資安服務詢價與發包流程：需求說明書怎麼寫、怎麼比價
採購資安服務的完整流程：盤點需求、撰寫需求說明書、取得多份報價、評選、簽約與驗收，附詢價時必問的項目清單。
採購資安服務要比到有意義的報價，關鍵在於讓所有廠商看到同一份需求說明書：範圍、方法、時程、交付物、複測、保密與驗收標準都寫清楚。流程大致是：先盤點自己要解決的問題，再寫需求，取得至少兩到三份書面報價，用相同格式比較，進行評選與澄清，簽訂含服務水準與保密條款的合約，最後依驗收標準確認交付。跳過需求說明書直接問「你們多少錢」，通常只會得到無法比較的數字。
本文提供一套適用於中小企業的實務流程與詢價清單。
第一步：釐清問題與目標
在接觸廠商之前，先回答幾個問題：
- 為什麼要買？是客戶要求、法規義務、內部風險管理，還是剛發生過事故？
- 要證明什麼？要找出弱點、要持續監控、要取得證書，還是要滿足問卷？
- 範圍在哪裡？哪些系統、網站、據點與人員？
- 成果給誰看？管理層、客戶、稽核還是主管機關？
目標不同，適合的服務也不同。例如客戶只要求提供第三方檢測報告，不一定要做 ISO 27001；若客戶要求的是管理制度證書，只做滲透測試也不夠。
第二步：撰寫需求說明書
需求說明書不必很長，但要具體。建議包含：
| 項目 | 內容 |
|---|---|
| 背景與目的 | 公司概況、採購原因與預期成果 |
| 範圍 | 系統名稱、網址、IP 範圍、使用者角色、據點 |
| 方法要求 | 黑箱、灰箱或白箱；是否採用特定參考標準 |
| 時程 | 預計開始與結束日期、可施測時段、限制 |
| 交付物 | 報告內容與格式、簡報、修補建議、重現步驟 |
| 複測 | 次數與時限 |
| 資格要求 | 廠商經驗、人員專業背景、保密能力 |
| 保密與資料處理 | 資料存放、傳輸、銷毀要求 |
| 報價格式 | 要求列出人天、單價、稅別與各項目明細 |
第三步：取得報價
- 至少詢問兩到三家，寄出相同的需求說明書。
- 要求書面報價，並註明含稅或未稅。
- 要求廠商說明方法與人員安排，必要時請其簡報。
- 允許廠商提出澄清問題，並把問答記錄分享給所有廠商，以維持公平。
不要只靠網路搜尋或口碑決定名單，可以詢問同業、行業公會或客戶是否有經驗；但也要知道推薦者的情況與你不同，只能當參考。
第四步：用相同格式比較
把報價整理成同一張表，比較範圍、人天、單價、交付物與複測，而不只是總價：
| 比較項 | 廠商 A | 廠商 B | 廠商 C |
|---|---|---|---|
| 範圍是否一致 | |||
| 投入人天 | |||
| 單價 | |||
| 交付物 | |||
| 複測 | |||
| 稅別 | |||
| 時程 | |||
| 保密條款 |
範例（示意）：A 報價 150,000 元、B 報價 90,000 元。釐清後發現：A 含 10 人天並含一次複測；B 只有 5 人天，且複測另計每次 20,000 元。若估計需要複測一次，B 實際為 110,000 元，但人天仍只有 A 的一半。這時就要判斷 5 人天是否足以涵蓋你的範圍。用資安服務預算估算器可以代入這類數字。
第五步：評選與澄清
評選時，價格只是其中一個因素，也要看：
- 方法是否清楚、符合需求
- 人員實務經驗與穩定度
- 報告範例品質
- 溝通與回應速度
- 合約條款的合理性
- 過往專案的客戶推薦（可請廠商提供可聯絡的參考，但要尊重保密）
評分可以採加權方式，例如價格 30%、技術與方法 40%、經驗 20%、其他 10%，權重由企業決定，只要事先訂好並一致套用即可。
第六步：簽約
合約要點請見合約與服務水準要寫什麼。至少要確認：
- 授權範圍與測試時段，書面授權不可少。
- 保密與資料處理。
- 交付物、時程與驗收條件。
