資訊委外（也稱資訊外包、IT 委外）是把公司日常的 IT 維運交給外部團隊，範圍通常包括電腦與網路設備維護、帳號與權限管理、資料備份、資安防護，以及雲端信箱、協作工具等雲端服務的管理。它和委託開發軟體的程式外包不同，重點是讓既有環境穩定運作。選廠商時先寫清楚服務範圍，再比較服務水準協議（SLA）的回應與處理時限、交接文件與報告方式，接著在合約中寫明管理權限、資料歸還與保密責任。
資訊委外和程式外包差在哪
兩者都叫「外包」，但交付的東西不同：
- 程式外包：委託廠商開發網站、系統或 App，交付的是程式與文件，專案驗收後進入保固或維護期。
- 資訊委外：委託廠商持續維運公司的 IT 環境，交付的是服務，以月或年計的服務期間、回應時限與定期報告為主。
同一家廠商可能兩種都做，但合約要分開寫：開發案看規格與驗收，維運案看服務範圍與 SLA。把兩者混在同一份合約裡，容易出現「這算新功能還是維護」的爭議。
資訊委外的服務範圍
常見的服務項目可以分成五組，委外前先勾選需要的部分：
- 設備與網路：電腦、印表機、網路設備與無線網路的設定、故障排除與更換建議。
- 帳號與權限：員工到職、調職、離職時開通與停用帳號，管理員帳號的保管與多重要素驗證。
- 備份與還原：備份排程、異地或雲端保存，以及定期的還原測試。
- 資安防護：系統與軟體更新、端點防護、紀錄檢視與資安事件應變。
- 雲端服務與網域：雲端信箱與協作工具的管理、授權數調整、網域與 DNS 紀錄維護。
雲端服務也不是交給服務商就沒事。微軟的共同責任說明指出，不論哪種雲端服務，資料、端點、帳號與存取管理都由客戶負責，這些正是委外時要明確指定由誰處理的項目。
委外前先盤點資產與分工
廠商報價與 SLA 都建立在範圍上，範圍不清楚，比價就沒有基準。委外前建議先整理：
- 資產清單：電腦、伺服器、網路設備的數量與位置，以及使用者人數。
- 帳號與訂閱：雲端服務、網域註冊商、DNS 代管、主機與各系統的管理帳號，記錄登記在誰的名下。
- 現有廠商：網路線路、事務機、軟體等各自由哪家負責，委外後誰當窗口。
- 內部分工：哪些事情留在公司內部，例如採購核准、主要管理員帳號的持有人。
清單本身也是交接文件的雛形，日後換廠商時可以直接沿用。
評估資訊委外廠商的面向
| 評估面向 | 要問清楚的事 |
|---|---|
| 服務範圍 | 哪些項目含在月費內，哪些按次或另案計價 |
| 服務時段與方式 | 支援時段、遠端或到場處理、假日與夜間的處理方式 |
| 人員與備援 | 固定窗口是誰，窗口請假或離職時由誰接手 |
| 資安做法 | 廠商人員登入客戶環境是否使用多重要素驗證、是否保留操作紀錄 |
| 文件與報告 | 多久提供一次服務報告，是否維護網路架構圖與設定文件 |
多國資安機關針對託管服務供應商（MSP）聯合發布的建議指出，委外客戶應在合約中要求服務商落實安全措施與控制，並在可行時強制多重要素驗證、啟用監控與紀錄。廠商若提到 ISO 27001，可以再確認驗證範圍是否涵蓋為你服務的團隊；ISO 說明這是資訊安全管理系統的要求標準，是否取得驗證由企業自行決定，ISO 本身不做驗證、也不發證書。
SLA 怎麼看：回應時間不等於解決時間
美國國家標準與技術研究院（NIST）的資安詞彙表把 SLA 描述為服務提供者對客戶的承諾，內容涵蓋責任、服務類型、預期績效如可靠度與回應時間，以及回報、解決與終止的要求。檢查 SLA 時可以逐項確認：
- 事件分級：全公司無法上網和單一印表機故障，應有不同的處理時限。
- 回應與解決分開寫：回應只代表開始處理，什麼時候恢復運作要另外約定。
- 計算方式：時限是否只算服務時段，由哪一方的紀錄為準。
- 未達標的處理：改善計畫、服務費折抵或終止權，以及不適用 SLA 的例外情況。
資訊委外的報價組成
資訊委外的價格會因範圍差很多，比價時把各家報價拆成同一組項目：
- 計價基礎：按使用者數、設備數、固定月費或預購時數。
- 導入盤點：初次盤點、文件建立與權限整理是否另計。
- 含與不含：軟體授權、硬體、到場交通、夜間假日支援、專案型工作。
- 合約條件：合約期間、調價機制、提前終止的條件。
只比月費容易誤判，同樣的月費，含不含到場與備份，實際負擔會不同。
合約重點：權限、資料歸還與保密
- 管理權限歸屬：網域、雲端服務的主要管理員帳號登記在公司名下，廠商使用個人化的管理帳號，合約終止時一併停用。
- 交接與退場：約定終止前的交接期、要移交的文件與密碼保管方式。
- 個人資料：維運工作涉及公司保有的個人資料時，依個人資料保護法第四條，受託者在該法適用範圍內視同委託機關；施行細則第八條要求委託方適當監督並定期確認、記錄，監督事項至少有六款，例如複委託的約定、違規時的通知與補救，以及委託終止時個資載體返還與刪除。
- 保密與複委託：保密範圍與期間，廠商能否再轉包給第三方。
法規部分為概念整理，實際條款請以主管機關公告或法律專業意見為準。資安的基本觀念可參考資訊安全的三要素與企業防護。
常見問題
資訊委外和聘請一位 IT 人員怎麼選？
看工作的廣度與時段。一位人員要同時熟悉網路、資安、雲端與設備並不容易，也有請假的空檔；委外有團隊備援，但不熟公司流程。也可以由內部人員當窗口，再搭配委外廠商。
小公司的資訊委外要包含資安嗎？
建議至少包含系統更新、帳號的多重要素驗證與備份還原測試。這些項目沒有明確指定由誰負責時，容易在內部與廠商之間被遺漏。
廠商有 ISO 27001 驗證就可以放心嗎？
驗證代表廠商建立了資訊安全管理制度，但要確認驗證範圍是否涵蓋為你服務的團隊與據點，合約仍要寫清楚權限、紀錄與資料歸還的要求。
換資訊委外廠商時要注意什麼？
先確認所有管理帳號都在公司名下，取得網路架構與設定文件，交接期間新舊廠商並行；新廠商接手後，立即停用舊廠商的帳號並更換共用密碼。
資訊外包的預算怎麼估？
先列出使用者數、設備數、需要的服務時段與到場頻率，請廠商依同一份範圍報價，再把導入盤點、例外工作與授權費用加進總成本比較。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先整理設備、帳號、雲端訂閱與網域的清單，再請廠商依同一份範圍報價。京采的技術 SEO 與網站健檢服務可以協助盤點官網的主機、網域與 DNS 設定，檢查網站安全與寄信設定，並整理成交接時可用的文件；需要協助時歡迎與我們聯繫。
