資安顧問公司怎麼選？企業挑選資安服務廠商的 8 個標準
挑選資安顧問公司，第一步是確認要買的是哪一種服務：驗證輔導、安全檢測、法規遵循還是監控託管；再用同一套標準比較實績、執行人員、公司本身的資安管理與報價內容。需求沒釐清就比價，最後常是買到不需要的服務。
這篇整理資安服務的 5 種類型、8 個評估標準與一張可直接使用的評分表。若需求是取得國際驗證，可以先參考我們的 ISO 27001 驗證輔導 服務範圍。
資安顧問公司提供哪些服務？
資安顧問公司的服務大致分成 5 類，交付成果與適合時機都不同。同一家公司未必每一類都擅長，所以要先確定需求屬於哪一類。
| 服務類型 | 做什麼 | 主要交付成果 | 適合時機 |
|---|---|---|---|
| 驗證輔導 | 協助建置 ISO 27001、ISO 27701 等管理制度 | 政策程序、風險評鑑、內部稽核紀錄 | 客戶或標案要求驗證 |
| 安全檢測 | 資安健診、弱點掃描、滲透測試、社交工程演練 | 檢測報告與修補建議 | 想知道系統實際缺口 |
| 法規遵循 | 個資法、GDPR、海外個資法的落實 | 盤點清冊、契約條款、內部規範 | 處理大量個資或跨國業務 |
| 監控託管 | SOC 監控、資安事件通報與處理 | 監控報表、事件通知 | 沒有人力 24 小時盯系統 |
| 事件應變 | 入侵調查、復原、通報協助 | 調查報告、改善建議 | 已經發生資安事件 |
挑選資安顧問公司的 8 個標準
評估資安顧問公司，重點是「能不能把你要的成果做出來」，而不是公司規模或簡報。下面 8 個標準可以直接做成評分表：每項依重要性給權重 1 到 3，再依面談與資料給 1 到 5 分，相乘加總後比較。
| # | 標準 | 怎麼確認 | 權重 | 分數 |
|---|---|---|---|---|
| 1 | 服務範圍對得上需求 | 對方能否說清楚做什麼、不做什麼 | 3 | |
| 2 | 同產業、同規模實績 | 請對方說明去識別化案例 | 3 | |
| 3 | 執行人員資歷與證照 | 合約寫明執行人員，確認經驗與證照 | 3 | |
| 4 | 公司本身的資安管理 | 是否通過 ISO 27001 驗證 | 2 | |
| 5 | 方法論與交付樣本 | 請對方提供遮蔽過的報告或文件樣本 | 2 | |
| 6 | 報價透明 | 逐項列出交付成果與另計項目 | 2 | |
| 7 | 獨立性 | 是否綁定產品銷售或特定驗證機構 | 2 | |
| 8 | 跨國法規能力 | 有海外據點時，是否熟悉當地法規 | 1–3 |
第 4 項常被忽略。資安顧問會接觸架構圖、帳號與弱點資料，自己的資安管理也要過關。資通安全管理法第 10 條就要求，公務機關與特定非公務機關委外時，受託者應具備完善的資通安全管理措施，或通過公正第三方驗證；一般企業也可以用同樣標準要求顧問。
第 8 項的權重看業務而定。在越南、韓國或歐盟有子公司的企業，顧問是否同時懂當地個資法，會直接影響導入要做幾次。
需求不同怎麼選：驗證、檢測、法遵
不同需求要看的重點不同：驗證看輔導經驗與獨立性，檢測看技術能力與報告品質，法遵看對法規條文與實務的掌握。
為了驗證而找顧問時，先了解 ISO 27001 的要求，再比較顧問的輔導方式；顧問與驗證機構必須是不同單位，ISO/IEC 17021-1 不允許驗證機構提供管理系統顧問服務。
