資安報價單常見陷阱：十個看不懂就會多花錢的地方
資安報價單常見的模糊用語與隱藏費用，包括範圍縮水、複測另計、含稅未稅、人天不透明與自動掃描充當滲透測試，教你逐項檢查。
資安報價單最大的風險不是「貴」，而是「你以為買到的，和廠商實際提供的不一樣」。常見陷阱包括：範圍只寫「全站」卻沒列清單、人天沒有揭露、複測另計、報告只是工具輸出、報價未稅、授權年限與續約漲幅藏在小字裡，或用自動化弱點掃描冒充滲透測試。避免的方法是把報價單當成合約附件，逐項拆開問清楚，並用相同需求說明書請多家報價，才能把價差還原成範圍與品質的差異。
以下列出十個最常見的陷阱與對策。金額皆為示意。
陷阱一：範圍不明確
報價單只寫「網站滲透測試」或「全面資安檢測」，沒有列出系統名稱、網址、功能、API 與角色。結果測到一半，廠商說某些功能不在範圍內要另外計費，或你以為測了後台，其實只測了前台。
對策：附上範圍清單，寫明包含與不包含的項目；如果有環境差異（測試與正式），也要註明。
陷阱二：人天不透明
總價看起來合理，卻不知道實際投入多少人天、由誰執行。有些廠商以資深人員報價，實際由經驗較少的人員執行。
對策：要求列出人天與人員等級，並把測試人員的資格與經驗寫進合約或提案書。
陷阱三：複測另計或次數有限
報價不含複測，或只含一次，並限制在報告交付後極短時間內提出；超過期限就得重新計價。
對策：問清楚複測次數、期限與範圍（只複測先前發現的問題，還是包含新增功能），並寫進合約。
陷阱四：報告品質不明
報告只是掃描工具的原始輸出，沒有人工判讀、沒有重現步驟、沒有修補建議，讓內部團隊無法使用。
對策：要求提供去識別化的報告範例，檢查是否包含風險評級依據、重現步驟、影響說明與具體修補建議。
陷阱五：以掃描冒充滲透測試
用自動化工具跑一輪就出報告，卻標示為滲透測試，價格也低得不合理。兩者目的不同，詳見弱點掃描與資安健診費用。
對策：問清楚測試方法，要求說明人工測試的比例與重點項目。
陷阱六：稅別與附加費用
報價單未註明含稅或未稅，簽約後才加上營業稅；或另有差旅費、夜間施測加成、緊急插單費用。
對策：要求報價單明列稅別與所有附加費用，並把總金額上限寫進合約。
陷阱七：授權與續約漲幅
訂閱型服務第一年有優惠，第二年之後大幅調漲；或授權綁定特定硬體與版本，之後要升級要另外付費。
對策：詢問多年期價格、漲幅上限、增減授權的計價方式與合約終止條件。
陷阱八：功能名稱聽起來一樣，實際內容不同
「託管偵測」「24 小時監控」「資安健診」這些名詞沒有統一定義。有的 24 小時只是系統自動通知，有的才是真人處理。
對策：用具體問題取代名詞：誰看告警、多久內回應、可執行哪些處置、報告頻率。見EDR、MDR 與 SOC 託管費用比較。
陷阱九：保密與資料處理條款不足
測試與託管服務會接觸敏感資料，但報價單與合約沒有保密、資料保存與銷毀的約定。
對策：簽署保密協議，約定資料存放位置、保存期限、傳輸方式與合約終止後的刪除。
陷阱十：只看價格，不看總成本
最低價的報價，可能需要你投入更多內部人力、另外購買額外工具，或在修補階段另有費用。
對策：以總成本評估，包含內部配合人力、修補、複測、稅與續約。
報價檢查表
| 檢查項目 | 是否已確認 |
|---|---|
| 範圍清單（含不包含項目） | |
| 人天與人員等級 | |
| 測試方法與標準 | |
| 報告範例與內容 | |
| 複測次數與期限 | |
| 稅別與附加費用 | |
| 保密與資料處理 | |
| 付款條件與驗收標準 | |
