作者：李墨軒 / 臺灣大學計算機及資訊網路中心網路組行政組員
近年資安威脅不斷升級，不論是國外大型企業資料外洩事件，或是國內政府機關遭惡意攻擊的案例，都顯示資通訊設備若缺乏一致且完善的安全設定，將可能成為駭客入侵的重要管道。為提升我國整體資通安全防護能力，政府推動「政府組態基準（Government Configuration Baseline，簡稱GCB）」制度，要求公務機關遵循標準化的設定規範，確保各類系統均處於安全狀態。
本校依據「資通安全責任等級分級辦法」屬於B級公務機關，需配合資安法規定，在等級核定後一年內完成GCB的導入作業，並持續維運。本期電子報將向全校教職員工全面說明GCB的目的、適用範圍、本校導入方式以及例外規範，協助同仁了解本校資安強化措施與未來方向。
一、什麼是GCB？為何需要導入？
GCB的核心目的在於制定一套全國一致的資安設定基準，包括密碼強度、帳號管理、網路通訊設定、更新政策、系統權限控管等項目。這些設定能避免因不同單位或使用者習慣、系統版本不一而產生的安全漏洞。
導入GCB的效益包括：
- 降低攻擊風險：統一安全設定後，可大幅減少常見弱點，例如弱密碼、未更新項目或過度權限等。
- 提升資訊設備安全性：確保全校使用的電腦、伺服器與應用程式均符合政府最低安全要求。
- 落實法遵要求：符合資安法規範，避免未依規定導入而產生稽核缺失，甚至影響機關評等。
- 提高設備管理效率：透過標準化設定，可簡化管理流程，讓管理者更容易維運與追蹤狀態。
換言之，GCB不僅是法定要求，更是保障本校資料安全不可或缺的基礎工程。
二、目前已要求導入GCB的系統與程式
根據主管機關公告，本校需導入GCB的平台涵蓋作業系統與常用應用程式兩大類別。
（一）需導入的作業系統（OS）
包括：
- Windows 7
- Windows 8.1
- Windows 10
- Windows 11
- Windows Server 2008 R2
- Windows Server 2012 R2
- Windows Server 2019
- Ubuntu 22.04
上述系統的電腦或伺服器，只要仍在使用，即需納入GCB管理範圍。
（二）需導入的應用程式（Applications）
- Internet Explorer 8 / 11
- Microsoft Edge
- Google Chrome
- Mozilla Firefox
- Microsoft IIS 8.5
- Microsoft Office 2016 / 2019
- Apache Tomcat 10
若單位資訊設備中有安裝上述任何軟體，即需要執行 GCB 套用與定期維護。
三、115年預告新增的導入項目
國家資通安全研究院已公告，115年度將新增以下環境的GCB規範：
- Apple macOS 15
- Apple Safari
- AWS（Amazon Web Services雲端環境）
- Fortinet Fortigate防火牆設備
正式規範將於115年發布，本校預計會在公告後一年內完成規劃並開始分階段導入。這也意味著本校未來的資安管理範圍將更全面，涵蓋不同平台與雲端服務。
四、本校導入GCB的方式與流程
為協助全校各單位更快速且正確地完成GCB導入，計資中心已採購第三方管理平台作為GCB的統一中控台。透過此平台，可集中管理全校設備、批次部署設定並進行狀態追蹤，大幅減少各單位的作業負荷。
導入流程如下：
1.建立管理者帳號與權限
各單位需提供負責管理GCB的人員資料，計資中心將在中控台中建立帳號、密碼與對應權限，使管理人員可操作系統。
2.各單位管理人員執行部署
管理者可透過中控台將GCB套用至所屬單位所有設備，包括桌機、筆電與伺服器。
3.計資中心提供「公板設定」可直接套用
為提高效率，計資中心已預先製作標準化、符合GCB要求的設定公板。一般使用者電腦只需選擇公板即可快速完成套用。
4.定期檢查與維運
依資安法要求，各單位須定期檢視部署狀態，包括：
- 套用是否成功
- 設定是否遭改動
- 是否有新系統須納入
- 是否需更新版本
計資中心也會定期提供全校GCB部署狀態報表，供管理者查核。
五、例外清單管理機制
在某些情況下，資訊設備可能因業務需求無法完全套用GCB。例如：
- 特殊軟體需使用非標準埠號
- 實驗設備需使用不同的帳號管理方式
- 舊型儀器或應用系統不支援部分設定
此時，單位可於中控台提出例外清單（Exception List）。例外項目需清楚說明原因、用途及風險控管方式。例外清單必須經單位資安長核准才能生效，以兼顧安全與業務運作需求。
六、結語：強化資安，需要每位同仁的支持
GCB的導入是本校資訊安全的重要里程碑，也是全校共同維護安全環境的關鍵基礎。在數位化迅速發展的今日，資安威脅與日俱增，唯有建立一致且健全的系統設定，才能確保本校教學、研究與行政資訊的完整性與可用性。
感謝各單位在導入過程中的協助與支持，後續若有任何問題，歡迎隨時與計資中心聯繫，我們將提供必要協助，共同打造更安全的校園資訊環境。