应用系统的防护基准 - 委外注意事项

这年头要赚政府的钱也不容易啊

资安法要求的对象不只有公务机关，连委外的厂商也需要符合大部分的应办事项.难度在业界可能算不上什麽，就是手续多了一些，别忘了多留点时间给厂商准备，也多点时间在验收上。范本可参考资讯服务采购契约范本。
特别需要留意资讯安全的部分，以及事後的维修，不然出事要厂商修补合约外的漏洞是很容易遇到麻烦的

以下就依委外流程分事前,事中，事後举例说明重要事项
事前，第一次需要罗列出所有应办事项，其中的资安人员配置与是否有专业的资安背景也是要考量的

事中 如同自行开发一般，要确认是否有符合作业环境，也需要稽核，可以是请厂商填做检核表

事後 确认系统 资料有安全善後，如果有个资方面，可要交回或自行销毁

最後建议如果给跟我一样没经验的话，请单位内介绍有经验的厂商，安全品质才都有办法照顾到，可省下不少资安的考量，专注在功能的验收与维护上