資安服務標怎麼投？滲透測試與資安檢測攻略

資通安全法上路後，政府機關的資安投入大幅增加：滲透測試、弱點掃描、資安健診、SOC 監控、ISMS 導入樣樣都要委外。對資安服務廠商來說，這是快速成長的市場。但資安標對專業資格要求高，這篇給資安廠商一份攻略。

政府資安服務的需求

• 滲透測試與弱點掃描：定期檢測系統與網站的資安弱點。
• 資安健診：整體資安體檢與改善建議。
• SOC 監控與應變：資安監控中心、事件應變服務。
• ISMS／制度導入：資訊安全管理制度的建置與驗證輔導。

資格：人員證照與實績

資安標常把專業人員與證照列為資格或評分重點：

• 資安專業證照：如國際認可的資安證照，證明團隊能力。
• 過往資安案例：做過政府或大型機構的資安服務實績。
• 公司資安能量：專責團隊、方法論、工具。

沒有具證照的專責團隊，大型資安標很難投。實際要求以招標文件為準。

最有利標：方法論與團隊

資安服務多採最有利標，評分重方法論、團隊資歷、過往實績、服務建議書。服務建議書要清楚呈現：檢測範圍與方法、人員配置與證照、報告與改善建議的產出、後續協助。價格合理即可，重點在專業與信任——政府把系統交給你檢測，信任是關鍵。

資安廠商的切入策略

• 累積證照與實績：團隊證照與政府案例是最強敲門磚。
• 鎖定資安義務機關：受資安法規範的公務機關與關鍵基礎設施用訂閱提醒盯。
• 盯年度定期檢測：滲測、健診多為定期委外，用重招標案抓時機。
• 查同業：到得標廠商看資安同業得哪些機關的案。

資安標最容易被扣分的三個地方

資安服務標多半採最有利標，評選時審查委員最在意的不是報價，而是「你有沒有能力、又能不能證明」。第一個常被扣分的是執行團隊的資格憑證：滲透測試、資安檢測類的案子，委員會直接看你派誰執行，有沒有 CEH、OSCP、CISSP 等證照，過去做過哪些同類型機關的案子；服務建議書只寫公司多厲害、卻不寫「實際上場的人是誰」，分數就上不去。第二個是測試方法與範圍的具體度：把 OWASP、NIST 等標準列一列不夠，要寫清楚針對這個機關的系統你打算怎麼測、分幾個階段、產出哪些報告、發現高風險漏洞時的通報與複測機制。第三個是資料保密與利益迴避：資安案會碰到機關最敏感的系統，切結保密、人員背景、測試資料的銷毀方式若沒交代清楚，委員會對你打問號。把這三塊寫實、寫具體，比堆砌華麗詞藻有用得多。

延伸閱讀：資訊系統標、最有利標評分、各產業商機地圖。