滲透測試費用要多少？影響報價的 6 大因素
滲透測試費用主要由測試標的數量與每個標的需要的人天決定，再受到測試類型、黑白箱方式、環境限制、人員資格與是否含複測影響。同樣寫著「網站滲透測試」，一份可能是兩天的工具掃描，另一份是兩到三週的人工測試，報價自然差好幾倍。
下面用政府共同供應契約的人天數拆解滲透測試費用，整理 6 大因素、低價陷阱與報價比較表，供 IT 主管或 PM 比價時使用。需要依範圍評估時，可參考我們的 滲透測試服務。
費用試算：用共同供應契約的人天看工作量
政府機關常用的「電腦軟體共同供應契約」把滲透測試拆成標準品項，最能看出工作量。以 113 年第 5 次共同供應契約（契約期間 113/11/01～114/10/31）為例：
| 品項 | 計價單位 | 服務所需人天 |
|---|---|---|
| 外網滲透測試（遠端） | 每個 URL 或 IP | 15 人天 |
| 內網滲透測試（到場） | 每個 URL 或 IP | 16 人天 |
| 物聯網設備滲透測試（遠端／到場） | 每個 IP，最少 10 個 | 1.5／1.6 人天 |
| 對照：WEB 網頁弱點檢測（遠端） | 每個 URL | 2 人天 |
換算下來，一個對外網站做完整滲透測試的工作量，是同一網站弱點檢測的 7 倍以上。企業若有官網、會員系統與 API 三個對外標的，就要用 45 人天左右來估預算，再乘上各廠商的人天單價。
滲透測試費用怎麼計價？
滲透測試費用多以「標的數量 × 每個標的人天 × 人天單價」計價。標的通常是一個 URL、一個 IP 或一個 App，報價單上的總價背後，就是廠商預估要投入多少位測試人員、多少天。
常見寫法有依標的逐項列價、專案一口價與年度合約三種。一口價最難比較，請廠商拆出人天與標的清單。
影響滲透測試報價的 6 大因素是什麼？
六個因素依影響程度大致是：範圍大小、測試類型、黑白箱方式、環境與時段限制、人員資格，以及報告與複測。前兩項決定人天，後四項決定同樣人天下的品質與風險控管。
- 範圍大小：同一個網站，功能頁數、使用者角色與 API 端點越多，測試越久。只測未登入頁面與測完整會員流程，是兩種工作量。
- 測試類型：外網遠端、內網到場、行動 App、API 與物聯網設備的測試項目不同。到場服務要多算差旅與現場時間。
- 黑箱、灰箱或白箱：黑箱只給網址，前期資訊蒐集最花時間；灰箱提供測試帳號，能把時間花在權限與業務邏輯上。
- 環境與時段限制：只能在非上班時段、必須在正式環境測試，或每項侵入性動作都要先確認，都會拉長時程。
- 人員資格：技服中心的滲透測試建議書範本要求每位測試人員具備 CEH、CPENT、PenTest+、CPSA 或 OSCP 等證照之一，且不得轉包。
- 報告與複測：同一份範本要求提供初測與複測 2 次服務，並在測試結束後 2 週內交付報告。
低價報價常見哪些陷阱？
壓低滲透測試費用最常見的做法，是用弱點掃描冒充滲透測試。若報價接近弱點檢測的工作量，例如一個網站只排 2 天，多半只是跑工具、輸出報表，業務邏輯與權限漏洞不會被測到。
其他警訊包括：範圍只寫「網站一式」；不含複測；報告範例只有掃描器截圖，沒有測試語法與重現步驟；測試人員不具名、說不出證照，或可能轉包。測試期間取得的帳號與資料都屬機敏資訊，轉包風險不能忽略。
報告與複測有沒有包含？
應該包含，而且要寫進合約。複測是確認漏洞真的修好的唯一證據，客戶或稽核要佐證時，看的是複測後的最終報告，而不是初測清單。
依技服中心範本，報告至少要有摘要（風險等級、數量與分布）、執行範圍與成員、每個弱點的 URL 或 IP、參數、測試語法與截圖，以及改善建議。我們在複測後會把每項發現標為已修復、部分修復或尚存。滲透測試不是驗證制度，沒有證書，只有報告與執行證明。
報價比較表：拿到 3 份報價怎麼比？
比較報價時，先把總價放一邊，逐項對照下表；任何一欄寫不出來，就是要請廠商補充的地方。
| 比較項目 | 要看什麼 | 警訊 |
|---|---|---|
| 標的清單 | 每個 URL、IP、App 是否列出 | 只寫「一式」 |
| 每個標的人天 | 與工作量是否相稱 | 網站只排 1～2 天 |
| 測試方式 | 黑箱、灰箱或白箱，是否提供測試帳號 | 沒寫，或一律黑箱 |
| 測試項目 | 權限、業務邏輯、輸入驗證、Session | 只寫 OWASP Top 10 |
| 人員 | 具名與證照 | 不具名、可能轉包 |
| 報告 | 測試語法、截圖、重現步驟 | 只有掃描器報表 |
| 複測 | 次數與期限 | 不含或另計 |
詢價時，請廠商書面說明以下 6 件事：
- 執行人員與證照
- 每個標的的人天與估算方式
- 是否測試權限與業務邏輯
- 測試造成中斷時的處理窗口與恢復時間
- 複測次數與期限
- 去識別化的報告範例
滲透測試費用常見問題
滲透測試一次多少錢？
滲透測試費用取決於標的數量與每個標的人天。以共同供應契約為例，一個對外網站約 15 人天，再乘上廠商的人天單價；只有一個官網與有十幾個系統的企業，費用可差到十倍以上。
為什麼報價差這麼多？
差距通常來自投入的人天與測試深度，而不是單價。先確認各家測的標的、是否含灰箱帳號與複測，再比價格。
可以只測一部分嗎？
可以，也常這樣做。先用 網站滲透測試 處理對外、處理個資或金流的核心系統，其他系統以弱點掃描定期檢查；或在 資安健診 後挑出高風險標的再深入測試。想先了解測試流程，可以看 滲透測試 的說明。
預算有限，第一次滲透測試該從哪裡開始？
先列出對外系統，只把處理個資、金流或客戶登入的那幾個放進第一次範圍；複測完成後再逐年擴大。適用資通安全管理法的特定非公務機關，A 級每年、B 與 C 級每二年至少要做一次，可以直接以此排年度預算。
手上的報價單範圍不確定是否合理，可以 先請顧問看一下現況，我們會依標的清單幫你估出合理的人天。
參考資料
- 113 年第五次電腦軟體共同供應契約採購－資通安全服務暨資訊服務（案號 1130205）各品項人天 – 滲透測試、弱點檢測服務所需人天。得標廠商公告 · 113 年 11 月
- 政府機關滲透測試服務委外服務案建議書徵求文件（範本）V5.0 – 初測與複測、時程、人員證照與報告內容要求。行政院國家資通安全會報技術服務中心 · 民國 110 年 9 月
- 資通安全責任等級分級辦法 – 附表各級應辦事項的滲透測試頻率。全國法規資料庫
- NIST SP 800-115 Technical Guide to Information Security Testing and Assessment – 滲透測試的規劃、執行與報告階段。NIST · 2008 年 9 月
