滲透測試費用怎麼算？人天、範圍與報價拆解
滲透測試為何價差很大？從黑箱灰箱、系統範圍、人天到複測與報告，拆解報價組成，教你比較不同廠商的滲透測試報價。
滲透測試的費用，核心公式是「人天 × 每人天單價 + 報告與管理費用」，而人天的多寡取決於測試範圍與深度：幾個系統、多少功能頁面、有幾種使用者角色、採用黑箱還是灰箱、是否包含內網或社交工程。所以兩份滲透測試報價相差一倍，多半不是某一家比較貴，而是兩家在測不同的東西。比價之前，先把範圍寫成同一份文件，是最有效的省錢方式。
本文說明報價的組成、影響因素、比較方法與常見爭議。金額皆為示意，不代表市場行情。
滲透測試在做什麼
滲透測試是由具備攻擊技巧的人員，在授權範圍內模擬攻擊者的作法，嘗試找出弱點並串連利用，證明風險的真實程度，最後交付報告與修補建議。它與弱點掃描最大的差異，在於人工判斷與利用：弱點掃描告訴你「可能有哪些漏洞」，滲透測試嘗試回答「攻擊者能不能真的拿到資料或權限」。
常見的測試對象有：
- 網站與 Web 應用程式：登入、權限控管、輸入驗證、檔案上傳、API。
- 行動 App：Android 與 iOS 客戶端、後端 API、本機資料儲存。
- 外部網路：對外開放的主機與服務。
- 內部網路：假設攻擊者已進入內網，能擴散到什麼程度。
- 無線網路與實體環境：較少見，通常為特定需求。
影響費用的六個變數
- 系統數量與複雜度：功能頁面越多、流程越複雜（例如金流、會員、後台），人天越多。
- 使用者角色數：一般會員、管理者、客服等不同權限，要分別測試越權。
- 測試方式：黑箱（不給資訊）、灰箱（給部分帳號與文件）、白箱（含原始碼）。灰箱通常更有效率，因為省去探索時間。
- 測試環境：在正式環境還是測試環境。測試環境較安全，但必須與正式環境相近。
- 交付物深度：是否含修補建議、重現步驟、風險評級、管理層摘要。
- 複測：修補後是否複測、次數、期限。
報價單應該拆成哪些項目
一份比較完整的報價，至少應包含：
| 項目 | 說明 | 要問的問題 |
|---|---|---|
| 範圍 | 系統名稱、網址、功能、帳號角色 | 是否排除某些功能？有沒有 API？ |
| 方法 | 黑箱、灰箱或白箱；參考標準 | 是否採用業界通用的測試方法與檢查項目？ |
| 人天 | 預估投入人天與人員等級 | 是誰在測？是否有實務經驗？ |
| 時程 | 施測與交付時間 | 報告交付在施測結束後幾天？ |
| 報告 | 交付格式與內容 | 是否有重現步驟與修補建議？ |
| 複測 | 次數與時限 | 修補後多久內可複測？ |
| 保密與責任 | 保密協議、測試風險 | 測試造成系統中斷時如何處理？ |
範例（示意）：某公司有 1 個電商網站與後台，估計各需 6 人天與 4 人天，共 10 人天；假設每人天示意為 12,000 元，則人天費用 120,000 元；另有報告與複測固定費用 20,000 元，總計 140,000 元。若另一家報價只有 60,000 元，要先確認它只測了前台、只投入 3 人天，還是只提供自動掃描報告，才能判斷是否可比。
如何比較兩家以上的報價
- 統一範圍說明書：先寫一份需求，列出系統、角色、環境、時程與交付物，再發給所有廠商。
- 要求列出人天：人天越透明，越容易判斷報價是否合理。
- 看樣本報告格式：許多廠商可提供去識別化的報告範例，檢查內容是否有具體重現步驟，而不是只有工具輸出。
- 確認人員背景：詢問測試人員的實務經驗與常見的專業證照；證照只是參考，不是品質保證。
- 比較總成本：把複測、營業稅與差旅費納入。
用站內的資安服務預算估算器，把各家報價的單位與固定費用代入，可以並列比較。
常見爭議與注意事項
- 測試中斷服務：在正式環境測試可能造成效能問題，需約定測試時段、停止條件與緊急聯絡窗口。
