社交工程演練費用怎麼算？計價方式與方案比較

2026/10/28 企業指南 4 次瀏覽閱讀約 6 分鐘

社交工程演練費用主要由三件事決定：受測人數（以電子郵件帳號或手機門號計算）、模擬管道（電子郵件、簡訊、電話或實體），以及一年做幾次。人數增加時費用不會等比例上升，因為情境設計、報告與訓練是固定工作；真正拉開價差的，是情境客製程度與演練後的訓練範圍。

下面拆解社交工程演練費用的計價方式與影響因素，並比較自行執行、使用平台與委外三種做法，讓 HR 或 IT 主管先算出合理的預算結構，再去比較報價。需要由顧問代為設計與執行時，可參考我們的社交工程演練服務。

費用試算：用人天看出規模效應

政府採購的「電腦軟體共同供應契約」把社交工程演練拆成標準品項，可以看出業界的計價邏輯。以 114 年第 5 次共同供應契約的資通安全服務為例，電子郵件測試依帳號數分 4 級，所需人天如下：

受測人數從 100 增加到 1,000，工作量只多 5 成；簡訊測試也採相同結構，且含簡訊費用。同一套演練擴大到全公司，平均每人成本反而下降。

社交工程演練費用怎麼算？三種常見計價方式

社交工程演練常見的計價方式有三種：依受測帳號數分級計價、依演練次數或專案計價，以及平台訂閱制按人數或年度收費。報價單上看起來差很多，拆開來看，內容通常都是情境設計、寄送執行、結果分析、報告與訓練這幾項。

專案計價多用在包含 OSINT 公開資訊檢視、主管專屬魚叉式釣魚或電話測試的客製演練；訂閱制則以授權人數計算，不含顧問的分析與訓練。比價時先確認對方報的是哪一種，否則會拿「一次專案」去比「一年授權」。

影響社交工程演練費用的因素依序是：模擬管道、情境客製程度、演練次數、報告深度與後續訓練，人數反而影響最小。

管道的差異最大：電子郵件可以大規模自動化，簡訊要另計發送成本，電話語音釣魚與實體尾隨測試則每一次都需要人力。情境方面，套用通用範本最便宜，依公司實際往來對象、供應商名稱與內部流程設計的情境最貴，但後者才測得出真正的風險，例如財務部面對冒名付款要求的反應，這正是 BEC 詐騙最常得手的地方。

能降低社交工程演練費用的做法也很明確：第一次先只做電子郵件演練，建立點擊率、通報率的基準；把年度兩次演練合併在同一份合約；高風險族群做客製情境，其餘員工用標準情境。

選擇的關鍵不是哪個最便宜，而是公司有沒有人能設計情境、分析結果並轉成訓練。工具只解決「寄出模擬郵件」這一段。

方案	適合對象	優點	限制	內部要投入的人力
開源工具自行架設（如 Gophish，MIT 授權）	有資安工程師的企業	軟體免費、可完全自訂	要自行架設主機與網域、處理郵件送達與資料保護，沒有現成報表與訓練內容	高
既有授權內建平台（如 Microsoft Defender for Office 365 方案 2 的攻擊模擬訓練）	已購買 Microsoft 365 E5 或該方案的企業	不需額外採購，可直接派送訓練課程	E3 只提供有限的試用功能；情境偏通用，分析仍需自行判讀	中
商用演練平台訂閱	想定期自行演練的中型企業	範本多、排程與報表方便	依人數年費計價，情境客製與訓練通常另計	中
委外顧問服務	第一次演練、需要佐證給客戶或稽核的企業	含情境設計、測試規範、分析報告與訓練	單次費用較高	低

實務上我們建議：第一次演練委外，建立基準與流程；之後若內部有人力，可以改用平台自行執行日常演練，每年再委外做一次客製情境的深度演練。若公司只有一位 IT 人員，免費工具反而最貴，因為省下的費用都會變成他的加班時間。

要。演練只是量測，真正降低風險的是演練後的訓練與流程調整，這部分應該在預算裡單獨列出。常見做法是依演練結果，對點擊或輸入資料的族群加強訓練，並對全體員工說明通報流程。

訓練費用依形式差很多：實體課程以場次計，線上課程以人數或授權計，財務、採購、人資等高風險族群的專屬訓練則需單獨設計。常被忘記的是修正流程本身的成本，例如建立付款資訊變更的電話回撥驗證；這花的是內部時間，效果往往比再上一次課更明顯。

一般企業每年做 1 到 2 次演練是基本頻率，訓練後、組織大幅異動或發生相關事故後，再加做一次追蹤演練。政府機關依《資通安全事件通報應變及演練辦法》第 10 條，每半年至少辦理一次社交工程演練，可以作為高風險產業的參考。

社交工程演練費用的年度預算可以分成三塊：演練本身、演練後的訓練，以及預留一次追蹤演練。第一年三塊都需要；第二年起若改用平台自行執行，委外費用可以集中在一次深度演練。

比較報價前先確認：人數與管道、情境是否客製、是否保存員工真實密碼、報告是否依部門分析點擊率與通報率、是否含訓練與追蹤演練。五項寫進合約，才能公平比價。

想先了解社交工程的常見手法，或直接討論貴公司適合的演練範圍，可以先請顧問看一下現況。

不一定。有資安人力的企業可以用開源工具或既有授權內建的平台自行執行，但要自行處理情境設計、郵件送達、員工資料保護與結果分析。第一次演練、需要提供客戶或稽核佐證，或公司沒有專責資安人員時，委外比較能確保情境與報告的品質。

可以，但要評估隱性成本。開源工具需自行架設主機與網域，並確保不蒐集員工真實密碼；Microsoft 365 E3 只有攻擊模擬訓練的有限試用，完整功能需要 E5 或 Defender for Office 365 方案 2。適合有工程人力的企業。

一般企業每年 1 到 2 次是基本頻率，訓練後或人員大幅異動時再加做追蹤演練，才能看出訓練是否有效。政府機關依法每半年至少一次。比次數更重要的是每次用相同範圍與指標，才能比較點擊率與通報率的變化。

資通安全事件通報應變及演練辦法 – 第 10 條：公務機關每半年至少辦理一次社交工程演練。數位發展部 · 民國 115 年 1 月 5 日修正
Get started using Attack simulation training – 攻擊模擬訓練的授權條件與 E3 試用範圍。Microsoft Learn
Gophish – 開源網路釣魚演練工具，MIT 授權。GitHub