資安健診費用與項目：企業如何選擇方案
資安健診費用沒有統一定價，報價是由「檢視哪些項目」、「每個項目有幾台設備」和「每單位需要多少人天」三件事相乘而來。所以 50 台電腦的貿易公司和兩個廠區的製造業，報價可以差好幾倍。
這篇用政府共同供應契約的品項表拆解計價方式，並整理不同規模的方案對照表。想直接規劃範圍，可以參考我們的 資安健診服務。
資安健診包含哪些項目？
依資通安全責任等級分級辦法，特定非公務機關的健診有 6 個法定項目，涵蓋網路架構、網路與端點惡意活動、伺服器、AD 與防火牆設定及資料庫；C 級不含資料庫。各項目在看什麼，可以參考 資安健診 的完整說明。
採購時項目會拆得更細。以 114 年電腦軟體共同供應契約（案號 1140205）一家得標廠商公布的品項表為例，健診服務共 13 個品項：
| 品項 | 計價單位 | 每單位人天 | 單次最低數量 |
|---|---|---|---|
| 網路架構檢視 | 網路架構 | 2 | 1 |
| 網路惡意活動檢視：封包監聽與分析 | 側錄設備 | 2 | 2 |
| 網路惡意活動檢視：網路設備紀錄檔分析 | 網路設備 | 1 | 2 |
| 使用者端電腦惡意活動檢視 | 使用者電腦 | 0.3 | 20 |
| 伺服器主機惡意活動檢視 | 伺服器 | 0.3 | 5 |
| 目錄伺服器設定檢視 | 伺服器 | 0.5 | 1 |
| 防火牆連線設定檢視 | 防火牆設備 | 0.5 | 1 |
| 作業系統組態設定檢視（使用者電腦） | 使用者電腦 | 0.3 | 10 |
| 作業系統組態設定檢視（伺服器） | 伺服器 | 0.5 | 1 |
| 瀏覽器組態設定檢視 | 瀏覽器 | 0.3 | 10 |
| 網通設備組態設定檢視 | 網通設備 | 0.5 | 1 |
| 應用程式組態設定檢視 | 伺服器 | 0.5 | 1 |
| 資料庫安全檢視 | 資料庫 | 5 | 1 |
這是公務機關的採購規格，民間委託不受限制，但很適合用來理解報價結構。
資安健診費用怎麼計算？
資安健診費用的核心是人天：各品項數量乘上每單位人天，加總後再乘以人天單價。上述品項表中各品項的人天單價相同，所以設備與項目越多，報價越高。
以最低購買數量試算，前 7 個品項（對應 C 級 5 項法定內容）合計 16.5 人天，加 1 個資料庫是 21.5 人天。換成有 120 台電腦、15 台伺服器、2 台防火牆、3 台網路設備與 1 個資料庫的製造業，約為 56 人天，其中電腦就占 36 人天。
可見端點數量是最大的變數；自主委託時，實務上可以和廠商討論先抽樣檢視部分端點。人天也不等於工作天，多人可以同時作業。
雲端與 M365 設定檢視、多據點差旅、英文報告與複查通常另外報價；弱點掃描與 滲透測試 在共契中也是不同的服務組別。
不同規模企業的資安健診方案建議
選方案先看兩件事：有沒有法定義務，以及系統有多複雜。被核定等級的特定非公務機關必須涵蓋附表項目；一般企業可以從風險最高的範圍開始，控制資安健診費用。
| 企業情況 | 建議範圍 | 可以先不做 | 何時擴大 |
|---|---|---|---|
| 30 人以下，無對外服務 | 資安署 16 項自檢表自評 | 委外健診 | 自檢多項為「否」，或客戶要求評估 |
| 30–200 人，單一據點，有 AD 與伺服器 | 網路架構、惡意活動、AD 與防火牆；有用就加 M365 | 資料庫、端點全數檢視 | 發生事件、準備導入 ISO 27001 |
| 200 人以上、多據點或工廠 | 6 項全做，加雲端、備份還原與治理訪談 | 無 | 每年一次，重大變更後重做 |
| 特定非公務機關（A、B、C 級） | 附表規定項目：A 級每年、B 與 C 級每二年 | 不可省略法定項目 | 依核定等級 |