| 續約條件與漲幅 | |
| 責任限制與保險 |
範例（示意）：兩份報價分別為 80,000 元與 130,000 元。逐項確認後發現，低價者未稅、含 4 人天、複測另計每次 15,000 元；高價者含稅、含 8 人天、含一次複測。把低價者換算為含稅，80,000 乘以 1.05 為 84,000 元，再加一次複測 15,000 元，約 99,000 元，但人天仍只有一半。這時價差已不是 50,000 元，而是在比較不同深度的服務。
用資安服務預算估算器的固定費用欄位，可把複測與管理費納入計算。
如何與廠商建設性地溝通報價
指出報價問題並不是要與廠商對立，好的廠商會歡迎清楚的需求，因為這也能減少他們的風險。以下是幾個溝通技巧。
先說明你的需求，而不是先問價格：用需求說明書開場，讓廠商知道你在意範圍與品質。廠商看到你有準備，通常也會提供更認真的提案。
提出具體問題，而不是質疑動機：與其說「你們是不是在灌水」，不如問「這個項目包含哪些工作、預估幾個人天」。具體的問題更容易得到具體的答案。
要求書面回覆：口頭承諾容易被遺忘或誤解，重要的澄清請廠商以信件或修訂版報價單回覆，並放進合約附件。
允許廠商提出替代方案：有時廠商會建議調整範圍或方法，以更低的成本達成目標，例如用灰箱取代黑箱以節省探索時間。評估這些建議時，要確認它不會降低你真正需要的保障。
談的是條件，不只是金額：付款里程碑、複測期限、報告交付時間與保密條款，常常比單純砍價更能保護自己。
保持比較的紀律：在整個過程中，使用同一份需求與同一張比較表，避免因為某家廠商的簡報較精彩，而忽略了實際提供的內容。
若溝通過程中發現廠商迴避重要問題、態度強硬或要求立即簽約，這本身就是重要的訊號，值得重新評估。
一個完整的比價案例（示意）
假設某家公司要檢測一個會員網站與一支行動 App，向三家廠商詢價，得到三份報價：甲家總價 90,000 元，乙家 150,000 元，丙家 220,000 元。直接比較時，甲家看起來最便宜。但把三份報價整理成同一張表之後，情況有了變化。
甲家只涵蓋網站，不含 App，報價未稅，不含複測，且報告為工具輸出為主。乙家涵蓋網站與 App，含稅，含一次複測，報告含重現步驟與修補建議。丙家同樣涵蓋網站與 App，並額外包含後端 API 的深入測試與簡報說明會，含稅，含兩次複測。
這時應該比較的，是「單位範圍的成本」與「是否符合需求」，而不是總價。若公司的需求就是網站與 App 兩者，甲家的報價其實沒有解決完整問題，補上 App 之後價格可能與乙家相近；丙家包含額外的 API 測試，若公司的 API 並不複雜，可能是不必要的支出。這個案例的所有數字都是示意，重點在於示範：只有在範圍、方法與交付物被標準化之後，價格比較才有意義。
什麼時候該諮詢專業人士
金額較大、涉及敏感資料或對方合約條款偏向單方時，建議請律師審閱合約，並請獨立的資安顧問協助檢視報價與需求說明書。若你的公司受法規或客戶契約約束，也要確認報價內容符合要求。
常見問題
報價單可以殺價嗎？
可以討論，但建議談範圍與付款條件，而不是只壓價格；壓縮價格卻不縮減範圍，可能導致品質下降。
廠商說價格是商業機密，不願意列人天怎麼辦？
可以請其說明計價邏輯，或改選願意提供透明資訊的廠商。人天透明有助於雙方釐清範圍。
報價有效期限多久？
各家不同，報價單上通常會註明，請在期限內確認或要求延長。
如何驗證廠商的經驗？
可請其提供案例概述（去識別化）、人員履歷與可聯絡的參考，但要尊重客戶保密義務。
