香港 IT 安全審計：範圍、費用與交付物

簡短回答：香港企業做 IT 安全審計，是對系統、帳號、設備和流程的實際配置做一次有證據支援的結構化審查，對照既定基線檢查，最後交付一份按風險排序的書面報告和補救路線圖。它不同於漏洞掃描（自動化、範圍窄）、滲透測試（嘗試攻入系統）和一般的 IT 評估（範圍更寬、證據要求較低）。費用主要取決於人數、場所數量、審計範圍，以及你能提供多少證據。對 IT 用戶少於 20 人的小企業，Brocent 在服務頁公佈了固定範圍的基礎審計價格；規模更大或需要定期審計的項目則按範圍報價。你需要哪一種，取決於是誰在要求：保險公司、做盡職調查的客戶，還是私隱檢查。

什麼是 IT 安全審計？它和人們常說的其他服務有什麼區別？

下面四個詞在銷售溝通中常被混用。比較報價之前先分清楚，因為針對其中一項的報價，並不能拿來和另一項的報價對比。

IT 安全審計：對照基線檢查控制措施的結構化審查。涵蓋身份與認證、訪問權限、終端、資產、補丁、備份、軟件管控、移動設備，也常包括郵件和網絡設定。產出是一份按風險排序的書面報告和路線圖。主要工作是配置與證據的審查，加上訪談。
漏洞掃描：用自動化工具列出所能觸及系統上的已知弱點。快而便宜，但不會檢查離職流程是否有效，也不會檢查備份能否還原。兩者的區別見漏洞管理與滲透測試的區別。
滲透測試：由人在約定範圍內嘗試攻入，並報告哪些方法奏效。它測試攻擊者能走多遠；審計則檢查控制措施一開始是否到位。同樣的對比放在 Microsoft 365 一個平台上，請讀滲透測試與 Microsoft 365 安全審計的區別。
IT 評估：最寬泛也最輕量的說法。可能涵蓋架構、成本、風險和策略，不一定有證據支撐。有些服務商把“評估”和“審計”混著用，請問清楚各自收集什麼證據。

一個實用的檢驗：如果報價沒有寫明會收集哪些證據（導出的清單、截圖、掃描結果、訪談），你買到的就是一份意見，而不是審計。

安全審計到底檢查什麼？

範圍各有不同，但香港中小企業的基礎審計通常涵蓋下列領域，以下內容依據 Brocent 中小企業項目審計的公開範圍。

用戶帳號與認證：帳號清單、入職與離職、休眠帳號、多因素認證、特權帳號和服務帳號、條件訪問。
訪問權限：基於角色的訪問控制、文件共享與協作平台權限、羣組成員、訪客與外部用戶訪問、關鍵職能的職責分離。
終端安全：終端防護部署與狀態、設備合規策略、防毒軟件更新狀態、防火牆設定。
IT 資產管理：硬件、軟件和雲許可證清單、歸屬、生命週期、處置流程。
補丁與漏洞：操作系統和應用補丁狀態、掃描與補救流程、補丁策略。
備份與恢復：覆蓋範圍、頻率、保留期、還原測試，以及不可變或隔離副本等勒索軟件抗禦能力。
軟件管控：審批流程、影子 IT、許可證合規。
移動設備安全：公司設備和私人設備的策略、遠程擦除、加密、密碼要求。
常作為附加項：網絡與 Wi-Fi 安全、郵件認證（SPF、DKIM、DMARC）、日誌與監控、實體訪問、安全意識培訓、事件響應計劃，以及對照 PDPO 或 ISO 27001 等框架的差距分析。

如果你使用 Microsoft 365，身份、訪問、郵件和終端這幾個領域會與 Microsoft 365 安全審計重疊。那是另一條產品線，有自己的費用和示例報告，本文不重複，請看 Microsoft 365 安全審計費用和報告示例解讀。

