企業資安服務費用一次看懂：項目、計價方式與預算怎麼抓
弱點掃描、滲透測試、託管偵測、ISO 27001、資安保險各怎麼計價？先看懂計價單位，再抓出自己公司的資安預算範圍。
企業資安服務費用沒有單一答案，因為「資安服務」是一個家族，每個成員的計價單位都不同：弱點掃描看 IP 或網域數量，滲透測試看系統與人天，端點偵測看裝置台數，託管監控看使用者或日誌量，ISO 27001 看稽核人天，資安保險看保額與營收。想估預算，第一步不是問「一年多少錢」，而是先確定你要解決的問題屬於哪一類，再用對應的計價單位去詢價。
本文提供一張全景地圖，說明台灣企業常見的資安服務類型、計價邏輯與費用的主要變數。文中金額若出現，皆為示意數字，不是行情，也不是任何廠商的報價。
先把資安服務分成四類
為了讓報價可以比較，建議把服務分成四種性質：
- 找問題的服務：弱點掃描、滲透測試、資安健診、原始碼檢測。通常是一次性或每年一次，產出報告。
- 持續監控與回應的服務：EDR、MDR、SOC 託管、日誌監控。通常按月或按年訂閱，費用跟規模成正比。
- 證明與制度的服務：ISO 27001 驗證、顧問輔導、內部稽核、教育訓練與社交工程演練。費用包含顧問與驗證機構兩部分。
- 事故與風險移轉的服務：事件應變、數位鑑識、資安保險。平時可能只是預備合約或保費，事故發生後費用才大幅出現。
很多企業一開始就問「買哪個產品」，其實應該先問自己目前缺的是哪一類。如果沒有備份與多因素驗證，直接購買昂貴的監控服務，往往是在錯的地方花錢。
各類服務的計價邏輯
| 服務 | 主要計價單位 | 影響費用的關鍵變數 |
|---|---|---|
| 弱點掃描 | IP、網域或資產數 | 掃描頻率、是否含人工判讀、是否含複掃 |
| 滲透測試 | 系統數、人天 | 黑箱或灰箱、功能頁面數、角色權限數、是否含內網 |
| 資安健診 | 檢查項目套組 | 檢查範圍、伺服器與設備數量 |
| EDR／端點防護 | 每台每年授權 | 裝置數、功能等級、是否含託管 |
| MDR／SOC | 端點數、使用者數、日誌量 | 服務時段、回應權限、通報時限 |
| ISO 27001 | 顧問月數、稽核人天 | 員工人數、據點數、驗證範圍 |
| 事件應變 | 預備時數或人天 | 受影響主機數、是否需要鑑識報告 |
| 資安保險 | 保額與營收 | 產業、資料量、防護成熟度、自負額 |
同一類服務的價差，多數來自範圍與深度，而不是廠商定價高低。這也是比較報價時最常出問題的地方，後面的文章會逐一說明。
預算怎麼估：由下而上與由上而下
由下而上的作法，是先列出需要的服務，各自向廠商取得報價範圍，再相加。可以使用站內的資安服務預算估算器，把「單位數量 × 每單位費用 + 固定費用」算出下限與上限。
由上而下的作法，是先看公司整體資訊預算，用一個占比反推資安可用金額，作為討論起點。站內的資安預算占比試算可以做這件事，但占比不是標準答案，只是溝通工具。
實務上兩種都要做：由上而下讓管理層知道量級，由下而上讓需求落到具體項目，兩者落差就是需要討論取捨的地方。
範例（示意）：某公司規劃一次網站滲透測試（3 個系統，每系統示意 60,000 至 150,000 元）、年度弱點掃描（20 個 IP，每個示意 2,000 至 5,000 元），固定費用示意 30,000 元。滲透測試下限 180,000、上限 450,000；弱點掃描下限 40,000、上限 100,000；加上固定費用，總下限 250,000 元，上限 580,000 元。這個範圍很寬，所以接下來要用詢價把它收斂。
費用不只是報價單上的數字
採購資安服務，總成本通常包含幾塊容易被忽略的項目：
- 內部配合的人力：提供環境資訊、安排測試時段、處理報告發現的問題。
- 修補成本：報告列出弱點，但修補要找開發商或維運廠商，可能另有費用。
- 複測與驗證：確認修補有效，許多報價只含一次。
- 營業稅：報價單是否含稅要問清楚，台灣一般營業稅為 5%，含稅與未稅差異會讓比價失準。
- 續約與漲幅：訂閱型服務在第二年之後的價格與條件。
