馬來西亞網絡安全服務：服務商與服務範圍（2026）

簡短回答： 對一個六七十人的吉隆坡辦公室來說，馬來西亞網絡安全服務通常包括六項：Microsoft 365 與身份安全基線、終端防護、郵件安全、補丁與漏洞掃描、員工安全意識培訓，以及有人負責看告警。馬來西亞修訂後的《個人資料保護法》（PDPA）自 2025 年 6 月 1 日起要求發生數據洩露時向個人資料保護專員通報，專員指引給出的期限是 72 小時。先把安全基線和洩露處置流程做好，再決定是否需要 7×24 小時安全運營中心（SOC）。

這篇指南寫給誰？

本文寫給區域集團的總部一方：負責馬來西亞子公司安全、但本人不在吉隆坡的香港區域 COO 或集團 IT 負責人。文中討論的辦公室有幾十到一百名員工，日常使用 Microsoft 365 和一兩套雲端業務系統，本地沒有專職安全人員。

如果辦公室還在籌建階段，請先讀我們的吉隆坡管理型IT外判服務與新辦公室開辦指南，那篇講的是線路、Wi-Fi、設備和上門費率。本文接著往下講：辦公室運轉起來以後，"安全"具體應該包括什麼。

示例場景（虛構的綜合案例，並非真實客戶）： 一家香港保險經紀與財富管理集團在吉隆坡設有一家 70 人的後台與客服子公司。員工使用 Microsoft 365，以及一套存放客戶聯繫方式和保單資料的雲端 CRM。香港四人 IT 團隊遠程管理租戶。馬來西亞沒有人負責安全；香港用戶已強制多重身份驗證（MFA），但吉隆坡幾個"共用"郵箱被設了例外；集團的洩露處置流程只寫了向香港監管機構報告。集團希望找一家服務商補上這些缺口，而不是在馬來西亞另建安全團隊。

馬來西亞的網絡安全服務通常包括哪些內容？

馬來西亞服務商賣的基本組件和其他市場一樣，只是打包方式不同。比較報價時，把每份報價對照下面這張清單，才能做到同類比較。

身份與 Microsoft 365 加固。 所有帳戶啓用 MFA、配置條件訪問、複核管理員角色、阻止舊式身份驗證、管控郵件轉發規則。對一個以 Microsoft 365 為核心的辦公室來說，大部分真實風險都在這裡。
安全審計或評估。 一次性檢查，輸出問題清單和整改計劃。既可作為起點基線，也可作為向集團董事會或監管機構說明情況的證據。
終端防護。 每台手提電腦都要有防病毒或 EDR、磁盤加密、螢幕鎖定，並通過 Intune 或同類工具檢查設備合規狀態。
郵件安全。 郵件過濾、防冒充保護，以及所有域名（包括子公司的 .com.my 域名）的 SPF、DKIM 和 DMARC 配置。
漏洞掃描與補丁管理。 定期掃描設備和對外服務，按計劃打補丁，例外情況有記錄可查。
安全意識培訓。 簡短、持續的培訓和釣魚演練。
監控與響應（SOC、MDR、SIEM）。 有人收集日誌和告警、判斷哪些重要並採取行動，最好全天候。
備份與恢復。 Microsoft 365 數據備份到租戶之外，並定期做恢復測試。
安全治理（vCISO）。 制度、風險登記冊、向集團彙報，以及在客戶或監管機構發來問卷時提供支援。

所謂馬來西亞雲安全服務，大多就是把第一、第四和第八項用在雲端租戶上，而不是機房。對於沒有服務器的辦公室，"雲安全"和"Microsoft 365 安全"基本是同一回事。

2026 年馬來西亞法律對吉隆坡辦公室有什麼要求？

本節是供 IT 規劃參考的實務摘要，依據 2026 年 10 月 31 日查閱的官方資料整理，不構成法律意見。具體適用情況請向馬來西亞律師確認。

2024 年修訂後的 PDPA

馬來西亞《2010年個人資料保護法》（第 709 號法令）經《2024年個人資料保護（修訂）法》（Act A1727）修訂，相關條文在 2025 年分階段生效。對 IT 團隊影響最大的幾點：