最後能拿到什麼？交付物示例

簽約之前先要求看交付物。一份有用的審計會交付：

1. 一份書面報告。發現按風險排序，每項附上證據、涉及的系統和建議做法。Brocent 的中小企業審計會附帶一份按優先級排序的路線圖。

2. 一次彙報會議，與你的 IT 團隊和管理層一起，把發現講清楚，而不是隻交一份文件。

3. 一份補救清單，可以分派給負責人並訂下日期。

4. 可重複使用的證據。很多買家之後要回答問卷。記錄了檢查內容和時間的報告，比一句口頭的“沒問題”有用得多。

規模更大的項目會增加定期報告。Brocent 的審計目錄按審計類型設定頻率：例如信息安全審計每季度一次，滲透測試每半年或每年一次，日誌與活動審計每月一次。對中小企業，更常見的做法是先做一次基礎審計，之後每年複查一次。

香港做 IT 安全審計費用多少？

沒有統一價格，凡是對所有企業只報一個數字的文章都要小心。影響價格的因素：

IT 用戶和設備數量。帳號和終端越多，需要盤點和抽樣的就越多。
場所和系統數量。每多一個辦公室、機房或雲租戶，都會增加調研和訪談。
範圍。基礎範圍比加上網絡審查、郵件安全、事件響應審查和框架差距分析的範圍便宜。
證據是否齊備。如果能很快導出用戶清單、設備清單和策略設定，審計會更快；如果信息都在員工腦子裡，審計師就得自己重建。
測試深度。工具掃描、訪談和任何滲透測試都會增加工作量。
補救協助。只做審計，還是審計加上動手修復。

作為小企業的參考，Brocent 的“IT 評估與審計”頁面為 IT 用戶少於 20 人的機構公佈了三檔固定價格：基礎審計涵蓋上述八個基線領域；綜合審計在此之上加入 Microsoft 365 Secure Score 審查、郵件安全、基礎網絡與 Wi-Fi 審查、事件響應計劃審查，以及 PDPO 或 ISO 27001 差距分析；高級檔另含審計後的顧問時間。頁面上的工作量估算為 50 至 80 小時的資深顧問和支援人員時間，包括掃描、訪談和撰寫報告。本文撰寫時（2026 年 11 月），基礎審計起價為 3,800 美元。這是在 Brocent 各市場統一顯示的參考價格，最終報價可能因市場而異；如價格有變，請以專業服務定價頁的現行數字為準。企業級和定期項目另行報價。

比較任何兩份報價時，請把它們按同一份清單對齊：涵蓋的用戶數、場所、範圍內的領域、收集的證據、交付物，以及是否包含補救。

你需要哪一種審計？按觸發原因來選

先弄清楚是誰在要求，以及為什麼。

保險公司在續保時的問卷。保險公司要看特定控制措施的證據，如多因素認證、備份測試和終端防護。一份記錄每項控制的基礎審計報告最合適。如果你的環境是 Microsoft 365，請先讀香港網絡保險續保的要求。
客戶或供應商做盡職調查。他們發來安全問卷，或要求提供近期評估。同樣適合做基礎審計，報告（去除敏感細節後）可以拿來分享。
私隱檢查。如果你關心的是香港《個人資料（私隱）條例》（PDPO），審計範圍就要包含數據處理、保留、訪問控制和外判，並且常常要把 PDPO 差距分析作為附加項。審計可以為私隱檢查提供依據，但不能取代法律意見。
受監管機構的期望。持牌金融機構可能被監管機構或客戶要求做特定測試。選範圍之前，先確認你自己的監管機構有什麼期望；可參考金管局對支付公司滲透測試的要求這個例子。
事故或險情之後。審計告訴你控制措施的缺口在哪裡，但不是事件響應。如果已經出事，先處理事件。
你根本不清楚自己的基線。基礎審計是最省錢的摸底方式。

