弱點掃描費用沒有統一行情，主要看五個項目：掃描範圍（網址、網域、主機或 IP 的數量）、是否要登入後掃描、執行頻率、修補後的複測次數，以及報告要做到哪種程度。滲透測試費用則多了測試人員投入的工時與測試深度，同樣要先定範圍才能估。比較報價時，先把範圍、掃描方式、複測與報告內容對齊再比總價，才不會拿不同的服務互比；受 PCI DSS 或資通安全管理法規範的單位，頻率與執行方式還要符合規定。
弱點掃描費用由哪些項目組成
委外弱點掃描的報價可以拆成幾個工作項目，請廠商逐項列出，比只看一個總價更容易比較：
- 範圍盤點與前置作業：確認要掃的網址與主機、取得授權書、約定時段與聯絡窗口。
- 掃描執行：使用的工具類型、掃描的次數與時段。
- 人工判讀：排除誤判、確認風險等級。美國國家標準與技術研究院（NIST）的安全測試指南指出，弱點掃描高度自動化，但誤判率可能很高，結果要由具網路與作業系統安全專長的人判讀。
- 報告：工具原始報告、中文摘要或修補建議，內容越完整，工時越多。
- 複測：修補後再掃一次，確認問題已解決。
- 說明會或諮詢：向管理層或維護團隊說明結果，是否另計要問清楚。
同一個總價，可能是只交工具報告的單次掃描，也可能含人工判讀與兩次複測，項目列開才看得出差異。
範圍怎麼算：網址、主機與登入後頁面
NIST 指南把受測對象的元件數量、複雜度、技術所需資源與需要的人工互動程度，列為規劃評估時的考量，這些也就是工時的來源。詢價前先整理一份清單：
- 網站與網址：主網站、子網域、後台、活動頁、API 端點各有幾個，是否都在範圍內。
- 主機與 IP：對外開放的伺服器、郵件主機、遠端連線設備；只掃外部，還是含內部網路。
- 登入後的頁面：會員中心、後台這類要登入才看得到的功能，要提供測試帳號才能掃到。主機也可以另做本機掃描：NIST 指南提到，在受測主機上安裝掃描程式、以管理權限執行的本機掃描，能比只從網路掃描看到更細的弱點資訊，相對也要更多設定與溝通。
- 環境：在正式環境還是設定相同的測試環境。NIST 指南建議測試在正式系統或設定相同的非正式系統上進行，可能暴露個資時考慮用非正式環境。
公開的網址與 IP 要確認確實歸自己管理，主機若是租用的，也先查主機商對掃描的使用規範。
頻率與複測：單次、定期與法規要求
NIST 指南提到，評估頻率常取決於組織證明符合法規或內部政策的需求。單次掃描適合改版上線前或接手舊網站時摸底；定期掃描則可以談年度合約，把次數、時段與複測寫清楚。部分單位的頻率由規定決定：
- PCI DSS：PCI 安全標準委員會的說明，適用的商店與服務供應商要由經認可掃描廠商（ASV）執行外部弱點掃描，至少每三個月取得通過結果，有弱點就修補並複掃到通過；商店是否適用，依所填的自評問卷類型而定。
- 資通安全責任等級分級辦法：公務機關與特定非公務機關依責任等級辦理附表事項。附表對全部核心資通系統的要求是：A 級弱點掃描每年二次、滲透測試每年一次；B 級弱點掃描每年一次、滲透測試每二年一次；C 級兩者都是每二年一次；D 級與 E 級未列入。實際規定以全國法規資料庫的現行附表與主管機關公告為準。
複測費用要事先確認。報價要寫明含幾次複測、複測範圍是全部重掃還是只驗證已修補的項目，以及修補期限過後再複測是否另計。
報告形式也會影響報價
NIST 指南說明，測試報告一般會描述發現的弱點並給出風險評等。同樣是報告，工時差距可以很大：
- 工具原始報告：直接匯出掃描工具的結果，需要自己判讀、排除誤判與排序。
- 經人工判讀的報告：排除誤判，依風險排序，附上受影響的網址與重現方式。
