二十四、各機關於日常維運資通系統時，應保存全部核心資通系統與相連 之資通及防護設備最近六個月之日誌紀錄，並建議定期備份至與 原系統不同之實體系統，上開日誌保存項目包括但不限於下列項 目：作業系統日誌（OS event log）、網站日誌（Web log） 、 應用程式日誌（AP log）、登入日誌（logon log） 。

二十五、各機關知悉資通安全事件，應依下列原則進行跡證保存： （一）各機關進行跡證保存時，應優先採取隔離機制，包含網路連線 中斷或隔離、關閉服務、限制連線、限制權限、有限度修補漏 洞等方式，以降低攻擊擴散。 （二）若系統無備援機制，應備份受害系統儲存媒介（如硬碟、虛擬 機映像檔）後，以乾淨儲存媒介重建系統，於完成系統測試後 提供服務。 （三）若系統有備援機制，應將服務切換至備援系統提供服務，並保 留受害系統及設備，於完成事件根因分析或完整備份後重建系 統，經系統測試後切換至原系統提供服務。 （四）若備援設備亦為受害範圍，於重建受害系統時應以維持最低限 度對外運作為原則，保存受害跡證。

二十六、各機關於簽訂資通系統或服務之委外契約時，應依前二點規定於 契約中明定保存及備份規定。