关键电信基础设施资通设备测试机构及验证机构管理办法｜第 3 条｜韧性建设｜法规｜生效中
数字发展部｜v1.0
最后修订: 2021-01-29
测试机构应经财团法人全国认证基金会（以下简称认证组织）认证，具备运行主管机关公告之资通设备相关技术规范所列测试内容之能力。 测试机构应符合下列条件： 一、依法设立之本国法人、机构。 二、符合CNS 17025或ISO/IEC 17025标准。 三、未从事拟申请测试项目之资通设备输入、设计、制造或贩卖相关业务。 四、须设置三名以上之专业且专职之人员，包含测试主管一名及测试工程师二名。 前项第四款之人员，应符合下列条件： 一、测试主管： （一）为国内公立或立案之私立大专以上学校或经教育部承认之国外大专以上学校之信息工程、信息管理或相关科系毕业。 （二）具资通安全相关管理或测试评估实务工作经验达五年以上，且了解相关法令与技术规范。 （三）取得CNS 17025或ISO/IEC 17025训练合格证书。 二、测试工程师： （一）为国内公立或立案之私立大专以上学校或经教育部承认之国外大专以上学校之信息工程、信息管理或相关科系毕业。 （二）具资通安全相关测试评估实务工作经验达二年以上。 （三）具备ISO/IEC 15408测试评估专业训练时数至少四十小时以上之证明。 （四）取得道德黑客认证（Certified Ethical Hacker,CEH）或国际网络资安认证（CompTIA Security+）有效之信息安全相关专业证照。 （五）具备下列有效之信息安全相关专业证照之一： 1.信息系统安全专家证照（（ISC）2 Certified Information Systems Security Professional,CISSP）。 2.资安分析专家证照（EC-Council Certified Security Analyst,ECSA）。 3.资安鉴识调查专家证照（EC-Council Computer Hacking Forensic Investigator,CHFI）。 4.渗透测试专家证照（GIAC Penetration Tester,GPEN）。 5.资安专业人员证照（（ISC）2 Systems Security Certified Practitioner,SSCP）。 6.渗透测试技术证照（Offensive Security Certified Professional,OSCP）。 认证组织认证测试机构符合前三项规定后，应检具测试机构认证证书，报请主管机关备查。 测试机构为运行主管机关公告之资通设备相关技术规范，应设置必要之测试设备以办理测试作业。 主管机关得向测试机构调阅及查核相关文档，并得派员至测试机构实地查证，测试机构无正当理由不得规避、妨碍或拒绝。