- 範圍外發現：測試過程中發現範圍外的弱點，如何處理與通報，要事先約定。
- 資料處理：測試過程接觸到的資料，保存、傳輸與銷毀方式。
- 報告用途：若報告要提供給客戶或稽核，需確認廠商同意，且報告內容不應暴露其他敏感資訊。
- 只測一次的限制：測試結果僅代表測試當下與範圍內的狀態，系統更新後風險會變。
與弱點掃描的搭配
比較經濟的作法，是平時以弱點掃描定期檢查已知漏洞，並在重大改版、新系統上線前或客戶要求時，再做滲透測試。詳見弱點掃描與資安健診費用。
測試前後的準備與配合工作
滲透測試的品質不只取決於廠商，也取決於委託方事前準備是否充分。測試前，建議準備下列項目：系統架構簡圖、測試用帳號（每種角色至少一組）、功能清單與流程說明、API 文件、測試環境與正式環境的差異說明，以及緊急聯絡人。灰箱測試如果缺少帳號與文件，測試人員要花時間自己摸索，這些時間都會變成你支付的人天。
測試期間，內部要有一位窗口能快速回覆問題，並監看系統狀況。若團隊有監控系統，也可以利用這個機會觀察告警是否能偵測到測試行為，這對評估偵測能力很有幫助，但要事先與廠商約定是否需要避開告警。
測試後，最容易被忽略的是修補。報告交付之後，應該在內部召開檢討會，依風險與修補難度排定優先順序，指派負責人與期限。許多企業的問題是報告躺在信箱裡，直到下一次測試才發現同樣的弱點仍在。把複測安排在修補完成之後，才算真正完成一個循環。
價格判斷的幾個直覺
- 測試天數少得不合理的報價，通常代表深度不足，或只涵蓋最表層的功能。
- 報價沒有列出任何方法或標準，只寫「全面測試」，日後容易對範圍起爭議。
- 報價含大量額外項目但沒有說明，建議逐項詢問用途。
- 人天單價因人員資歷與廠商規模而異，不能只比單價，還要看實際投入的天數與交付品質。
最後提醒：滲透測試報告可能包含系統的弱點細節，屬於高度敏感資料，內部應限制傳閱範圍並妥善保存。
內部團隊自行測試與外部委託的取捨
有些具備技術能力的公司，會考慮由內部工程師自行做滲透測試，或使用開源工具做基本檢查。這種做法有其價值，但要了解限制。
內部測試的優點是成本低、可以頻繁進行、對系統熟悉。缺點是容易有盲點：開發者通常最了解系統如何正確運作，反而不容易想到被濫用的方式；另外也缺乏獨立性，對客戶與稽核的說服力較低。因此較合理的分工是：日常由內部進行基本檢查與程式碼審查，在重大版本或關鍵系統上線前，委託外部做獨立測試。
外部委託的優點是具備專業與獨立性，報告也比較容易被客戶與稽核接受。缺點是費用較高，且需要花時間說明系統與配合測試。可以用一個折衷方法：先自己清理明顯問題，再讓外部測試人員把時間花在更深入的項目上，這樣單位成本的效益會較好。
不論選擇哪一種，都要把測試結果視為輸入，真正能降低風險的，是後續的修補與驗證。
什麼時候該諮詢專業人士
若系統涉及大量個資、金流，或測試需要在正式環境進行，建議請有經驗的資安顧問協助撰寫範圍說明書，並請律師檢視測試授權與責任條款。
常見問題
滲透測試要多久？
取決於範圍與人天，通常是數天到數週，另加報告撰寫與複測時間。請在詢價時要求廠商提出時程表。
一年要做幾次？
沒有通用答案。常見做法是每年一次，加上重大改版前額外測試。受法規或客戶要求者，依其規定頻率。
可以只做自動掃描嗎？
可以，但那是弱點掃描，不是滲透測試。兩者目的不同，不要用掃描報告冒充滲透測試成果。
紅隊演練是不是更貴？
紅隊演練目標通常是驗證整體偵測與回應能力，時間較長、範圍較不固定，費用結構也不同，需要另外評估。
資料來源
- 台灣電腦網路危機處理暨協調中心 TWCERT/CC — 漏洞通報與資安資訊
- 數位發展部 — 資通安全政策與相關指引
- OWASP — Web 應用程式安全測試的通用參考資源
