資安預算與投資回收怎麼規劃？占比、情境推演與向老闆說明的方法
資安預算沒有標準占比。說明如何用風險、法規與客戶要求編列預算，並以情境試算推演投資回收，及向管理層提案的步驟。
資安預算沒有放諸四海皆準的占比，合理的作法是從風險、法規與客戶要求出發，先決定要降低哪些風險，再編列對應的支出，最後用占比與情境推演檢查是否合理。資安投資的回收也與一般設備投資不同：它的效益是降低事故發生的機率與損失，無法保證某年一定省下多少錢，所以任何打平年數都只是情境推演。向管理層提案時，用「如果發生，會損失什麼；做這些措施，能降低什麼；需要多少錢」三個問題說明，比丟出一個占比數字有說服力。
本文說明預算編列的步驟、情境試算的用法與提案技巧，金額皆為示意。
預算編列的四個步驟
- 盤點資產與風險：哪些資料與系統最重要？一旦停擺或外洩，影響多大？可用企業資安導入檢查表先盤點基本面。
- 列出必須做的項目：法規與契約要求（例如個資安全維護、客戶要求的檢測或證書），這些通常沒有討論空間。
- 列出建議做的項目：依風險高低排序，例如多因素驗證、備份、弱點掃描、教育訓練、監控。
- 評估可用資源：預算上限、可取得的補助、內部人力與時間。
接著依優先順序排進年度預算，並預留修補費用與事故應變的彈性。
預算占比怎麼用
資訊預算中資安的占比，常被拿來溝通，但不同產業、規模與風險差異很大，沒有適用所有企業的標準值。占比比較適合做以下用途：
- 與過去幾年的自己比較，看資安投入是否隨業務成長而調整。
- 作為討論的起點，快速看某個占比對應的金額能買到什麼。
- 檢查預算是否極端偏低或與風險不相稱。
用站內的資安預算占比試算，輸入年度資訊總預算與不同占比，觀察金額變化。
範例（示意）：年度資訊預算 3,000,000 元。占比 5% 為 150,000 元，8% 為 240,000 元，10% 為 300,000 元。把各占比對應的金額與你需要的項目（例如一次滲透測試示意 150,000 元、MFA 與備份改善示意 60,000 元、教育訓練示意 30,000 元）對照，就知道哪個占比才夠支付最優先的項目。這些占比與金額皆為示意，不是建議值或同業平均。
資安投資回收怎麼推演
資安的效益常被表述為「避免的損失」。推演時，可以拆成幾個要素：
| 要素 | 說明 |
|---|---|
| 可能的損失情境 | 停機、資料外洩、勒索、詐騙匯款、客戶流失、罰款 |
| 損失金額 | 直接損失加間接損失（營業中斷、復原費用、聲譽） |
| 發生機率 | 難以精準估計，建議以區間或等級表示 |
| 措施的降低幅度 | 某項措施能降低多少機率或損失，也難以精確 |
| 措施成本 | 一次性與持續成本，含內部人力 |
估算方式不是追求精準，而是讓討論有共同語言。建議做「保守」與「樂觀」兩種情境，看結論是否一致。
用資安投資回收情境試算，輸入專案成本、補助、每年可避免損失的假設與年增率，就能看到打平年數。
範例（示意）：專案成本 400,000 元、無補助。保守情境假設每年可避免損失 100,000 元；樂觀情境假設 250,000 元。保守情境約需 4 年，樂觀情境約 1.6 年。兩者差異很大，說明這類推演高度依賴假設，因此要明說假設、並搭配「不做的風險」一起討論。
向管理層提案的方法
- 用業務語言：講停機幾天、客戶資料外洩的後果、合約與法規風險，而不是技術名詞。
- 提供選項：基本方案、建議方案、完整方案，各自的成本與降低的風險，讓管理層做取捨。
- 展示現況缺口：用盤點結果說明目前哪些基本功未做，並指出最容易出事的部分。
- 分階段：先做成本低、效益高的項目，並設定檢查點。
