壹、目的：
經濟部（以下簡稱本部）為處理駭客入侵導致電子資料遭竊
事件之作業程序標準化，以提升本類事件處理速度、保存事
件相關資訊及強化本部資訊安全，特訂定本作業程序（以下
簡稱本作業處理程序）。
貳、適用對象及時機：
一、適用對象：本部部次長室、主任秘書室、參事室及所屬幕
僚單位。
二、適用時機：本部因駭客入侵導致電子資料遭竊時，依本作
業處理程序辦理。
參、作業程序：
一、於本部資訊安全監控中心（以下簡稱監控中心）處理資通
安全事件且發現有資料遭竊跡象時，依下列程序處理：
（一）資安通報作業
依「經濟部資通安全事件通報及應變管理程序」陳報
並於「國家資通安全通報應變網站」進行通報作業。
（二）事件處理作業
依設備類別（個人電腦或主機）及現場環境綜合評
估。為避免揮發性資料因電源關閉影響事件調查，於
狀況許可下，先將設備網路斷線並採擷揮發性資料。
1.個人電腦
（1）取得使用者電腦
如該部電腦於事件調查時為開機狀態，則應先將
記憶體資料轉存（Memory Dump）後，再將該部電
腦取回資訊中心，以盡量保持其原始狀態之完整
性，俾利後續調查處理作業。
（2）電腦硬碟映像檔製作
取回之個人電腦硬碟由監控中心作業人員進行一
對一（Bit-Stream）完全複製（一式三份），一
份作為事件調查用；一份作為歸還使用者備份資
料用；另一份留存備用。
（3）原始電腦硬碟封存
原始電腦硬碟以公文袋封存，標示後置於資訊中
心機房防火保險櫃內（標示格式如附件一）。
（4）電腦歸還使用者
將其中一份複製硬碟中之惡意程式清除後，安裝
回使用者電腦，歸還使用者，並請使用者變更相
關帳號之密碼。
（5）電腦使用者備份資料
使用者進行檔案資料檢視，將確屬於個人之公私
務資料部分進行備份作業。
（6）電腦重新安裝
為確保使用者電腦環境之安全，俟電腦使用者備
份作業完成後，再由資訊中心進行電腦重新安裝
作業。
2.主機
（1）主機映像檔製作及封存
①如屬虛擬主機，則由監控中心作業人員直接複製該
虛擬主機檔案二份，並註記複製檔案建立日期時間。
②如屬實體主機，則由監控中心作業人員於確認系統
服務可中斷後，先將記憶體資料轉存（Memory
Dump），再將主機電源關閉，並針對本機硬碟部分
進行一對一（Bit-Stream）完全複製（一式二份）
。
③複製品一份作為事件調查用；另一份封存備用。
（2）清除惡意程式
清除主機上之惡意程式，以防駭客續以利用。
（三）事件調查作業
1.監控中心針對複製品進行調查分析作業，檢查項目包
含使用者電腦登入紀錄、系統機碼、處理程序及應用
程式、檔案異動紀錄、USB
使用紀錄、上網紀錄、E-
mail紀錄、軟體使用紀錄以及記憶體暫存資料等項目
，並依事件發生時間、惡意程式、惡意網路連線關係
、攻擊手法及利用之系統漏洞等進行整體關聯分析作
業。
2.於調查當時發現可立即進行之損害管控動作，資訊中
心得先進行處理，如當下發現惡意程式連往之駭客中
繼站位置，立即於安全設備上進行連線阻擋，或停用
遭利用之帳號等，以降低損害。
（四）遭竊資料列表
疑似遭竊之資料檔由資訊中心進行檔名列表作業，以
供資料所屬單位進行損害評估及管控之用。
（五）產出事件調查結果報告
監控中心進行事件調查暨處理作業後，產出「經濟部
資通安全事件調查結果報告」（格式如附件二，不含
「資料檔案檔名列表」部分）。
（六）資料整併及提供
1.將前開之事件調查結果報告與檔名列表資料，合併成
完整報告。
2.將報告中之「資料檔案檔名列表」部分提供資料所屬
單位進行損害評估及管控作業。
（七）損害評估管控及通報作業
1.資料所屬單位針對遭竊資料進行損害評估及後續之損
害管控作業。
2.資料所屬單位須填具「經濟部遭竊電子資料機敏等級
評估單」（附件三）回報資訊中心。
3.如遭竊資料內含機敏資訊，資料所屬單位須向政風處
通報；如遭竊資料內含個人資料，資料所屬單位須依
經濟部及所屬機關個人資料保護管理要點第二十二點
規定通報至本部個人資料保護推動執行小組。
（八）陳報及資安通報結案作業
1.遭竊資料如內含機敏資訊，資訊中心須依「經濟部資
通安全事件通報及應變管理程序」向本部資通安全推
動小組召集人（資通安全長）陳報。
2.依前述程序於「國家資通安全通報應變網站」進行資
訊作業面之結案作業。
3.封存之硬碟併同完整報告以密件公文歸檔專用資料袋
封存，標示後置於資訊中心機房防火保險櫃內。（標
示格式如附件一）
（九）災害復原作業（主機）
應變更該主機及系統相關使用之帳號及密碼，並依主
機及系統復原程序進行災害復原作業。
（十）檢討及改善精進作業
檢討遭入侵原因後，進行後續改善精進作業。
二、封存之證物，於資安通報結案作業完成日二年後銷毀，調
查結果報告循公文程序歸檔。
肆、經濟部電子資料遭竊事件處理作業流程如附圖。