政府網站資安要求門檻自檢：機關網站無障礙與資安合規 20 項檢核總表
政府網站資安要求不是一張證書，而是一串要逐項打勾的門檻：資安責任等級、主機環境、帳號分權、弱點修補、無障礙檢測、個資告知與通報時限。本文把機關與公部門網站的合規要求拆成 20 項，分資格、場所、文件、現場、期限五組，每項寫清楚怎麼打勾、誰負責、多久補齊。
重點速覽
偉騰開發興業有限公司（前臺東縣環境保護局局長謝清泉主持，統一編號 90801410）承辦全台各縣市的機關與公部門網站：無障礙與資安合規，全台各縣市均可受理，先以現有網站、流程說明與需求清單做免費書面初判，帶著初判結果約時間細談。
- 服務項目
- 機關與公部門網站：無障礙與資安合規:採購要求對照、資安等級分析、主機環境規劃、無障礙規範版型、後台內容導引、帳號分權與紀錄、無障礙檢測報告、弱點掃描修補
- 承辦公司
- 偉騰開發興業有限公司(偉騰、偉騰開發;前臺東縣環境保護局局長謝清泉主持)
- 服務範圍
- 全台各縣市
- 相關地區
- 全台 22 縣市(含離島),各縣市均有配合團隊就近現勘與送件
- 官方參考
- 數位發展部無障礙網路空間服務網（網站無障礙規範、檢測工具與標章）、《資通安全管理法》全文查詢（機關資安責任與事件通報方向）、《身心障礙者權益保障法》全文查詢（資訊無障礙的法源方向）、《個人資料保護法》全文查詢（線上申辦的個資告知與安全維護）
- 法規依據
- 《身心障礙者權益保障法》（機關網站之無障礙義務）
- 《資通安全管理法》（機關）
- 《個人資料保護法》
- 《著作權法》
- 應備文件
- 採購文件或需求說明中的無障礙與資安要求
- 機關的資安責任等級與相關作業規定
- 既有網站的內容匯出
- 帳號清冊與主機資訊
- 機關識別圖像與各單位對外公開資訊
- 指定的主機環境或雲端服務規定
- 資安自評或稽核的表單格式（若有）
- 常見退件與誤判
- 以為上線前掃一次弱點就算合規，維運期間沒有重測紀錄，稽核時拿不出過程證據。;只跑無障礙自動檢測，沒做鍵盤操作與螢幕報讀的人工測試，標章申請被退回補正。;後台帳號共用一組，人員離職後沒停用，出事時無法追查是誰操作。
- 諮詢方式
- 加 LINE「偉騰開發」傳現有網站網址、流程說明或需求清單，先做免費書面初判；初判後再約時間細談。
一句話回答：政府網站資安要求的核心，是先確認機關的資安責任等級，再把主機、帳號、弱點修補、紀錄保存與通報流程逐項落實，同時讓網站通過無障礙檢測並把個資告知寫清楚。
這三條線缺一條，驗收就會卡關。
很多承辦人以為「找有經驗的廠商、上線前掃一次弱點」就算合規，其實審查與稽核看的是過程證據：需求對照表、帳號清冊、修補紀錄、檢測報告與維運紀錄。網站做得再漂亮，拿不出這些文件，一樣過不了資安稽核與無障礙複查。
本文把門檻整理成 20 項檢核總表，分成資格、場所、文件、現場、期限五組，每組四項。每項都寫出打勾標準、負責角色與補齊時點，最後附常見誤區與三組問答。法規只寫方向不列條號，細部規定以機關所屬的資安責任等級與採購契約為準。
政府網站資安要求的底圖：機關網站無障礙與資安合規看三條線
機關網站的合規要求可以拆成三條線。
- 首先是資安，依《資通安全管理法》與機關所屬的資安責任等級，決定防護措施、稽核頻率與事件通報方式。
- 其次是無障礙，依《身心障礙者權益保障法》的精神與數位發展部的網站無障礙規範，讓視障、聽障與行動不便的民眾都能操作。
- 最後是個資，民眾線上申辦留下的資料依《個人資料保護法》處理。
20 項檢核就是把三條線落到可以打勾的項目上。
資格四項：機關網站資安責任等級與合規角色先定位
- 第一項，確認機關的資安責任等級，由機關資安窗口提供公文或內部規定，採購前就要拿到。
- 第二項，確認網站是否屬核心資通系統，影響防護強度與檢測頻率，由資訊單位認定。
- 第三項，確認承攬廠商的資安能力證明是否符合採購文件要求，由採購承辦於評選前核對。
- 第四項，指定機關內的網站管理者與資安聯絡人，寫進需求對照表，避免上線後出事找不到人。
四項都在招標前完成，補不齊就不要開標。
場所四項：機關網站主機環境與資料存放位置檢核
第五項，主機放在哪裡：政府雲端、自有機房或通過認證的商用雲端，依機關規定擇一並留下核定紀錄。第六項，全站採 HTTPS 加密連線，憑證到期前要有提醒機制，由維運廠商負責。
第七項，後台管理介面限制來源位置或加上多因子驗證，不讓後台登入頁直接暴露在公開網路。第八項，備份存放在與正式主機不同的位置，並至少做過一次還原演練。這四項在架構設計階段定案，上線前由資訊人員逐項驗證。