數據洩露通報。 新增第 12B 條：資料控制者有理由相信發生個人資料洩露時，須在切實可行範圍內儘快通報個人資料保護專員；如洩露可能對當事人造成重大損害，還須及時通知受影響的個人，不得無故拖延。專員發佈的數據洩露通報指引與通告把實際期限定為知悉洩露後 72 小時；專員的通報系統用戶手冊註明這項義務自 2025 年 6 月 1 日起生效。
數據保護官。 新增第 12A 條：資料控制者和資料處理者都須委任數據保護官（DPO）並通知專員。專員已發佈DPO 委任指引。
資料處理者直接受安全原則約束。 如果 IT 服務商代你處理個人資料，它現在負有自己的安全義務，最高罰則提高到 100 萬令吉、三年以下監禁或兩者並處。
跨境轉移。 修訂取消了原來由部長公佈白名單的做法，改為專員在跨境轉移指引中說明的條件。如果吉隆坡子公司的數據放在馬來西亞境外的集團租戶或監控平台上，這一點就和你有關。

這對安全服務意味著什麼：72 小時是硬性的運營要求。你需要在幾天之內而不是幾周之內發現洩露、判斷是否涉及個人資料，並把事實交給負責通報的人。一家沒法在一天內告訴你某個郵箱發生了什麼的服務商，會讓你很難趕上期限。好的安全服務可以幫助你履行這些義務，但任何服務都不能免除你的義務。

《2024年網絡安全法》

《2024年網絡安全法》（第 854 號法令）於 2024 年 6 月 26 日在憲報刊登，2024 年 8 月 26 日起實施，由國家網絡安全局（NACSA）執行，主要針對由各行業牽頭機構指定的國家關鍵資訊基礎設施（NCII）實體。被指定的實體要按照 2024 年的配套條例承擔風險評估、審計和事件通報等義務。

對中型辦公室來說，有兩點比較實際：

大多數六七十人的子公司不會被指定為 NCII 實體。 如果被指定，你會收到行業牽頭機構的通知。但如果你的客戶是 NCII 實體，合同裡很可能會出現安全條款，把部分要求傳導到你身上。
服務商需持牌。 根據NACSA 的牌照常見問題，在馬來西亞提供安全運營中心監控和滲透測試服務的服務商須持有 NACSA 牌照，豁免情形包括系統位於馬來西亞境外等。NCII 實體採購這兩類服務時必須使用持牌服務商。無論你是否屬於 NCII，向提供 SOC 監控或滲透測試的服務商問一句牌照情況都是合理的。

如果馬來西亞實體本身持牌

如果吉隆坡實體本身持有馬來西亞國家銀行（Bank Negara Malaysia）的牌照或批准，國家銀行的《技術風險管理》（RMiT）政策文件也可能適用。本文假設的是一家在馬來西亞不持牌的後台子公司。即便如此，香港監管機構對集團的要求仍可能通過集團政策延伸到子公司。

不同類型的服務商怎麼比？

在馬來西亞提供網絡安全服務的服務商有好幾類。下面按類型比較，不點名。

香港集團 IT 遠程兼顧。 額外成本最低，政策最一致。弱點在覆蓋：夜間沒人看告警，吉隆坡沒有人到場，安全工作還要和服務台工單搶時間。
本地安全專業公司或安全服務提供商（MSSP）。 SOC 監控、滲透測試和事件響應能力強，但通常不碰日常 IT，告警指向的補丁和條件訪問策略還得另外有人去改。
全球 SOC 或 MDR 廠商。 工具成熟、分析師全天候在線。一般按終端計價並有最低數量，更適合大型環境；在你的租戶裡實際整改，往往仍要你自己來。
在同一份區域合同裡提供安全服務的管理型IT外判服務商。 同一團隊負責服務台、設備和安全基線，發現問題後可以直接修復，不需要轉手。要核實它的監控與響應做到多深，以及在吉隆坡有沒有自己的人。

對六七十人的辦公室來說，關鍵問題通常不是"誰的 SOC 最強"，而是"誰來關閉發現的問題"。一份滿是告警卻沒人整改的月報，並不會降低風險。

六七十人的辦公室應先買哪些服務？

順序很重要。以下是前 90 天比較合理的推進順序，圍繞 Microsoft 365 辦公室真正面對的風險來排：

給租戶做基線。 先做一次 Microsoft 365 安全審計，弄清哪些帳戶沒有 MFA、哪些管理員長期持有特權、哪些郵箱把郵件轉發到公司以外。其餘工作都按這份清單來排。
補上身份缺口。 對所有帳戶強制 MFA，包括吉隆坡同事登入的"共用"郵箱；阻止舊式身份驗證；複核管理員角色。
把設備納入管理。 每台手提電腦加密並註冊，部署終端防護，設定補丁分批推送。
修好郵件。 為每個發信域名配置 SPF、DKIM 和 DMARC，併為最容易被冒充的人開啓防冒充保護。
寫好 72 小時處置手冊。 誰發現、誰判斷是否涉及個人資料、誰起草 PDPA 通報、誰通知香港。寫具體的人名，而不是部門名。
培訓員工。 開始定期的安全意識培訓和釣魚演練，使用員工實際使用的語言。
決定監控方式。 基礎做好以後，再決定是否需要 7×24 小時 SOC 或 MDR，還是工作時間監控加高危告警就足夠。
備份 Microsoft 365。 確保郵件、OneDrive 和 SharePoint 數據可以獨立於租戶恢復。

