1. 本局應建立管理組織，界定個人資料管理相關責任及義務。
2. 透過個人資料盤點、風險管理等程序，完善本局風險管理措施。
3. 建立本局合法之個人資料蒐集、處理與利用程序等，符合個人資料保護法及其施行細則所要求之各項義務與責任。
4. 本局辦理委外作業時，應考量個人資料管理相關要求，妥善監督受託廠商，並要求遵循本管理政策及相關規定。
5. 本局應定期進行個人資料管理之內部稽核事項。
6. 本局應建立有關個人資料事故管理等相關程序。
7. 本局應重視並受理當事人就其個人資料依法行使之權利請求，並建置申訴管道、當事人提起法律權利及損害賠償之業務等處理程序。
8. 本局應持續維護及改善已建立之個人資料管理制度，包含內外部利害關係者參與管理制度運作的程度。
9. 本局應制定隱私權公告及網站隱私權聲明，內容包括有關本局對個人資料及隱私權之保護措施；網站隱私權聲明亦應公告於本局全球資訊網站。

1. 「資訊保護、全體動員」目標
1. 落實資訊保護政策，確實遵守資訊存取與實體環境安全管理作業程序。
2. 尊重智慧財產權，禁止安裝未經授權之電腦軟體，並對可攜式設備之使用嚴加管控。
3. 全體共同攜手動員，確保監理資料妥適安全，防止任何侵害。
2. 「資通安全、人人有責」目標
1. 落實資通安全政策，加強資通安全教育宣導。
2. 建立資通安全量測指標，評估資通安全運作成效，落實營運持續與管理改善。
3. 嚴格遵守網路與通訊管理作業程序規定，防止各類惡意程式與電腦病毒入侵。
4. 人人遵守資訊存取控制管理作業程序規定，避免資通安全人為疏失。

1. 政策執行
1. 為落實執行本政策，訂定本局各項個資及資通安全管理作業規定並「公告週知」，期能全體同仁一致遵循。
2. 為檢視本政策的執行成效，每年應由總局管理代表檢視年度目標執行成果。
2. 政策宣達
1. 本政策節錄後，於「公路總局網站」對外公告。
2. 本政策、作業程序書、員工個資及資安作業規定與年度資通安全量測指標等文件，於「公路總局e化中心」上公布與宣達，供本局同仁遵循。
3. 政策審查與評估：

   每年定期召開管理審查會，針對資安政策與年度量測指標的落實度加以審查與評估，以達系統持續管理改善之目的。

1. 一般要求：
   在整體營運活動與其所面臨資通安全風險中，本局已建立、實作、運作、監視、審查、維持及改進已文件化之資通安全管理系統。
2. 資通安全管理系統之建立與管理：
   本局依據上級主管之要求、營運特性、ISO 27001 國際標準及控制目標要求，來建立本局之資通安全管理系統。
3. 驗證範圍參照「適用性聲明書」（COMM-POL-4003）。
4. 依據本局所訂定之「資訊資產清查及風險評鑑作業程序書」（ISMS-IAM-2001），評估本局本次驗證範圍內資訊資產之風險，並對結果訂定可接受之風險等級。
5. 資通安全管理系統實施過程中，所選擇的控制目標與控制方法，經實際運作並提出佐證資料後證明有效。
6. 適用性聲明中所選擇不適用之控制目標，均有適當之理由。

1. 所建立之資通安全管理系統文件，均依照 ISO 27001 國際標準及控制目標要求編撰對應之作業程序書、風險評估報告與風險處理計畫。
2. 資通安全管理系統文件之制訂、增修、審核、識別、登錄、發行、使用、存檔、作廢等作業，依照「文件與記錄管理作業程序書」（COMM-DRM-2001）之規定執行。
3. 資通安全管理系統所產生的報表與紀錄之編號與保存年限 等，均配合前述規定進行。

1. 管理階層承諾
1. 本局管理階層承諾下列事項。
1. 確保個資暨資安政策已經建立。
2. 確保 ISO 27001 國際標準及控制目標要求均已實施。
3. 個資及資安管理系統之組織職掌與分工已成立並開始運作。
4. 本政策宣達至相關單位與人員。
5. 持續實施資訊資產風險管理、評估與改善。
6. 制（修）訂風險評估後之可接受風險值（分數）。
7. 提供充分資源，維持本系統持續改善與運作。
8. 執行本系統之管理階層審查。
2. 資源管理
1. 資源提供
1. 建立、實作、運作、監控、審查、維持及改進本系統。
2. 確保已實施之個資及資安管理系統所有相關文件均保持其完整性與可用性。
3. 與承包商簽訂之契約，皆已明訂個資及資安條款。
4. 對所有已經實作的管控措施，提供最新的個資及資安資訊與技術持續改善。
5. 對本系統稽核、審查發現之缺失，優先提供改進資源。
6. 對任何可以改進本系統之有效性措施，提供適當改進資源。
3. 訓練、認知及能力：

   個資及資安管理系統之有關訓練、認知及能力需求等作業，依照「人力資源安全控制作業程序書」（COMM-HRM-2001）實施。

依照「內部稽核作業指導書」（COMM-IAP-3001）之規定，執行資通安全內部稽核。

依照「管理審查作業程序書」（COMM-OMR-2001）之規定， 實施資通安全之管理階層審查。

1. 持續改進：

   經由本政策執行、績效檢討、稽核實施與監控，加以分析並提出矯正與預防措施，經審查矯正與預防措施實施效果，作為持續改進本系統之依據。

2. 矯正措施：

   依照「矯正預防措施作業程序書」（COMM-CPP-2001）對本政策執行、績效檢討、稽核實施與事件監控時所發現之缺失，提出矯正措施加以改善。

3. 預防對策：

   依照矯正預防措施對本政策執行、績效檢討、稽核實施與監控時所發現之缺失，經改善後提出預防對策並加以規範。