- 責任限制與賠償，特別是測試造成服務中斷的處理。
- 付款條件，建議依階段付款，並保留尾款至驗收完成。
- 終止與爭議處理。
第七步：執行、驗收與改善
執行期間指定專人聯絡；交付後要召開說明會，確認每個發現是否理解；依風險排定修補；修補後進行複測；最後歸檔報告與改善紀錄，作為下一次採購的基礎。驗收時對照合約逐項確認交付，有不符之處以書面通知廠商補正。
詢價時必問的十個問題
- 報價是否含稅？
- 投入人天與人員等級各是多少？
- 報告交付時間？
- 是否含複測？次數與期限？
- 若發現嚴重弱點，是否即時通知？
- 測試是否會影響正式環境？如何降低風險？
- 資料存放位置與保存期間？
- 專案有無分包？分包商是否受相同保密約束？
- 範圍外的增修如何計價？
- 付款方式與驗收條件？
小型專案與大型專案的流程差異
上述流程適用於多數情況，但可依專案規模調整，避免過度繁瑣或過度簡化。
小型專案（例如單一網站的弱點掃描）：不需要冗長的招標程序。準備一頁需求說明、詢問兩家廠商、比較報價與交付物，簽訂簡短但包含範圍、保密與驗收的合約即可。重點是不要因為金額小就省略書面授權與保密條款，因為即使金額不高，測試過程仍會接觸敏感資訊。
中型專案（例如多系統滲透測試或年度檢測）：建議使用完整的需求說明書，邀請三家左右廠商，要求簡報與樣本報告，並用加權評分表評選。合約要包含服務水準、複測與變更程序。
大型或長期專案（例如多年期託管服務、ISO 驗證輔導）：除了技術與價格，也要評估廠商的財務穩定度、人員流動、客戶案例、緊急支援能力與退出機制。可以先以小範圍試行，驗證服務品質後再擴大。若採購對象是政府機關或受法規規範的公司，還需遵守相關採購與內控規定。
無論規模，有三個原則不變：需求先於價格、書面先於口頭、驗收先於尾款。把這三點做好，就能避開大多數採購糾紛。另外，每次採購結束後，建議整理一份簡短的檢討，記錄哪些做法有效、哪些地方可以改進，下一次詢價就能更有效率。
廠商評選時的加權評分範例
為了讓評選過程客觀，可以事先設計評分表。以下是一個示意的加權評分方式，企業可依需求調整權重。
| 評分項目 | 權重 | 評分重點 |
|---|---|---|
| 需求理解與方法 | 30% | 是否清楚理解範圍，方法是否合理且有依據 |
| 人員與經驗 | 20% | 執行人員的背景、相關專案經驗與穩定度 |
| 交付物品質 | 20% | 樣本報告的完整度、重現步驟與修補建議 |
| 價格與條件 | 20% | 總價、付款條件、稅別與附加費用透明度 |
| 服務與溝通 | 10% | 回應速度、簡報清晰度與配合彈性 |
每位評審分別打分，再取平均，並記錄評分理由。價格項目可以用公式換算，例如最低價得滿分，其他依與最低價的比例遞減，但要避免價格權重過高，導致低價低品質的廠商得標。
評分完成後，也要對最高分的廠商做最後確認：資格文件、保密承諾、合約條款是否有重大分歧。若雙方在重要條款上無法達成共識，可以進入第二名廠商的談判，這是事先訂好評分表的另一個好處。
什麼時候該諮詢專業人士
金額較大、範圍複雜或涉及敏感資料時，建議請律師審閱合約，並請有經驗的資安顧問協助撰寫需求說明書與評選。
常見問題
一定要比三家嗎？
沒有硬性規定，但至少兩家較能看出價格與方法的差異。若金額不大，也要確保書面需求與合約完整。
可以只看價格嗎？
不建議。同一個價格可能對應完全不同的範圍與品質，要用相同需求比較。
廠商要求先付全額可以嗎？
不建議，建議依里程碑付款並保留尾款，付款條件以合約為準。
驗收不合格怎麼辦？
依合約約定的驗收程序，以書面指出不符之處，給廠商合理補正期間，必要時尋求專業協助。
資料來源
- 全國法規資料庫 — 政府採購法、民法等法規
- 行政院公共工程委員會 — 政府採購相關資訊
- 數位發展部 — 資通安全相關公告