安全檢測則可以參考資通安全署每年公告的資安服務廠商評鑑結果。以 113 年度為例，評鑑涵蓋 SOC、資安健診、弱點掃描、滲透測試 與社交工程演練 5 類，受評廠商須通過 ISO 27001 或 CNS 27001 驗證，並在一年內完成至少 3 個資安法納管對象的服務實績。評鑑主要供政府機關參考，民間企業可作為初步篩選。
法規遵循的需求，請對方用你的實際情境說明：哪些個資要盤點、哪些契約要改、外洩時要通知誰。只會講條文、不會落到流程的顧問，很難幫上忙。
資安顧問報價怎麼比較？
比較報價時，先讓每家依同一份需求說明報價，再逐項對照範圍、人天、交付成果與另計項目。總價差很多時，通常是範圍不同，而不是誰比較便宜。
驗證輔導的費用結構可以參考 ISO 27001 費用 的拆解；檢測類服務多以設備數量與人天計價，資安健診費用 一文有完整的品項表。另外要確認差旅、英文文件、複測與後續諮詢是否另計。
簽約前要和資安顧問確認的 5 件事
資通安全管理法施行細則第 7 條列出機關選任與監督受託者時應注意的事項，一般企業也可以直接拿來當簽約檢查清單：
- 實際執行人員是誰，具備哪些訓練、證照或類似經驗。
- 能否轉包；若可以，轉包對象要符合哪些資安要求。
- 執行中違反資安法令或知悉資安事件時，多久內通知你、採取哪些補救措施。
- 合作結束後，對方持有的資料如何返還、移交或刪除。
- 你能否定期稽核或查核對方的執行情形。
這 5 點寫進合約，比口頭承諾可靠得多。
哪些警訊代表要換一家？
遇到下列情況，建議再多比較幾家：
- 保證一定通過驗證，或保證系統「零風險」。
- 沒看過現況就給固定報價與時程。
- 顧問建議幾乎都指向自家代理的產品。
- 提案時的資深顧問，簽約後換成沒見過的人。
- 還沒有書面授權，就要求最高權限帳號開始檢測。
只針對 ISO 27001 輔導的挑選重點，可以再參考 ISO 27001 顧問公司 的 7 個評估重點。
第一次找資安顧問，先準備什麼？
面談前準備三樣東西：這次要解決的問題（客戶要求、標案、法規或事件）、公司的據點與系統概況，以及預計的時程。對方能不能根據這三點提出具體做法，就是最好的第一次測試。
想先聽聽顧問怎麼看貴公司的情況，可以 從一場 30 分鐘的諮詢開始。
資安顧問公司常見問題
資安顧問和資安廠商差在哪？
資安顧問提供評估、規劃、輔導與檢測等專業服務，交付的是建議與報告；資安廠商通常指銷售防火牆、端點防護等產品的公司。不少公司兩者都做，選顧問時要確認建議是否獨立，不是為了銷售產品。
一定要找有實績的嗎？
建議找有同產業或同規模實績的公司，因為產業的法規、客戶要求與系統環境差異很大。實績可以用去識別化案例確認；新成立的公司則看執行人員過去的經驗。
顧問可以保證通過驗證嗎？
不行。驗證結果由獨立的驗證機構判斷，ISO/IEC 17021-1 也要求驗證機構不得提供顧問服務。顧問能做的是協助建置制度、做好內部稽核與稽核準備，保證通過反而是警訊。
參考資料
- 資通安全管理法 – 第 10 條委外受託者應具備資安管理措施或通過公正第三方驗證。全國法規資料庫 · 民國 114 年 9 月 24 日修正
- 資通安全管理法施行細則 – 第 7 條選任及監督受託者應注意事項。全國法規資料庫 · 民國 115 年 1 月 5 日修正
- 113 年資安服務廠商評鑑結果 – 5 類服務、受評資格與等第。數位發展部資通安全署 · 民國 114 年 1 月 15 日
- ISO/IEC 17021-1:2015 – 管理系統驗證機構要求，含公正性與顧問服務限制。ISO · 2015 年
