一間公司的資安等級是否有強制效力

結論

一間公司的「資安等級」是否具有強制效力，必須區分該等級的「來源」與「適用對象」而定，不能一概而論：

1. 若屬「政府機關（公務機關）」的資通安全責任等級：具有法律上的強制效力。依《資通安全管理法》及其子法，特定公務機關與關鍵基礎設施提供者必須依法進行資通安全責任等級分級，並受主管機關監督，違反者將面臨行政裁罰或對所屬人員的懲處。
2. 若屬「民間私營公司」內部自訂的資安等級規範：原則上僅屬公司內部的行政或管理規定，對外不具法律強制力；但對內部員工則具有「勞動契約與工作規則」的拘束力。若員工違反，公司得依情節輕重予以懲處，甚至作為考核或解僱的依據。

法律依據

在公務機關的資安等級與規範強制力方面，高雄高等行政法院 111 年度訴字第 201 號行政判決提供了明確的實務見解。該案中，原告為警察人員，因將個人警政知識聯網帳號密碼借予同仁使用，違反「警察機關資通安全實施規定」，遭服務機關記過 1 次。原告主張依該資通安全規定第 24 點第 3 項第 1 款，僅應處以「申誡 2 次以下」之懲處，機關不應加重為記過。

然而，法院認為資通安全規範具有強制性，且機關得依法加重處分。判決指出：「警察人員為確保資訊蒐集、處理、利用之安全，應妥為保管個人帳號及密碼，倘因個人明顯疏失，將帳號及密碼借予他人使用，即違反資通安全規定……是警察機關就違反資通安全規定之行為人並非僅得予以申誡 2 次以下之懲處，尚得依警察人員獎懲標準……視其案情嚴重或連續違犯等節，酌予加重 1 層級為記過之懲處。」法院進一步強調，智慧分析決策支援系統含有鉅量個人資料，員警將帳密出借「無異將警政單位資料置於外洩風險之下」，核屬情節嚴重，機關予以記過處分於法有據。此判決充分顯示，公部門的資安規範（伴隨其責任等級要求）具有行政法上的強制效力，違反者將受行政懲處。

至於民間公司的內部資安規範，雖然本次搜尋未檢索到直接探討私人企業內部資安等級法律效力的判決，但依據民法與勞基法的一般原則，公司基於企業經營與資訊安全需求所訂定的資安等級與管理辦法，屬於工作規則的一部分。只要該規範經過法定程序（如公開揭示、勞資會議同意等），即對員工產生勞動契約上的拘束力。若員工違反資安規定導致公司受損，公司除可予以懲戒外，亦可能依民法侵權行為或債務不履行規定請求損害賠償。

實務建議

1. 公務機關與關鍵基礎設施應嚴格遵循資安法規：

依《資通安全管理法》，政府機關及特定非公務機關（如關鍵基礎設施提供者）被核定為不同資通安全責任等級（A至D級）後，即負有相應的強制性義務（如辦理資安教育訓練、資通安全維護計畫、演練等）。如上述高雄高等行政法院 111 年度訴字第 201 號判決所示，違反資安規定不僅是行政疏失，更會導致具體的行政懲處。機關首長與資安主管應確保內部規範符合法定等級要求，並落實稽核。

1. 民間企業應將資安等級要求入法於內部規範：

私人公司若希望其資安等級（如 ISO 27001、CMMC 等認證要求）對員工或承包商具有強制力，應將相關資安要求明確寫入「工作規則」、「員工手冊」或「勞動契約」中。針對違反資安規定的行為（如共用帳密、未經授權存取資料），應訂定明確的獎懲標準，避免日後遇到資安事件時，因缺乏內部規範依據而無法對員工進行懲處或求償。

1. 注意比例原則與正當法律程序：

無論是公務機關或私人企業，在依據資安等級規範對違規人員進行懲處時，皆應遵守比例原則與正當法律程序。前開行政法院判決中，法院雖肯認機關的記過處分，但也特別審查了「情節是否嚴重」以及「是否給予陳述意見機會」。企業在處理員工違反資安規定的事件時，應給予員工說明的機會，並依違規次數、情節輕重（如是否故意、是否造成實際損害）給予相當之處分，以免處分日後被法院認定違法而撤銷。