共同供應契約怎麼買資安檢測？公家機關發包前先搞懂這件事
機關或學校要編一筆資安檢測的預算，承辦人第一個碰到的問題通常不是技術，是採購程序：這筆錢要自己辦招標，還是走共同供應契約？兩條路的作業成本差很多，選錯會多花好幾週。這篇把機制講清楚，讓你在編預算的階段就知道自己走哪一條。先把話說在前面：我是個人承接，不在任何共同供應契約的得標名單上，所以這篇不是要賣你什麼，是把兩條路的差別寫清楚。內容為一般性說明，實際適用請以主管機關公告與現行法令為準。
1. 共同供應契約在解決什麼問題
如果每個機關都要為同樣的東西各辦一次招標，整體行政成本會非常可觀。共同供應契約的做法是由一個機關代表出面，統一辦理招標並與得標廠商簽約，其他適用機關之後可以直接依這份契約訂購，不必自己再跑一次招標程序。
自我檢查
- 適用對象通常涵蓋各級政府機關、公立學校與公營事業，實際範圍以該份契約的規定為準。
- 訂購透過政府電子採購網的共同供應契約系統進行，看得到品項、規格與價格。
- 對承辦人來說最大的好處是省掉招標作業，時程從幾週縮短到幾天。
- 代價是只能買契約裡有的品項與規格，客製空間很小。
2. 資安檢測在契約裡通常長什麼樣
資訊服務類的共同供應契約裡，資安相關的品項通常會拆成幾個獨立的服務項目，各自有計價單位。你要先確認自己要買的是哪一種，因為它們的產出完全不同。
自我檢查
- 網站弱點掃描：以網址或系統數量計價，產出是依 OWASP Top 10 分類的弱點清單與修補建議。
- 主機弱點掃描：以 IP 數量計價，產出依 CVSS 標示嚴重度。
- 資安健診：以主機台數計價，進到系統裡盤點程序、帳號、開放服務與排程。
- 滲透測試：以標的數量與測試深度計價，通常比弱點掃描貴上一個級距。
- 社交工程演練：以受測人數計價。
契約的品項、規格與得標廠商會隨屆期更換，所以不要照著別人幾年前的規格書抄。編預算之前上採購網查當期的實際內容，價格與計價單位可能已經不同。
3. 承辦人實際的作業順序
從想做資安檢測到真的有廠商來執行，中間的步驟大致如下。卡關最常發生在第二步和第五步。
自我檢查
- 先確認範圍：要檢測幾個網站、幾台主機、幾個 IP。這決定金額，也決定走哪條採購路徑。
- 確認金額落在哪個級距。金額很小的採購有比較簡便的程序，不一定需要走共同供應契約；金額大的則要依規定辦理。門檻金額會調整，以主管機關公告為準。
- 上政府電子採購網查當期契約有沒有你要的品項與規格。
- 有的話依系統流程訂購；沒有完全對應的規格，就要評估自辦採購。
- 執行前簽署檢測授權書。這一步不能省，沒有書面授權的檢測，廠商不應該執行，你也承擔不必要的風險。
- 驗收時看報告：有沒有含人工驗證、有沒有排修補優先序、誤報有沒有寫判定理由。
4. 金額不大的時候，還有別的選擇
不是每筆資安檢測都得走共同供應契約。單一網站的弱點掃描、幾台主機的健診，金額往往落在比較簡便的採購程序範圍內，這時候直接找廠商詢價反而快，也能買到契約規格以外的東西。
自我檢查
- 小額的採購通常可以用比較簡便的方式進行，實際門檻與程序依現行規定與貴機關的內部規範為準。
- 自行詢價的好處是範圍可以談。契約品項是標準規格，你的需求如果比較特別，客製反而便宜。
- 詢價時要求對方提供去識別化的報告樣本，先確認格式合不合你的驗收需求。
- 同一筆預算不要為了湊到某個級距而硬拆，那會有程序上的問題。
這裡要說清楚一件事。共同供應契約的得標廠商必須經過投標程序並符合資格條件，個人接案者與沒有商業登記的工作室進不了那份名單。所以貴機關如果依規定必須走共同供應契約，就照系統上的廠商辦理，找我沒有用。只有在金額落到可以自行詢價的範圍、而且貴機關接受以勞務報酬單據核銷時，個人承接才是一個選項。這件事先講明白，比雙方花時間開會之後才發現不可行好。
共同供應契約的價值在於省掉招標作業，代價是規格固定、客製空間小。編預算前先確認範圍與金額，再決定走契約還是自行詢價，比事後才發現程序不對省事得多。無論走哪一條，執行前的書面授權與驗收時的報告品質，都是不能省的兩件事。
常見問題
- 共同供應契約的價格一定比較便宜嗎？
- 不一定。契約價是統一議定的標準規格價，優勢在於程序簡便與價格透明，但不代表每一項都是市場最低。範圍比較單純的小案子，自行詢價有機會拿到更貼近需求的報價，因為你不必買到用不上的規格。
- 民間企業可以用共同供應契約嗎？
- 不行。共同供應契約的適用對象是各級政府機關、公立學校與公營事業等，一般民間企業不在適用範圍內，直接跟廠商洽談即可。實際適用對象以該份契約的規定為準。
- 個人接案者可以承接機關或學校的案子嗎？
- 在小額採購的範圍內有機會，但要看貴機關的內部規定。關鍵通常在憑證：個人以執行業務所得承接，提供的是簽收的勞務報酬單據，由機關辦理扣繳，而不是統一發票。有些單位的核銷流程接受，有些要求一定要發票。編預算前先問一下主計或會計單位，答案很快就有了。
- 契約裡沒有我要的規格怎麼辦？
- 那就要評估自辦採購。常見的情況是機關想做的檢測範圍比較特別，例如只有一個系統但要測得比較深，或需要配合特定的報告格式。這類需求硬套標準品項通常買到用不上的東西，不如依規定自行辦理。