資安健檢費用怎麼算？報價組成、共同供應契約行情與比價不踩雷的方法

先給答案：資安健檢費用主要看「要檢查幾台設備」，再乘上每個人天的單價。拿政府共同供應契約公開的單價來算，只買到最低採購量的基本健診約 8.7 萬到 10.4 萬元；50 台電腦、10 台伺服器的辦公室約 14 萬到 17 萬元；150 台電腦加上資料庫檢視，大約 36 萬到 43 萬元，再加弱點掃描和一次外網滲透測試，就會到 50 萬到 60 萬元。

我們做系統開發與維運，常被客戶和機關承辦問同一題：「這份資安健檢報價合不合理？」手上的報價單常常只有一行總價，看不出檢查了幾台電腦、封包側錄做了多久、報告有沒有人工判讀。這篇把公開查得到的價格拆開給你看，讓你編預算或比價時有一把尺。

這篇只談錢。資安健檢到底檢查什麼，可以先看資安健檢的檢查項目與流程；如果你只想做弱點掃描、要比較自己架工具還是交給廠商，看弱點掃描服務自建與委外的成本試算會更直接。

資安健檢費用速覽：四種規模大概多少錢

一句話：健檢的價格幾乎全部是人力，報價就是「人天數 × 每人天單價」。下面用共同供應契約同一期兩家廠商的單價（每人天 5,266 元與 6,286 元）試算，數量假設寫在第二欄。

單價出處是 114 年第五次電腦軟體共同供應契約（案號 1140205）裡，聯準科技公告的品項價格_1141103.pdf)與網達先進科技公告的品項價格%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E6%9C%8D%E5%8B%99%E6%9A%A8%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99-%E6%96%B0%E5%8A%A0%E5%9D%A1%E5%95%86%E7%B6%B2%E9%81%94%E5%85%88%E9%80%B2%E7%A7%91%E6%8A%80-%E5%90%84%E5%93%81%E9%A0%85%E5%83%B9%E6%A0%BC.pdf)，契約期間到 115 年 10 月 31 日。每一列的人天數照契約上「每單位所需人天」乘出來，金額四捨五入到千位。民間廠商的報價不一定照這個算法，但人天數是很好用的對照基準。

資安健檢報價由哪些項目組成

一份完整的資安健檢報價，通常由 13 個品項組成，每一項都有自己的計價單位和最低採購量。前 7 項對應法規要求的基本健診，後 6 項是組態設定與資料庫檢視（A、B 級單位的資料庫檢視也是法定項目）。

表裡的人天數和最低採購量，兩家廠商的價目表寫得一模一樣，因為這是共同供應契約統一定的規格，廠商只在每人天單價上競爭。這也代表你拿到一份民間報價時，可以直接用這張表反推：「你報 50 台電腦，照共契規格要 15 個人天，你只抓 5 天，是怎麼做的？」

最貴的三項是哪些

看人天數就知道錢花在哪：資料庫安全檢視一式就要 5 個人天，是單項最貴的；員工電腦數量是規模最大的變數，150 台電腦光這一項就是 45 個人天；封包側錄因為要到現場架設備、至少錄一段時間再分析，每台 2 個人天。電腦多的辦公室，預算主要卡在第一個和第二個；系統型的單位，則是資料庫那一項。

公部門系統委外時，健檢常常寫進契約

如果你是機關承辦，要注意資安健檢常常跟系統開發或維運綁在同一個標案裡。我們正在做的高雄市幼兒園招生系統就是這樣：個資與資安依機關要求的責任等級規劃防護與檢測，通過檢測後才上線。編預算時要先分清楚，這筆錢是整個機關的健檢，還是單一系統上線前的檢測，兩者範圍差很多。政府標案系統要準備哪些資安文件，可以看政府標案系統開發跟企業案差在哪。