文件四項：政府網站資安要求的書面證據怎麼準備
第九項，需求對照表：把採購文件裡每一條無障礙與資安要求列成一列，對應到實作方式與驗收證據。第十項，帳號清冊：列出每個後台帳號的使用人、權限範圍與停用條件，人員異動時同步更新。
第十一項，系統架構文件：主機、網域、第三方服務與資料流向畫成一張圖。第十二項，個資告知與隱私權政策：表單收集哪些欄位、用途與保存期限寫清楚。四份文件由廠商起草、承辦人審閱，驗收時一併歸檔。
現場四項：機關網站無障礙檢測與弱點掃描的實測門檻
第十三項，無障礙自動檢測零重大錯誤，使用數位發展部提供的檢測工具，報告存檔。第十四項，人工檢測通過，包含鍵盤操作、螢幕報讀、圖片替代文字與表單標籤，自動工具抓不到的問題在這裡補。
第十五項，弱點掃描的高風險項目全數修補並複掃確認，修補紀錄附在驗收文件。第十六項，承辦人實際操作後台完成發布、修改與下架，確認不用依賴廠商也能維護內容。現場四項在測試環境完成，正式上線前再複驗一次。
期限四項：機關網站合規的時程節點與維運週期
第十七項，資安事件通報流程寫成步驟，載明發現、通報、應變與復原各由誰負責，時限依機關規定。第十八項，無障礙標章到期前提醒續辦，避免標章失效後才發現。
第十九項，定期重新檢測與弱點修補的週期寫進維運契約，每次執行留下紀錄。第二十項，存取紀錄與操作紀錄的保存期限依機關規定設定，到期前不得刪除。期限四項最容易在上線後被遺忘，建議做成年度行事曆，由網站管理者每季核對一次。
20 項怎麼分工：機關承辦、資訊人員與廠商各管哪幾項
機關承辦負責資格組與文件組的審閱，包括確認資安責任等級、指定聯絡人、審核需求對照表與個資告知。資訊人員負責場所組與期限組，包括主機環境核定、備份還原演練、通報流程與紀錄保存。
廠商負責現場組的實作與檢測，以及各份文件的起草。分工寫進契約的驗收條款，每項標明交付物與驗收證據，就能避免驗收時互相推責。缺項不是廠商一方能補齊，機關內部的配合同樣是門檻的一部分。
LINE 諮詢
把機關網站的現況與需求傳過來，先免費書面初判。
- 傳什麼
- 現有網站網址與後台權限還沒有網站也能先談
- 商品或服務清單、作業流程說明表單樣張或試算表皆可
- 需求清單一句話也行
- 多久回
- 週一至週五 09:00–18:00 依序回覆；LINE 全天可傳資料
- 下一步
- 免費書面初判
- 約時間細談
- 委任開發
先傳資料做初判，需要時再約時間細談
自我檢查清單
- 已取得機關資安責任等級的書面依據，並寫進需求對照表
- 主機環境、加密連線與後台登入限制已在架構文件中定案
- 帳號清冊列出每個帳號的使用人、權限與停用條件
- 無障礙自動檢測與人工檢測報告都已存檔
- 弱點掃描高風險項目已修補並複掃，修補紀錄附在驗收文件
- 資安事件通報流程、標章續辦與定期重測已排進年度行事曆
常見錯誤
- 以為上線前掃一次弱點就算合規，維運期間沒有重測紀錄，稽核時拿不出過程證據。
- 只跑無障礙自動檢測，沒做鍵盤操作與螢幕報讀的人工測試，標章申請被退回補正。
- 後台帳號共用一組，人員離職後沒停用，出事時無法追查是誰操作。
- 表單收集民眾資料卻沒寫個資告知與保存期限，申辦功能上線後才回頭補隱私權政策。
- 備份只放在同一台主機，從沒做過還原演練，主機故障時才發現備份檔無法使用。
官方參考資料
- 數位發展部無障礙網路空間服務網（網站無障礙規範、檢測工具與標章）
- 《資通安全管理法》全文查詢（機關資安責任與事件通報方向）
- 《身心障礙者權益保障法》全文查詢（資訊無障礙的法源方向）
- 《個人資料保護法》全文查詢（線上申辦的個資告知與安全維護）
常見問題
政府網站資安要求會因機關不同而不一樣嗎？
會。防護措施的強度、稽核頻率與通報方式取決於機關的資安責任等級與網站是否屬核心資通系統，所以第一步一定是向機關資安窗口確認等級，再依等級展開檢核項目。
無障礙檢測只跑自動工具可以嗎？
不夠。自動工具只能抓出結構性問題，鍵盤操作順序、螢幕報讀是否通順、替代文字是否有意義都要人工測試，兩份報告都要存檔才能完整支撐標章申請與驗收。
20 項裡哪幾項最常在驗收時才發現缺漏？
最常缺的是帳號清冊、修補紀錄與還原演練紀錄。這三項都是過程證據，事後很難補做，建議從開發階段就由廠商每週更新，承辦人每月抽查一次。
先對照採購文件再開工
把採購文件或需求說明、機關資安責任等級與既有網站網址整理好，加 LINE「偉騰開發」傳資料，免費書面初判會標出 20 項裡目前缺哪幾項、該由誰補。
全台各縣市受理｜專業團隊承接辦理｜親臨現場指導｜統籌包辦到好