資安服務合約與服務水準要寫什麼？保密、責任、驗收與終止條款

資安服務合約最重要的條款，是把報價單裡的口頭承諾寫成可以驗收的文字：範圍與授權、交付物與時程、服務水準（回應與處理時間）、保密與資料處理、責任限制與賠償、驗收與付款、終止與資料返還。許多糾紛的起點，是合約只寫「提供資安服務」，細節都在提案簡報裡，事後雙方理解不同。簽約前把提案書、報價單與需求說明書列為合約附件，是最簡單也最有效的保護。

本文為一般性說明，不是法律意見，重要合約請由律師審閱。

合約的基本架構

授權與範圍：最容易被忽略的法律界線

滲透測試與弱點掃描本質上是模擬攻擊，必須有權決定系統的人書面授權。若系統放在雲端、託管主機或由第三方維運，還要確認該服務提供者的測試政策與同意程序。授權文件應載明：測試對象、測試期間、允許的方法、禁止的行為（例如阻斷服務攻擊或實體入侵）、緊急聯絡窗口與停止條件。沒有明確授權的測試，雙方都可能面臨法律風險。

服務水準（SLA）怎麼寫

對託管監控、事件應變等持續性服務，SLA 要具體：

• 回應時間：收到通知後多久開始處理，例如分級為嚴重、高、中、低，各自的回應時限。
• 處理時間：多久內提供初步分析或圍堵措施。
• 服務時段：週間上班時間或全年無休。
• 通報方式：電話、電子郵件或其他，是否有備援。
• 報告頻率：月報、季報與重大事件即時報告。
• 可用性：平台或服務的目標可用比例與計算方式。
• 未達標的補償：服務抵扣、延長期間或終止權。

SLA 越模糊，越難在糾紛時舉證。若廠商不願意書面承諾，需評估其服務可靠度。

保密與資料處理

資安服務會接觸系統架構、帳號、弱點與個資，因此保密條款不可少：

1. 保密資訊的定義要涵蓋弱點、報告與測試資料。
2. 保密期間不應在合約結束後立即失效。
3. 廠商如有分包，需受相同保密約束並取得同意。
4. 資料儲存位置與傳輸方式，是否在境內、是否加密。
5. 合約結束或終止後，資料的返還與刪除，並要求書面證明。
6. 若涉及個資，雙方依個資法界定委託處理的責任與管理義務。

責任限制與賠償

廠商合約常會約定賠償責任上限（例如以合約金額為限）。這在商業上很常見，但要評估：上限是否合理、是否排除故意或重大過失、廠商是否有投保專業責任或相關保險、測試造成服務中斷時如何處理。高風險服務（例如在正式環境測試或託管權限很高）更需要審慎談判。

範例（示意）：合約金額 100,000 元，責任上限為合約金額。若測試意外造成系統停機並導致損失 500,000 元，依約最多只能請求 100,000 元。委託方可以選擇在測試前調整環境、要求測試於離峰時段、或談判較高的上限或要求廠商投保。以上為示意情境。

驗收與付款

• 驗收標準：報告包含的內容、格式與是否符合需求說明書。
• 驗收期限：委託方有多少時間檢查並提出補正。
• 付款里程碑：例如簽約、報告交付、複測完成分期付款，保留尾款。
• 補正機制：不合格時，廠商補正的期限與次數。
• 發票與稅別：註明含稅與否，避免日後爭議。

終止與資料返還

合約應約定雙方可終止的事由（如重大違約、無法履行）、通知期間、已完成服務的計價與資料返還。長期訂閱服務尤其要注意自動續約條款與解約通知期限，避免到期後被自動續約一年。

合約檢查清單

你也可以搭配企業資安導入檢查表檢視自己的準備程度，並參考資安服務詢價與發包流程。

簽約前後的實務提醒

合約談定之後，真正的挑戰是執行。以下幾點能降低糾紛：

指定雙方窗口：合約中寫明雙方的聯絡窗口與備援人選，並約定重大事項要以書面確認，包含範圍變更、時程延誤與發現嚴重弱點的通知。口頭同意在發生爭議時很難舉證。

變更管理：專案中途需求常常改變，合約應有變更程序，寫明誰可以提出、如何評估對費用與時程的影響，並以書面簽認。沒有變更程序，最容易出現「他說有包含、我說沒有」的爭議。

保留紀錄：保存往來信件、會議紀錄、報告版本與驗收文件。這些紀錄不僅在爭議時有用，也是之後客戶稽核、保險核保或主管機關查詢時的佐證。

留意分包與人員異動：若廠商將部分工作分包，或更換主要執行人員，應事先通知並取得同意，並確保新人員同樣受到保密約束。

定期檢討服務品質：對於長期服務，建議每季檢視服務報告與指標，討論誤報、回應時間與改善事項。不要等到合約快到期才發現服務品質早已下降。

最後，合約條款再完整，也無法取代雙方的信任與溝通。選擇廠商時，除了價格與條款，也要觀察其回應是否清楚、是否願意說明限制，而不是只強調能做什麼。

幾種常見服務的合約重點對照

不同類型的資安服務，合約的重點略有不同，簽約前可以對照下列提醒。

滲透測試與弱點掃描：重點在授權、範圍、測試時段、停止條件、報告交付、複測與保密。因為測試可能影響服務，責任與風險分擔要寫清楚。

託管偵測與監控：重點在服務時段、通報時限、處置授權、資料保存位置、日誌保存期間與報告頻率。服務商取得的權限高，要特別重視保密、權限最小化與終止後的存取撤銷。

顧問輔導與驗證輔導：重點在工作項目、交付文件、輔導時數或月數、人員資格與成果界定。要避免合約只寫「輔導通過驗證」這類結果性承諾，因為驗證結果取決於驗證機構與企業自身的執行，可以改寫成明確的交付項目與支援範圍。

事件應變預備合約：重點在回應時間、費率、可用時數、事故啟動方式、保密與鑑識報告用途，以及與保險條款的相容性。

教育訓練與演練：重點在內容客製程度、受訓人數、演練情境的審核、個資與隱私的處理、成果報告格式。

把這些重點整理成自己的合約範本檢查表，每次簽約都對照，久了就能建立一套穩定的採購標準。

什麼時候該諮詢專業人士

金額較大、涉及敏感資料、對方提供單方條款，或你不確定責任上限是否合理時，請律師審閱；技術條款（例如 SLA 指標）可請資安顧問協助判斷可行性。

常見問題

可以使用網路上的合約範本嗎？

可以作為起點，但要依實際服務調整，並請專業人士審閱，因為不同服務的風險不同。

廠商要求以他們的標準合約為準可以嗎？

可以討論，但要逐條檢查，尤其是責任上限、保密、資料處理與終止條款，必要時要求修改。

保密協議和服務合約是同一份嗎？

可以合併，也可以分開簽。重點是保密條款涵蓋服務過程所有敏感資訊。

測試造成系統當機誰負責？

取決於合約約定。建議事先約定測試時段、停止條件、備份與還原程序，以及責任歸屬。

資料來源

• 全國法規資料庫 — 民法、個人資料保護法等
• 司法院 — 法院與爭議處理資訊
• 數位發展部 — 資通安全相關資源