把這些加進去，才是真實的總擁有成本。
先做基本功，再買進階服務
多數中小企業的風險，來自基本功不足：帳號沒有多因素驗證、備份沒有隔離與測試、系統長期未更新、離職帳號未回收。這些項目的改善成本通常遠低於進階服務，卻能降低大部分常見攻擊的成功率。建議先用站內的企業資安導入檢查表盤點，再決定要不要買額外服務。後續可閱讀中小企業資安從哪裡開始。
一個三階段的預算節奏
與其一次買齊，更務實的作法是把預算分成三個階段，每個階段都有明確的完成標準：
- 第一階段（基本功）：多因素驗證、備份與還原測試、更新管理、帳號盤點、員工基本教育訓練。這個階段多半以內部作業為主，外部支出較少，目標是補上最常被攻擊者利用的缺口。
- 第二階段（檢測）：針對對外服務做弱點掃描，對最重要的系統做一次滲透測試，並把發現的問題修補完成。目標是知道自己的真實弱點，而不是猜測。
- 第三階段（持續與證明）：視規模與客戶要求，導入端點偵測、託管監控、ISO 27001 或資安保險。目標是讓安全成為可持續的營運能力，並能對客戶與稽核提出證明。
每個階段結束都要回頭看：上一階段發現的問題是否都修補了？如果沒有，進入下一階段只會讓清單越堆越長。預算也要預留一定比例給「發現問題後的修補」，否則檢測報告只是增加焦慮。
費用結構中的固定與變動部分
估預算時，區分固定與變動成本有助於談判。固定成本包括報告撰寫、專案管理、環境確認與保密作業，不太隨範圍變動；變動成本包括人天、授權數量與稽核天數，會隨範圍線性增加。當你縮小範圍時，只有變動成本會下降，固定成本還在，所以範圍縮到一半，報價通常不會剛好減半。反過來，一次把多個系統一起發包，固定成本被攤薄，每個系統的平均成本可能比分開發包低，但也要避免為了折扣而勉強把不相關的需求綁在一起。
另外，對同一家廠商的長期合作，可以談年度框架合約，約定人天單價與回應時間，之後依需求下單。這種方式對需求零星但持續出現的中小企業特別實用，但要在合約中寫清楚未用完的額度如何處理，避免年底被迫消化預算。
用三個問題判斷一份報價合不合理
拿到任何一份資安報價，都可以先問自己三個問題，不需要專業背景也能做初步判斷。
第一，這份報價解決的是哪一個具體問題？ 如果報價單只寫「全面提升資安」，沒有說明針對哪些系統、哪種風險，就很難判斷價格是否合理。好的報價會把工作拆成具體項目，並說明每一項對應的目標。
第二，價格是怎麼組成的？ 合理的報價能清楚說明單位數量、單價、人天與固定費用。如果廠商只給一個總價並拒絕說明，就無法與其他報價比較，也難以在範圍變動時調整。
第三，做完之後我拿到什麼，還要自己做什麼？ 有的服務交付報告就結束，有的包含修補協助與複測；有的訂閱服務含人員處理，有的只是提供工具。把「廠商負責」與「我方負責」的邊界畫清楚，才不會在服務開始後才發現還有一大堆工作要自己處理。
這三個問題回答得出來，通常就代表報價有足夠的透明度，可以進入下一步的比較與談判。
什麼時候該諮詢專業人士
下列情況建議找合格的資安顧問或律師協助：公司有受法規約束的資料（例如醫療或金融相關）、客戶契約要求特定驗證或檢測報告、已發生疑似入侵、或要簽訂金額較大且責任條款複雜的委外契約。本站內容僅為一般性資訊，不能取代個案評估。
常見問題
一家小公司一年資安預算要抓多少？
沒有標準值。先盤點基本功，再依風險與客戶要求決定。可用預算占比試算做內部討論，但不要把占比當成同業平均。
價格最低的報價可以選嗎？
可以考慮，但要先確認範圍、方法、交付物與複測是否與其他報價一致，否則比較沒有意義。
一次性服務與訂閱服務哪個比較划算？
兩者目的不同。一次性服務像是健康檢查，訂閱服務像是長期照護。沒有人看告警的訂閱服務，效益有限。
補助可以抵多少？
補助政策常變動，請查詢主管機關與各縣市中小企業服務窗口的最新公告，不要只依廠商口頭說法。
資料來源
- 數位發展部 — 資通安全政策、公告與資源
- 台灣電腦網路危機處理暨協調中心 TWCERT/CC — 資安通報與漏洞資訊
- 全國法規資料庫 — 資通安全管理法、個人資料保護法等法規全文
- 經濟部 — 中小企業相關輔導與補助資訊
