弱點掃描與資安健診費用：怎麼計價、含什麼、值不值得
弱點掃描與資安健診的費用差在哪？依 IP 數量、掃描頻率、人工判讀與複掃計價，整理報價要問的項目與適用情境。
弱點掃描與資安健診是企業最容易入門的資安服務。弱點掃描的費用通常依 IP、網域或資產數量，加上掃描頻率、是否含人工判讀與複掃來計價；資安健診則多為套裝服務，依檢查項目與環境規模報價。兩者價格都明顯低於滲透測試，但交付價值取決於「有沒有人判讀」與「發現問題後有沒有人修補」，只拿到一份掃描報告卻無人處理，花的錢等於浪費。
本文說明兩種服務的內容、計價方式與採購時要問的問題，金額皆為示意。
弱點掃描在做什麼
弱點掃描使用自動化工具，對目標主機、網站或網路設備探測，比對已知漏洞資料庫與常見設定錯誤，產出清單與風險等級。常見的評分參考是 CVSS（通用弱點評分系統），把弱點分為低、中、高與嚴重，協助排定修補順序。
它的優點是快速、可重複、成本低，適合定期執行；缺點是會有誤報與漏報，且無法判斷多個弱點串連後的真實衝擊，也不容易找出商業邏輯漏洞。
常見掃描類型：
- 外部掃描：從網際網路角度，檢查對外開放的 IP 與網站。
- 內部掃描：在內網執行，檢查伺服器、設備與端點，需要進入內網或部署掃描器。
- 認證掃描：提供帳號登入主機，能檢查修補程式與設定，結果比未認證掃描更準確。
- 網站掃描：針對 Web 應用程式的常見漏洞做自動化檢測。
資安健診包含什麼
資安健診是一個較廣的概念，通常包含：網路架構檢視、防火牆與設備設定檢視、伺服器與端點安全設定檢查、帳號與權限檢視、日誌與備份機制確認，有時也含弱點掃描與惡意程式檢測。各家服務包的項目差異很大，有些偏重文件與訪談，有些偏重技術掃描，所以不能只看名稱比較價格。
在台灣，公務機關與特定非公務機關依資通安全管理法的規定，會依責任等級定期辦理資安健診等檢測作業；民間企業並無一體適用的強制規定，但常因客戶要求、上市櫃治理或自身風險管理而辦理。
計價方式與影響因素
| 因素 | 說明 |
|---|---|
| 資產數量 | IP、網域、主機或網站數量，是最常見的計價單位 |
| 掃描頻率 | 單次、每季、每月或持續掃描；訂閱型常有折扣 |
| 掃描方式 | 外部、內部、認證或非認證 |
| 人工判讀 | 是否有人排除誤報、解釋風險與提供修補建議 |
| 複掃 | 修補後是否再掃，次數與期限 |
| 報告格式 | 工具輸出原檔、整理後的報告或管理層摘要 |
| 現場作業 | 內部掃描是否需到場、差旅費 |
範例（示意）：某公司有 20 個對外 IP 與 3 個網站。假設外部掃描每個 IP 示意 2,000 至 5,000 元，網站掃描每站示意 8,000 至 20,000 元，另有報告與複掃固定費用 10,000 元。IP 部分 40,000 至 100,000 元，網站部分 24,000 至 60,000 元，加固定費用後，總預算約 74,000 至 170,000 元。
你可以用資安服務預算估算器代入自己的數量。
如何判斷報價是否值得
- 確認有人判讀：只提供工具輸出報告，內容常含大量誤報與重複項目，企業內部很難直接使用。
- 確認風險評級依據：是否使用 CVSS 或其他一致的評級，並考慮資產重要性。
- 確認修補建議：是否說明修補方法，而不是只列出漏洞編號。
- 確認複掃：修補後是否能確認問題已解決。
- 確認範圍：包含哪些 IP、網域與網站，是否排除雲端託管或第三方服務。
採購前的準備
在詢價之前先做三件事：整理資產清單（哪些 IP、網站與主機、誰負責）、確認授權（雲端服務供應商的測試政策、委外廠商的同意）、決定測試時段（避開尖峰）。資產清單越準確，報價越精確，也可避免遺漏影子 IT。