怎樣準備，才能花得少、查得多？

1. 指定一位負責人，能回答問題並授予訪問權限。

2. 收集現有的清單：用戶清單、設備清單、軟件和許可證清單、網絡圖、備份計劃。

3. 寫下你的制度，哪怕只是非正式的：入職、調職、離職的步驟，密碼規則，軟件如何審批。

4. 決定審計師需要的只讀訪問權限，並書面約定哪些會碰、哪些不會碰。

5. 開工前約定時間表和彙報會議。

6. 清楚你對照的是什麼：既定基線、保險公司的清單，或某個框架。沒有對照標準，發現就只是意見。

核心項目之外還有哪些審計？

核心項目是為中小型團隊設定的範圍。對規模更大或監管要求更高的機構，Brocent 公佈的審計目錄列出 7 個類別共 17 項審計服務，每項都寫明瞭頻率、交付物和適用行業。

以安全類為例：信息安全審計按季度進行，涵蓋終端防護、遠程訪問與 VPN、多因素認證覆蓋率，以及密碼和共用帳號的管理；滲透測試與漏洞評估為每半年或每年一次；日誌與活動審計按月進行，適合需要持續瞭解誰訪問或轉移了數據的機構；數據保護與隱私審計列為每半年一次，涵蓋數據分類、加密策略、對外共享與公開鏈接權限，以及備份與恢復。

每項服務都以書面報告收尾，合規類審計還會附上差距分析和補救路線圖。你不需要全部都做。實際的問題是哪種週期與你的風險相匹配：多數規模較小的團隊先做核心審計，再針對第一份報告中缺口最多的領域增加定期審計。完整目錄見IT 評估與審計服務頁面。由於每一項都寫明了交付物，你可以在確定範圍之前，先對照保險公司、客戶或監管機構的要求，看看自己會拿到什麼。

怎樣選擇服務商？

像對待任何安全採購一樣嚴格。問清楚實際由誰執行工作、他們持有什麼認證；索要一份已去除敏感信息的示例報告；確認範圍已經書面寫明；確認對方沒有會影響獨立判斷的商業利益（例如既審計你的環境、又向你銷售同一環境的服務）；並確保合約涵蓋保密，以及你的數據如何處理。需要更完整的清單，可以讀如何選擇香港的網絡安全服務商，其中講了合約條款、需要警惕的信號和費用預期。

常見問題

IT 安全審計和滲透測試是一回事嗎？

不是。審計用證據和訪談檢查控制措施是否到位、配置是否正確；滲透測試是在約定範圍內嘗試攻入。兩者回答的是不同的問題，常常一起購買。

審計要多久？

取決於規模和範圍。Brocent 的中小企業審計估算為 50 至 80 小時的顧問和支援人員工作量，落到日曆上要看你提供證據和訪問權限的速度。

應該多久審計一次？

先做一次基線審計，之後至少每年一次，或在重大變更之後。Brocent 的目錄對特定審計類型建議更高的頻率，例如信息安全每季度一次，敏感環境的日誌審查每月一次。

審計能滿足保險公司嗎？

它提供保險公司所問控制措施的證據，但每家保險公司的要求各不相同。請先讀問卷，確認審計範圍涵蓋其中每一項控制。

我還需要單獨的 Microsoft 365 審計嗎？

Microsoft 365 的身份、訪問、郵件和終端設定已在上述基線領域內，但 Brocent 也提供有自己定價的專門 Microsoft 365 安全審計。請選定一個範圍，避免同樣的檢查付兩次錢。

審計會把問題修好嗎？

本身不會。報告會給發現排序並給出路線圖。修復要麼由你的團隊負責，要麼作為可選附加項，例如高級檔裡審計後的顧問時間。

這是 PDPO 的法律意見嗎？

不是。審計可以顯示個人資料如何處理、控制在哪裡薄弱，但 PDPO 下的法律義務應向律師確認。

下一步

先弄清楚是誰在要求、為什麼要求，列出必須納入範圍的領域，然後向每家服務商索要已去除敏感信息的示例報告，並按同一份清單報價。想了解 Brocent 的範圍和檔次，可以閱讀 IT 評估與審計服務頁和專業服務定價，也可以聯繫 Brocent 顧問，說明你需要通過的問卷或檢查。如果是 Microsoft 365 租戶，請看Microsoft 365 安全審計價格。如需持續防護，請看網絡安全服務。