- 修補建議與管理摘要：寫明每項要由誰處理（主機、程式、外掛、網路設備），另附一頁給管理層看的摘要。
報告若附上通用弱點評分系統（CVSS）分數，這是由 FIRST 維護的標準，把弱點特性換算成反映嚴重度的分數，並可轉成低、中、高、嚴重等級。詢價時可請廠商提供去識別化的報告範本，確認交付內容。
滲透測試費用為什麼要另外估
滲透測試是由測試人員模擬攻擊，驗證弱點能不能被實際利用。NIST 指南形容它人力密集、需要高度專業，才能降低對受測系統的風險，所以估價的重點是投入的人力與天數，而不是掃描的網址數。影響報價的因素包括：測試範圍與目標（只測官網，或含後台與 API）、測試人員事先取得多少資訊、是否要測商業邏輯（例如能否看到別人的訂單）、測試時段限制，以及報告與複測次數。測試類型與流程的差別，可參考滲透測試的委託與驗收；同一份報價若同時含掃描與滲透測試，兩者的範圍與工時要分開列。
比較報價時要對齊的條件
| 項目 | 要問清楚的事 |
|---|---|
| 範圍 | 網址、子網域、主機與 IP 的清單，是否含登入後頁面與 API |
| 方式 | 只用工具掃描，還是含人工驗證；在正式或測試環境 |
| 時段 | 是否在離峰時段執行，臨時中止與改期怎麼處理 |
| 複測 | 含幾次、期限多長、範圍是全部或只驗證修補項目 |
| 報告 | 原始報告或人工判讀、語言、是否附修補建議與管理摘要 |
| 保密與授權 | 授權書、保密條款、測試資料與報告的保存和銷毀方式 |
| 責任 | 掃描造成服務中斷時的通報與處理方式 |
NIST 指南提到，部分掃描會佔用頻寬、拖慢網路回應，可在下班時段進行；開始前備份網站，並約好雙方隨時聯絡得到的窗口。
控制預算又不漏掉重點的做法
- 先掃高優先的系統：NIST 指南建議資源先投入高優先的系統。對外的官網、會員與付款相關功能先做，內部測試機排後面。
- 先處理已知問題：掃描前把網站程式、外掛與主機套件更新到維護中的版本，關閉不用的服務與帳號，避免報告被大量已知問題佔滿。
- 把複測排進時程：修補工作預留人力，在複測期限內完成，避免再付一次費用。
- 年度合約談清楚：定期掃描可依次數與範圍議價，並約定改版後是否加掃。
常見問題
自己用免費工具掃描，可以取代委外嗎？
可以當日常檢查，但結果要有人判讀並排定修補順序；委外多了範圍規劃、人工確認與複測。不論自掃或委外，都只能掃自己擁有或取得書面授權的網站。
弱點掃描和滲透測試要一起做嗎？
看目的而定。掃描以工具找已知類型的弱點，適合定期執行；滲透測試由人員驗證弱點能否被利用，費工較多。法規或客戶要求兩者都做時，依要求排程。
報價單只寫「每個 IP」計價，要注意什麼？
確認一個 IP 上掛了幾個網站或服務、是否含登入後頁面、複測是否另計，以及報告有沒有人工判讀。只比單價，容易漏掉這些差異。
掃描會不會讓網站變慢或當機？
有可能。部分掃描會佔用頻寬、拖慢回應，建議約在離峰時段執行，事前備份網站，並約定雙方的緊急聯絡窗口與中止方式。
報告列出的弱點都要立刻修嗎？
先排除誤判，再依風險等級與影響範圍排序。暫時無法修補的項目，記錄緩解措施與預計處理時間，並在下次掃描時確認狀態。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
弱點掃描與滲透測試請交由專門的資安檢測廠商執行；報告出來後，網站端的修補常牽涉主機設定、程式與外掛更新、憑證與 DNS。京采的技術 SEO 與網站健檢服務可以協助檢查官網的主機、網域與更新狀態，依報告調整網站端的資安設定，並在複測前確認修正已上線。需要網站端配合修補時，歡迎與我們聯繫。