| 證券商、期貨商 | 依主管機關與公會的分級要求 | 依規定 | 依規定 |
小型企業不一定要花錢委外。資安署民國 115 年 3 月公布的「中小企業基本資安防護指引」附有 16 項是非題自檢表，先把帳號、備份、更新做好，效益常高於完整健診；資安署也與中小及新創企業署提供 0800-280-280 免付費諮詢。
金融業另有規定與補助。臺灣期貨交易所自 115 年度起，對資安分級第四級、提供網路下單的專營期貨商提供健診獎勵，五年內最多三次，以期貨公會優惠價格的 40% 計算。
健診報告品質怎麼判斷？
報告好不好，看能不能直接拿來決策和修補，而不是頁數。只附工具原始輸出、沒有分級的報告，價格再低也很難用。
詢價時可請廠商提供遮蔽過的報告樣本，對照 5 點：
- 管理摘要讓主管兩頁內看懂最大風險。
- 每項發現有佐證，例如設定截圖或連線紀錄。
- 標示嚴重程度與根本原因。
- 列出快速改善項目，並把建議分成立即、0–3 個月、3–6 個月、6–12 個月與長期。
- 有說明會，並約定是否複查。
惡意活動檢視若找到可疑檔案，報告能說明屬於哪類 惡意程式 與清除方式，修補會快很多。
比較健診報價前，先和廠商確認哪 5 件事？
報價差距大，多半是範圍不同，而不是誰比較便宜。請各家用同一份範圍報價，並確認：
- 品項與數量，端點是全數或抽樣。
- 各品項的人天、是否到場、封包側錄時間。
- 雲端、M365、差旅與英文報告是否另計。
- 弱點掃描、滲透測試是否包含。
- 報告交付時間、簡報與複查。
國家資通安全研究院辦理的資安服務廠商評鑑，也可以和執行人員經驗、報告樣本一起比較。
想讓報價一次到位，先整理哪些資料？
委託前先整理網路架構圖、伺服器與電腦數量、據點清單、使用中的雲端服務，以及是否屬於特定非公務機關或金融業。資料齊全，各家才能用相同基礎估算資安健診費用。
不確定該做哪些項目，可以 先請顧問看一下現況，依系統與預算排出範圍。
資安健診費用常見問題
資安健診一次多少錢？
沒有固定價格。以共同供應契約品項表的最低數量計算，C 級 5 項法定內容約 16.5 人天，加資料庫約 21.5 人天；設備越多人天越高，再乘上廠商的人天單價。
可以只做部分項目嗎？
可以。一般企業可依風險只選部分項目；被核定等級的特定非公務機關則須涵蓋附表項目，A 級每年一次，B、C 級每二年一次。
健診和弱點掃描可以一起做嗎？
可以，一起安排能減少重複協調與到場。健診看整體網路、端點與設定，弱點掃描針對指定主機或網站找已知弱點，兩者要確認是否分開計價。
參考資料
- 資通安全責任等級分級辦法 – 附表二、四、六規定特定非公務機關資通安全健診項目與頻率。全國法規資料庫 · 民國 115 年 1 月 7 日修正
- 114 年第五次電腦軟體共同供應契約（案號 1140205）資通安全服務品項價格表 – 資安健診服務 13 個品項、計價單位、人天與最低購買數量。得標廠商公布 · 民國 114 年 11 月 12 日更新
- 資安署力挺中小企業資安升級 三大策略強化數位防護力 – 中小企業資安諮詢專線、自我檢核與實地資安健檢。數位發展部資通安全署 · 民國 115 年 3 月 31 日
- 資安署發布中小企業基本資安防護指引 – 三大面向、16 項檢核點自檢表。數位發展部資通安全署 · 民國 115 年 4 月 16 日
- 期貨商辦理資安健診獎勵方案 – 第四級專營期貨商、115 至 119 年最多三次、獎勵 40%。臺灣期貨交易所 · 民國 115 年
- 證券商資安健診沿革 – 證券商自 109 年起依分級防護應辦事項辦理資安健診。臺灣證券交易所 · 民國 114 年 4 月 26 日
