「111年度臺灣學術網路防範惡意電子郵件社交工程演練」宣導

一、本年度演練乃根據教育部「臺教資(四)字第1112700678號」函辦理，其重點如下：

1. 依據「資通安全事件報及應變辦法第8條」及「臺灣學術網路管理規範相關規定」辦理，演練對象如下：

2. 演練方式：

依提交之演練人員名單，按人員類型隨機選取100人，未滿100人者則全數列入，主管人員科組長以上原則佔受測人員總數35%以上（特定人員類型如有不足則視情況調整）。
演練時程：111年3月至11月止，期間辦理2次演練。
每次演練作業，將針對各演練對象之受測人員寄送5封社交工程演練郵件。

3. 社交工程郵件型態：

以偽冒公務、個人或公司行號等名義，發送社交工程演練郵件給受測人員，郵件主題分為八卦、休閒、保健、財經、新奇、時事、模擬實際社交工程樣本等類型，郵件內容包含連結網址或附檔。

4. 評量標準：

(1) 惡意郵件開啟率：開啟演練郵件人數 / 總受測人數。

郵件透過預覽或點開方式開啟，且信件內文之圖片亦完成下載始認定為誘騙成功。

(2) 惡意郵件點閱率：點選演練郵件內文連結網址或附檔之人數 / 總受測人數。

受測人員點選郵件內文中之連結網址，將被記錄為遭誘騙成功。同封郵件內文如包含多個連結，受測人員不論點選幾個都將記錄為為1次。

受測人員點選郵件內文中之夾檔附件，將被記錄為誘騙成功。同封郵件受測人員不論點選幾次附檔，都將記錄為1次。

二、因應本年度演練，請各受測人員積極配合以下措施：

1. 根據教育部規則，參與演練人員只要有下列任一動作，個人就會被記點一次：

2. 請勿輕易打開可疑電子郵件、點選郵件內的連結、下載附件檔案，即使您把信件轉到行動裝置(手機、平板)、 Gmail、Yahoo、…，或下載至 Outlook、LiveMail 再打開，信件內含的程式也會連線回教育部，也是會被記點。

3. 為減少您遭受社交工程郵件攻擊之機會，請您設定 Webmail（Mail2000）：

4. 請您設定Outlook Express、Outlook 2003、Outlook 2007、Outlook 2010 或 LiveMail：

5. 教育部將檢視前後兩次演練作業之績效改善情形，如演練對象連續2次演練作業成績皆屬不良者，須擬定改善計畫並回復教育部備查。

6. 本校成績若不合格，請各個開啟郵件之單位提出檢討報告，俾利彙整回報教育部。

三、各年度電子郵件社交工程演練記錄:

1. 各年度成績:

(1) 提報正、副校長、各級主管及一般行政人員共 390 人，教育部隨機選取100人進行檢測。

(2) 110年5月12日~7月10日第一次演練成績：
開啟信件6人(6%)，點選連結3人(3%)，點選附件0人(0%)，演練結果：合格。

(3) 110年9月14日~10月31日第二次演練成績：
開啟信件0人(0%)，點選連結0人(0%)，點選附件0人(0%) ，演練結果：合格。

(1) 提報正、副校長、各級主管及一般行政人員共 402 人，教育部隨機選取100人進行檢測。

(2) 109年8月第一次演練成績：
開啟信件0人(0%)，點選連結0人(0%)，點選附件0人(0%)。

(3) 109年10月第二次演練成績：
開啟信件3人(3.03%)，點選連結2人(2.02%)，點選附件8人(8.08%) ，演練結果：不合格。