手上已經有一份報價、想確認數量和人天合不合理，可以直接加 LINE 把報價單傳給我們，我們會用這張表幫你對一次。

共同供應契約的公開行情怎麼看

共同供應契約是政府替各機關先談好的價格，機關直接下訂就好，不用每次重新招標。因為價目表要公開，它成了台灣少數查得到的資安健檢行情。重點有三個：同一期不同廠商單價不同、每年換約價格會變、價格要乘上人天才是真正的金額。

出處：網達 113 年價目表.pdf)、聯準 114 年價目表_1141103.pdf)、網達 114 年價目表%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E6%9C%8D%E5%8B%99%E6%9A%A8%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99-%E6%96%B0%E5%8A%A0%E5%9D%A1%E5%95%86%E7%B6%B2%E9%81%94%E5%85%88%E9%80%B2%E7%A7%91%E6%8A%80-%E5%90%84%E5%93%81%E9%A0%85%E5%83%B9%E6%A0%BC.pdf)。同一期契約裡，兩家廠商每人天差了 1,020 元，換算成 68 人天的中型案，就是 6.9 萬元的差距。網達自己從 113 年到 114 年也漲了約 19%。

還有一個時間點要注意：114 年這一期的契約期間到 115 年 10 月 31 日（也就是 2026 年 10 月底）結束，近三期都是在每年 10 月底到 11 月初換約。新一期的廠商與單價要以政府電子採購網的共同供應契約公告為準，編明年預算時別直接沿用舊價。

民間企業可以用這個價格嗎

不能直接下訂。共同供應契約只開放給政府機關、公立學校和公營事業使用，民間企業要自己詢價。但這份價目表很適合拿來當比價基準，因為品項切得很細，你可以要求廠商照同樣的品項和數量報價，價差在哪裡就一目了然。

公開標案的金額參考

機關也常自己招標，把健檢和其他資安服務綁在一起買。下面幾筆可以看出規模，但它們都包了別的服務，不能直接當健檢單價。

看這張表要抓一件事：標案名稱裡有「資安健診」，錢不一定都花在健診上。駐點人力、管理制度維運、平台授權都比健診本身貴，拿這些總額回推健診單價會嚴重高估。

法規要求多久做一次：一年一次還是兩年一次

如果你的單位被核定了資通安全責任等級，健檢頻率是法規定的，預算要照這個週期編。數位發展部在 115 年 1 月 7 日修正發布資通安全責任等級分級辦法附表，健診的頻率整理如下（條文全文見全國法規資料庫）。

換成預算就是：A 級單位每年都要編健檢費，B 級和 C 級可以兩年編一次，但做的那一年金額會比較集中。你的單位屬於哪一級、還要做哪些事（例如 CNS 27001 驗證），可以看資通安全管理法 A/B/C 級對照，驗證費用另外拆在CNS 27001 驗證費用。

民間中小企業沒有法定義務，但客戶或供應鏈要求時一樣要做。數位發展部資通安全署今年 3 月也宣布了中小企業資安服務的三大策略，其中一項就是實地資安健檢，報導沒有寫收費方式與名額，有興趣可以打馬上辦服務中心專線詢問。

計價方式對照：按人天、按台數、還是套裝方案

廠商報價大致有三種寫法。按人天和按台數其實是同一件事的兩種表達，最難比的是套裝方案。

常見的加購項目

健檢報價常會順便問你要不要加弱點掃描、滲透測試或社交工程演練。這些在共契裡是不同組別，單價也不同。

弱點掃描和滲透測試的差別，以及它們各自該多久做一次，在三種資安檢測的定位與價格講得比較完整；想自己架掃描工具，看自架弱點掃描完整指南和弱點掃描工具怎麼選。網站這一塊要怎麼掃，同批的網站弱點掃描有更細的說明。

中型組織試算：68 個人天怎麼來的

把速覽表的「中型組織」拆開，你就能照自己的數量替換。

一眼就看得出來，150 台電腦佔了 45 個人天，超過總數的六成。所以電腦數量多的單位，跟廠商談的重點應該放在「電腦要全檢還是抽樣、抽樣比例多少」。抽樣可以省錢，但要寫進契約，驗收時才有依據。