- 說明不確定性：誠實說明預測的限制，避免承諾無法兌現的效果。
- 連結客戶與法規：若客戶問卷、標案或保險有要求，這是最有力的理由。
- 預留修補預算：檢測不是終點，修補才是。
預算執行中的調整
預算不是一次定案。建議每季檢視：
- 專案是否按進度執行？
- 掃描或測試發現的問題是否已修補？
- 有沒有新增的法規或客戶要求？
- 有沒有發生事故或險些事故（near miss），需要調整優先順序？
- 補助或保險的條件是否有變？
年度結束時做一次檢討，把學到的調整寫進下一年度預算。
常見錯誤
- 以占比取代風險評估。
- 只編列採購預算，沒有編列維運與修補。
- 把保險當成唯一的風險對策，詳見資安保險保費與保障。
- 把所有預算押在單一產品。
- 預算被砍時，先砍教育訓練與備份，其實這些是性價比較高的項目。
三種規模的預算思維（示意）
不同規模的企業，預算的重點並不相同，以下是思考框架而非標準配置。
十人以下的小型公司：多半沒有專職資訊人員，資安預算大多花在帳號安全、備份與員工習慣上。最有效的作法是把預算集中在少數基本措施，並指定一位內部窗口。若對外提供網站或會員服務，再考慮一次弱點掃描。這個規模通常不需要自己採購託管監控。
二十到一百人的成長型公司：開始有客戶問卷與供應商稽核，系統數量增加，也有雲端與遠端工作需求。預算可以逐步加入端點防護升級、定期弱點掃描、年度教育訓練，以及針對重要系統的滲透測試。此階段也要建立事件通報流程，並開始記錄資安制度文件，為之後的客戶稽核或驗證做準備。
一百人以上或受法規約束的公司：除了技術措施，更需要治理面的投入，包括明確的資安負責人、風險評估制度、內部稽核、供應商管理與事件演練。預算結構會從單次採購變成持續性的營運支出，並要與法遵、人資、採購等部門協調。
不論規模，都要避免把預算一次用完而沒有留下修補與應變的彈性。一個簡單的經驗法則，是在年度預算中預留一部分給「檢測後的修補」與「突發事件」，比例視風險而定，沒有固定標準。
用風險矩陣把預算排出順序
如果不知道從何排起，可以用一個簡單的二乘二矩陣：橫軸是「發生的可能性」，縱軸是「發生後的衝擊」，把你在盤點時想到的風險放進去。可能性高、衝擊也高的風險，例如帳號被盜用導致匯款詐騙，應該最先編列預算處理；可能性低但衝擊極高的風險，例如整個機房或雲端帳號遭刪除，則適合用備份、隔離與保險來因應；可能性高但衝擊小的風險，例如偶爾的垃圾信與低風險掃描探測，可以用低成本的自動化措施處理；可能性與衝擊都低的風險，可以先接受並定期檢視。
這個矩陣不需要精確的機率，重點是讓團隊對優先順序有共同的語言，也讓預算被砍時，大家知道哪些項目不能動。矩陣的結果建議每年更新一次，因為公司新增了服務、客戶或系統，風險分布也會跟著改變。更新時別忘了把已經處理的項目標記起來，讓管理層看到投入換來了哪些改善，這比只呈現花了多少錢更有說服力。
什麼時候該諮詢專業人士
重大預算決策、需要量化風險，或涉及法規遵循與保險安排時，建議請資安顧問、會計師與保險專業人員共同協助；上市櫃公司與受監理產業更要依主管機關規範處理。
常見問題
資安預算占 IT 預算多少比較合理？
沒有標準值，需依風險、產業與法規而定，可用占比作討論起點，但不要把它當作同業平均。
資安投資回收年限算得準嗎？
算不準，因為依賴對損失與機率的假設。把它當作情境推演與溝通工具即可。
預算不夠時先做什麼？
先做多因素驗證、備份與還原測試、更新管理、帳號盤點與員工教育，再依風險評估追加檢測與監控。
補助可以算進預算嗎？
建議以沒有補助為基準規劃，補助核准後再調整，以免補助落空影響專案。詳見企業資安補助與公共資源。