馬來西亞網絡安全服務要花多少錢？

我們不能替其他服務商報價，也沒有公佈馬來西亞專用的安全價目表。能提供的是 Brocent 自己公開的美元價格，作為參考：

Microsoft 365 安全審計： 按人數定價、一次性收費。26–75 名用戶 US$1,800，76–150 名用戶 US$2,900，5–7 個工作日交付。報告的設計用途是作為提交董事會、客戶或保險公司的證據。範圍詳見 Microsoft 365 安全審計頁面。
按月附加服務（參考價）： 安全入門套餐每月 US$399，漏洞掃描每月 US$150，安全意識培訓每用戶每月 US$2.50，補丁管理每終端每月 US$3。
按範圍報價： MDR/EDR、SOC 監控和 vCISO。

這些附加服務價格在我們的安全服務價格頁面上標註為參考價，請當作參考而非正式報價。僅做算術示例：一個 70 人、75 台手提電腦的辦公室，安全意識培訓按每用戶 US$2.50 計為每月 US$175，補丁管理按每終端 US$3 計為每月 US$225。

任何報價中影響價格的因素：

覆蓋時段。 7×24 小時監控的費用是工作時間告警的數倍，因為夜裡必須有人值守。
只檢測，還是也響應。 問清楚價格是否包括在你的租戶裡處理告警，還是隻負責通知你。
數據量。 SIEM 往往按日誌量計價，要先知道你會送多少日誌。
語言與上門。 能派人到吉隆坡辦公室、能用英語、馬來語或普通話和員工溝通的服務商，成本會高於純遠程服務。

香港、吉隆坡和服務商各負責什麼？

對於有遠程子公司的集團，一張簡短的書面職責表能避免大部分安全事故。適合這類辦公室的分工如下：

香港集團 IT 保留： Microsoft 365 租戶設計、條件訪問策略、安全基線、集團風險登記冊，以及是否向監管機構報告的決定。
吉隆坡辦公室保留： 一位指定的本地安全事件聯繫人、本地數據清單（哪些系統存有馬來西亞個人資料），以及 DPO 職責或與 DPO 的對接。
服務商負責： 告警分診和首次響應、補丁和掃描、設備合規、安全意識培訓、月度報告，以及事件發生時的證據收集。

把"凌晨兩點帳戶被盜用時打給誰"寫下來。如果答案取決於香港某個人有沒有看郵件，72 小時的時鐘已經在冒風險了。

選擇馬來西亞安全服務商時應該問什麼？

夜間和白天，誰在我們的 Microsoft 365 租戶裡處理告警，多長時間內處理？
你們提供的 SOC 監控或滲透測試是否持有 NACSA 牌照，還是適用豁免，原因是什麼？
我們的日誌和告警數據存放在哪裡？是否構成需要按 PDPA 評估的跨境轉移？
懷疑發生洩露後的 24 小時內，你們會交給我們哪些資訊，讓我們能決定是否作 PDPA 通報？
你們是否也代我們處理個人資料？作為資料處理者，你們如何履行自己的安全原則義務？
你們能否派人到吉隆坡辦公室？團隊使用哪些語言？
月度報告展示的是告警數量，還是已關閉的問題？

Brocent 能做什麼？

Brocent 的馬來西亞頁面說明：通過馬來西亞實體在吉隆坡設有服務衛星站點，直接支援巴生谷，並統籌檳城、新山和賽城的覆蓋；團隊使用英語、馬來語和普通話；對服務區域內的 P1、P2 事件承諾 4 小時上門響應。吉隆坡工作時間結束後，由新加坡和香港按跟隨太陽（follow-the-sun）模式接手升級處理。詳見馬來西亞 IT 支援。

安全方面，管理型IT安全服務把安全基線、設備、郵件和補丁作為日常運維的一部分；安全運營中心（SOC）服務提供 7×24 小時監控、檢測與響應，按範圍報價。對由香港管理的集團來說，實際好處是服務台和安全工作由同一份合同、同一個團隊負責，吉隆坡發現的問題會變成一張關閉的工單，而不是一串郵件。