便宜的資安健檢報價，通常省掉了什麼

我們的看法很直接：資安健檢比價時只看總價，最後買到的常常是一份工具自動產生的報表。國家資通安全研究院的資安健診服務建議書徵求文件範本（110 年 9 月 v4.0 版，官方範本）把服務水準寫得很具體，拿來對照報價，就知道便宜的版本少了什麼。

這張表也說明了為什麼兩份報價能差到兩三倍。人天數被壓低，省的就是側錄時間、分析範圍和報告的人工判讀，這些在交件當天都看不出來，要等出事才知道。

報價單怎麼看、驗收怎麼驗：比價前先問這 6 件事

拿到兩三份報價時，先要求每家都照同一張品項表報價，再問下面這幾題。答不出來或不肯寫進契約的，價格再低都要打折扣看。

• 每個品項的數量與人天：電腦、伺服器、網路設備各幾台，用多少人天，有沒有抽樣，抽樣比例多少。
• 側錄與紀錄檔的範圍：封包側錄錄多久、在哪幾個網段，紀錄檔看多長的期間。
• 報告的格式與語言：有沒有中文摘要、風險分級、逐項改善建議，會不會派人到場說明。
• 複測含不含：修補完要再驗一次，是含在報價裡還是另外計價，含幾次。
• 檢測風險怎麼處理：檢測造成電腦或伺服器異常時，通報與修復時限是多少。
• 保密與資料處理：檢測人員有沒有簽保密切結，側錄檔與報告結束後怎麼刪除或歸還。

報價單最怕只有一行總價，事後要加減項目時誰都說不清楚。我們自己做秒發報價Pro時，也是把報價拆成「品項 × 數量 × 單價」，因為拆開來的報價單，比價和驗收都有共同語言。資安健檢的報價也一樣，請廠商照品項列，驗收時就照品項逐一勾。

健檢之後每年還要花什麼：一年一次和持續監控怎麼搭

健檢報告交出來的那天，只代表那一天的狀況。真正的長期成本在兩件事：報告上的問題要有人修，以及兩次健檢之間的空窗要有人看。

拿我們自己的做法當例子。我們做系統開發與維運，秒發報價Pro這類自家產品和維護中的客戶系統，每天早上都會自動檢查用到的程式套件，比對國際公開的漏洞資料庫和台灣 TWCERT 的漏洞通報，只看高風險與重大等級，只在有新增時通知負責人，再由人判斷是不是真的有影響、排進修補；每週另外有一次總覽。整個流程只讀不改程式，修不修、怎麼修都由人決定。

這件事讓我們很清楚健檢的極限：很多高風險漏洞是在健檢完幾個月後才公布的，一年一次的報告不會知道。供應鏈攻擊就是最典型的例子，你沒改任何東西，用到的套件出事了，系統就跟著曝險，可以看供應鏈攻擊是什麼和供應鏈攻擊案例。如果你的系統是找廠商開發的，合約裡可以要求維運期間要有持續的漏洞追蹤，這筆錢通常比再加一次健檢便宜。

另一筆常被漏編的是修補工時。健檢報告只告訴你哪裡有問題，修補是另一筆錢，弱點掃描成本那篇估過，中型系統把中高風險項目修完通常要 5 到 15 個人天。出事的代價更高，CyberScoop 引述 IBM 的 2025 年資料外洩成本報告，全球平均每起事件損失 444 萬美元，這還是比前一年下降之後的數字。系統上線後第一年該怎麼編維運預算，可以參考系統上線後的第一年。

如果你的資安問題主要出在自己的系統（程式寫得安不安全、套件有沒有持續更新），那比較像程式碼與維運的事，可以看我們的客製化系統開發怎麼把漏洞追蹤放進維運；用 AI 工具做出來、準備上線的系統，則可以先做一次程式碼審計健檢。想先聊聊目前的狀況，加 LINE 就可以。