常聽到的「資安教育訓練每年 3 小時」，來源是《資通安全責任等級分級辦法》各等級的應辦事項。它規範的是公務機關與特定非公務機關，而且不同人員的時數不一樣：一般同仁、資訊人員、資安專職人員各有一套。
以下依 2026 年 1 月修正的分級辦法附表整理。實際適用的等級與事項，以主管機關核定為準。
資安教育訓練時數總表
A、B、C 級的公務機關與特定非公務機關，三種人員的時數要求相同：
| 人員 | 時數要求 | 課程類型 |
|---|---|---|
| 一般使用者及主管 | 每人每年 3 小時以上 | 資通安全通識教育訓練 |
| 資通安全專職人員以外的資訊人員 | 每人每二年 3 小時以上專業課程或職能訓練，且每年 3 小時以上通識 | 專業課程訓練或職能訓練＋通識 |
| 資通安全專職人員 | 每人每年 12 小時以上 | 資通安全專業課程訓練或職能訓練 |
- D 級：沒有專職人員的要求，其餘兩類人員與上表相同
- E 級：基本要求為一般使用者及主管每人每年 3 小時通識（中央目的事業主管機關得另定應辦事項）
- 資安專職人員另須持有資安專業證照或職能訓練證書（公務機關證照與證書各一張以上；特定非公務機關證照或證書一張以上），並維持有效
誰要遵守？公務機關與特定非公務機關
這套時數規定來自資通安全管理法，適用對象是公務機關與「特定非公務機關」，依 2025 年修正後的第 3 條，後者是指關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制的事業、團體或機構。各機關的責任等級由主管機關核定。
初次受核定或等級變更後，教育訓練要在一年內完成；人員異動時也一樣，新進或調任的同仁要在一年內補足。
一般民間企業需要比照嗎？
不屬於上述對象的一般企業，資安法沒有規定教育訓練時數。但實務上常在三個地方被要求：
- 承接政府標案或擔任機關的委外廠商：契約常要求比照機關的資安要求，包括人員教育訓練
- 客戶的供應商資安稽核：大型企業與金融業的供應商問卷常問「員工每年資安訓練時數與完成率」
- ISO 27001：沒有規定時數，但要求定期訓練並保留能證明理解的紀錄（條款 7.2、7.3 與附錄 A 6.3）
個資、洗錢防制、職安的訓練時數
常跟資安訓練一起被問到的其他規定：
| 規定 | 時數要求 | 說明 |
|---|---|---|
| 個人資料保護法 | 法律沒有統一時數 | 施行細則第 12 條所稱適當安全措施，得包括「認知宣導及教育訓練」；部分產業的個資安全維護辦法另有規定 |
| 洗錢防制 | 專責人員有年度在職訓練時數 | 依金管會對各業別的內部控制辦法；一般員工依機構的訓練計畫 |
| 職業安全衛生 | 新僱或變更工作前的一般安全衛生教育訓練不得少於 3 小時（變更前後工作環境、性質相當者除外） | 職業安全衛生教育訓練規則；特殊作業另有時數 |
| ISO 27001 | 沒有規定時數 | 要求定期訓練、評估有效性並保留紀錄 |
時數紀錄要留什麼才查得到？
稽核或主管機關查核時，最常被問的是「每個人今年上了幾小時、上了什麼」。建議每筆訓練至少留下：
- 課程名稱、類型（通識或專業）與時數
- 每位人員的完成日期，能對回人事名冊與人員類別
- 實體課的簽到與簽退紀錄（證明時數），線上課程的觀看完成紀錄
- 測驗成績或其他能證明理解的紀錄
- 新進與調任人員一年內補訓的追蹤
完整流程
把時數規定變成可以隨時拿出來的紀錄，可以照這五步進行：
-
1
確認適用等級與人員類別
確認機關的責任等級，並把每位人員分成一般使用者及主管、資訊人員、資安專職人員三類。
-
2
排定年度課程
依人員類別安排通識與專業課程，算好每類人員全年要達到的時數。
-
3
實施並記錄時數
實體課用簽到與簽退記錄實際時數，線上課程記錄觀看完成，課後用測驗確認理解。
-
4
追蹤未達標與異動人員
每季檢查誰的時數還不夠，新進或調任人員列入一年內補訓名單。
-
5
匯出年度時數報告
查核或稽核前，匯出每位人員的課程、時數、成績與完成日期。
用 LabLearn 管理資安訓練時數與證據
LabLearn 把線上課程、實體課的簽到與簽退、課後測驗與證書放在同一套系統，依部門追蹤完成率與未通過名單，並可匯出稽核報告與簽到表 PDF。題目可依公司自己的資安政策由 AI 產生，經人工審核後才上架。
常見問題
資安教育訓練每年要上幾小時？+
依資通安全責任等級分級辦法，一般使用者及主管每人每年 3 小時以上通識；資安專職人員以外的資訊人員每二年 3 小時以上專業課程或職能訓練，且每年 3 小時以上通識；資安專職人員每人每年 12 小時以上專業課程或職能訓練。
「每人每年 3 小時」適用一般民間企業嗎？+
資通安全管理法規範的是公務機關與特定非公務機關（關鍵基礎設施提供者、公營事業、特定財團法人、受政府控制的事業、團體或機構）。一般企業沒有法定時數，但政府標案、客戶的供應商稽核常要求定期訓練，不少企業比照每人每年 3 小時；ISO 27001 本身沒有規定時數。
新進人員的資安教育訓練要多久內完成？+
分級辦法規定，初次受核定或等級變更後一年內要完成教育訓練，人員異動時亦同，所以新進與調任人員應在一年內補足。
線上課程可以算資安教育訓練時數嗎？+
分級辦法沒有限定實體或線上，重點是能證明完成的時數與內容。線上課程要保留觀看完成與測驗紀錄；若主管機關對認列方式另有規定，從其規定。
ISO 27001 有規定資安訓練時數嗎？+
沒有。ISO 27001 要求定期進行資安意識訓練、評估訓練是否有效並保留紀錄，時數由組織自行訂定。