共同供應契約怎麼買資安檢測？發包前先搞懂
約 5 分鐘
機關或學校要編一筆資安檢測的預算，承辦人第一個碰到的問題通常不是技術，是採購程序：這筆錢要自己辦招標，還是走共同供應契約？兩條路的作業成本差很多，選錯會多花好幾週。這篇把機制講清楚，讓你在編預算的階段就知道自己走哪一條。先把話說在前面：我是個人承接，不在任何共同供應契約的得標名單上，所以這篇不是要賣你什麼，是把兩條路的差別寫清楚。內容為一般性說明，實際適用請以主管機關公告與現行法令為準。
1. 共同供應契約在解決什麼問題
如果每個機關都要為同樣的東西各辦一次招標，整體行政成本會非常可觀。共同供應契約的做法是由一個機關代表出面，統一辦理招標並與得標廠商簽約。其他適用機關之後直接依這份契約訂購，不必自己再跑一次招標程序。
適用對象通常涵蓋各級政府機關、公立學校與公營事業，實際範圍以該份契約的規定為準。訂購透過政府電子採購網的共同供應契約系統進行，品項、規格與價格在系統上都看得到。這一點對編預算很有幫助，你不必先發詢價函才知道大概要花多少。
對承辦人來說，最大的好處是省掉招標作業，時程可以從幾週縮短到幾天。代價是只能買契約裡有的品項與規格，客製空間很小。需求剛好落在標準品項上的話，這條路又快又省事。需求比較特別的話，你會發現契約裡怎麼翻都沒有對應的東西。
2. 資安檢測在契約裡通常長什麼樣
資訊服務類的共同供應契約裡，資安相關的品項通常會拆成幾個獨立的服務項目，各自有計價單位。你要先確認自己要買的是哪一種，因為它們的產出完全不同。買錯不會有人退錢給你，只會拿到一份不是你要的報告。
| 服務項目 | 計價單位 | 產出是什麼 |
|---|---|---|
| 網站弱點掃描 | 網址或系統數量 | 依 OWASP Top 10 分類的弱點清單與修補建議 |
| 主機弱點掃描 | IP 數量 | 依 CVSS 標示嚴重度的弱點清單 |
| 資安健診 | 主機台數 | 進到系統裡盤點程序、帳號、開放服務與排程的結果 |
| 滲透測試 | 標的數量與測試深度 | 實際嘗試利用弱點的過程與結果，通常比弱點掃描貴上一個級距 |
| 社交工程演練 | 受測人數 | 受測人員的反應統計與後續教育訓練建議 |
契約的品項、規格與得標廠商會隨屆期更換，所以不要照著別人幾年前的規格書抄。編預算之前上採購網查當期的實際內容，價格與計價單位都可能已經不同了。抄舊規格書最常見的下場，是預算編好、簽呈也送出去了，才發現那個品項現在不存在。
3. 承辦人實際的作業順序
從想做資安檢測到真的有廠商來執行，中間的步驟大致如下。卡關最常發生在第二步和第五步。第二步是金額級距沒先確認，路徑選錯就得整個重來。第五步是授權書沒簽，時間到了廠商不敢動工。
承辦人的六個步驟
- 先確認範圍。要檢測幾個網站、幾台主機、幾個 IP。這決定金額，也決定走哪條採購路徑。
- 確認金額落在哪個級距。金額很小的採購有比較簡便的程序，不一定需要走共同供應契約。金額大的則要依規定辦理，門檻金額會調整，以主管機關公告為準。
- 上政府電子採購網查當期契約。確認有沒有你要的品項與規格，順便看得標廠商是哪幾家。
- 有對應品項就依系統流程訂購。沒有完全對應的規格，就要評估自辦採購。
- 執行前簽署檢測授權書。這一步不能省。沒有書面授權的檢測，廠商不應該執行，你也承擔不必要的風險。
- 驗收時看報告內容。有沒有含人工驗證、有沒有排修補優先序、誤報有沒有寫判定理由。
4. 金額不大的時候，還有別的選擇
不是每筆資安檢測都得走共同供應契約。單一網站的弱點掃描、幾台主機的健診，金額往往落在比較簡便的採購程序範圍內。這時候直接找廠商詢價反而快，也能買到契約規格以外的東西。實際門檻與程序依現行規定與貴機關的內部規範為準，編預算前先問一次主計或會計單位最保險。
自行詢價真正的好處是範圍可以談。契約品項是標準規格，你的需求如果比較特別，客製反而便宜。例如只有一個系統但想測得深一點，走契約要連帶買下一整包用不到的規格，自行詢價則可以只買你要的那一段。
詢價時記得要求對方提供去識別化的報告樣本。報告是這筆錢唯一留下來的東西，先看格式合不合你的驗收需求，比事後才發現內容太薄有用得多。
這裡要說清楚一件事。共同供應契約的得標廠商必須經過投標程序並符合資格條件，個人接案者與沒有商業登記的工作室進不了那份名單。所以貴機關如果依規定必須走共同供應契約，就照系統上的廠商辦理，找我沒有用。只有在金額落到可以自行詢價的範圍、而且貴機關接受以勞務報酬單據核銷時，個人承接才是一個選項。這件事先講明白，比雙方花時間開會之後才發現不可行好。
共同供應契約的價值在於省掉招標作業，代價是規格固定、客製空間小。編預算前先確認範圍與金額，再決定走契約還是自行詢價，比事後才發現程序不對省事得多。無論走哪一條，執行前的書面授權與驗收時的報告品質，都是不能省的兩件事。
常見問題
- 共同供應契約的價格一定比較便宜嗎？
- 不一定。契約價是統一議定的標準規格價，優勢在於程序簡便與價格透明，但不代表每一項都是市場最低。範圍比較單純的小案子，自行詢價有機會拿到更貼近需求的報價，因為你不必買到用不上的規格。
- 民間企業可以用共同供應契約嗎？
- 不行。共同供應契約的適用對象是各級政府機關、公立學校與公營事業等，一般民間企業不在適用範圍內，直接跟廠商洽談即可。實際適用對象以該份契約的規定為準。
- 個人接案者可以承接機關或學校的案子嗎？
- 在小額採購的範圍內有機會，但要看貴機關的內部規定。關鍵通常在憑證：個人以執行業務所得承接，提供的是簽收的勞務報酬單據，由機關辦理扣繳，而不是統一發票。有些單位的核銷流程接受，有些要求一定要發票。編預算前先問一下主計或會計單位，答案很快就有了。
- 契約裡沒有我要的規格怎麼辦？
- 那就要評估自辦採購。常見的情況是機關想做的檢測範圍比較特別，例如只有一個系統但要測得比較深，或需要配合特定的報告格式。這類需求硬套標準品項通常買到用不上的東西，不如依規定自行辦理。