與滲透測試怎麼分工
一般建議的順序是：先以弱點掃描清理明顯的已知漏洞與設定缺失，再安排滲透測試，這樣測試人員不必把時間花在低階問題上，整體費用也比較有效率。詳見滲透測試費用怎麼算。
修補管理：掃描之後才是成本大宗
許多企業在預算中只編列掃描費用，卻忽略真正耗費人力的是修補。一份報告列出數十個問題並不罕見，其中有些只要更新作業系統就能解決，有些需要升級軟體版本並做相容性測試，有些則涉及老舊系統無法修補，只能以隔離、限縮存取或虛擬修補來降低風險。
建議建立簡單的修補管理流程：
- 分級：依風險等級與資產重要性，決定修補期限，例如嚴重等級弱點優先處理，低風險項目納入定期維護。
- 指派：每個弱點都要有負責人，避免大家都以為是別人的事。
- 追蹤：用簡單的清單或工單記錄狀態，定期檢視未結案項目。
- 例外管理：無法修補的項目要記錄原因、替代控制措施與檢討時間。
- 驗證：以複掃確認問題已解決。
如果內部沒有人力，可以考慮把修補與維運一併委外，但要在合約中明確區分「發現問題」與「修補問題」的責任，並要求廠商提供修補紀錄。
訂閱制與一次性的取捨
一次性掃描適合預算有限、需要先了解現況的企業；訂閱制適合資產經常變動、需要持續追蹤的企業。訂閱制的好處是新資產或新漏洞出現時能較快被發現，並且可以看到修補趨勢；缺點是長期費用累積，且若沒有人看報告，效益就大打折扣。
簽訂訂閱前，請確認幾件事：資產增加時如何計價、掃描結果是否有儀表板或定期報告、是否有人協助判讀、合約期滿後資料如何處理，以及能否在中途調整範圍。若廠商要求長期綁約卻不願意提供試用或彈性調整，需要審慎評估。
如何閱讀弱點掃描報告
拿到報告後，很多人面對上百筆的發現不知如何下手。以下是一個簡單的閱讀與處理順序。
先看摘要與統計：確認總共有多少筆發現、各風險等級的分布、最嚴重的問題集中在哪些資產。
先處理對外且嚴重的項目：位於網際網路可直接存取的主機，且風險等級高的弱點，優先處理，因為攻擊者最容易觸及。
合併重複與同源問題：許多發現其實來自同一個原因，例如同一套軟體版本過舊，一次升級就能消除大量項目。把問題依根因分組，能大幅降低工作量。
判斷誤報：與維運人員一起檢視可疑發現，確認是否真的存在，對確認的誤報做記錄，避免下次重複討論。
考量業務影響：某些修補可能需要停機或測試，要與業務單位協調時程，若短期無法修補，要先採取替代措施，例如限制存取來源、關閉不必要的服務。
建立追蹤清單：每個問題都有負責人與預定完成日，並在修補後以複掃確認。
這個流程做幾次之後，團隊會逐漸熟悉，報告數量也會因為根因被處理而逐步下降，這是衡量資安成熟度改善的好指標。
什麼時候該諮詢專業人士
若掃描報告出現多個嚴重等級弱點、發現疑似已被入侵的跡象，或不知道如何排定修補順序，建議找資安顧問或原廠協助；若已發現入侵，請直接參考資安事件應變費用與流程。
常見問題
弱點掃描一年做幾次比較好？
沒有固定答案。常見做法是每季或每月定期掃描，重大變更後加掃。若有法規或客戶要求，依其規定。
自己用免費工具掃可以嗎？
可以作為內部基本檢查，但要有人懂得判讀結果並管理風險；另外要確保掃描範圍屬於自己有權限的資產。
資安健診一定要請外部廠商嗎？
不一定，但外部第三方檢視較客觀，也比較容易取得客戶或稽核認可。內部團隊可以先做自我檢查。
掃描報告可以直接給客戶嗎？
通常不建議未經整理就提供，報告可能含敏感資訊。可請廠商提供摘要版，或與客戶先確認需求。
資料來源
- 數位發展部 — 資通安全管理相關公告與指引
- 台灣電腦網路危機處理暨協調中心 TWCERT/CC — 漏洞資訊與通報
- FIRST（CVSS 標準） — 通用弱點評分系統說明
