採購與管理時，應預先評估地緣政治風險因素，避免選用可能受政策限制的大陸廠牌產品，以確保投資效益與營運連續性。透過理解審驗原則的核心精神與實務要求，企業不僅能順利取得認可證書，更能為台灣整體資安防護貢獻力量。