马来西亚网络安全服务：服务商类型与服务范围（2026）

简短回答： 对一个六七十人的吉隆坡办公室来说，马来西亚网络安全服务通常包括六项：Microsoft 365 与身份安全基线、终端防护、邮件安全、补丁与漏洞扫描、员工安全意识培训，以及有人负责看告警。马来西亚修订后的《个人资料保护法》（PDPA）自 2025 年 6 月 1 日起要求发生数据泄露时向个人资料保护专员通报，专员指引给出的期限是 72 小时。先把安全基线和泄露处置流程做好，再决定是否需要 7×24 小时安全运营中心（SOC）。

这篇指南写给谁？

本文写给区域集团的总部一方：负责马来西亚子公司安全、但本人不在吉隆坡的香港区域 COO 或集团 IT 负责人。文中讨论的办公室有几十到一百名员工，日常使用 Microsoft 365 和一两套云端业务系统，本地没有专职安全人员。

如果办公室还在筹建阶段，请先读我们的吉隆坡管理型IT外包服务与新办公室开办指南，那篇讲的是线路、Wi-Fi、设备和上门费率。本文接着往下讲：办公室运转起来以后，"安全"具体应该包括什么。

示例场景（虚构的综合案例，并非真实客户）： 一家香港保险经纪与财富管理集团在吉隆坡设有一家 70 人的后台与客服子公司。员工使用 Microsoft 365，以及一套存放客户联系方式和保单资料的云端 CRM。香港四人 IT 团队远程管理租户。马来西亚没有人负责安全；香港用户已强制多重身份验证（MFA），但吉隆坡几个"共用"邮箱被设了例外；集团的泄露处置流程只写了向香港监管机构报告。集团希望找一家服务商补上这些缺口，而不是在马来西亚另建安全团队。

马来西亚的网络安全服务通常包括哪些内容？

马来西亚服务商卖的基本组件和其他市场一样，只是打包方式不同。比较报价时，把每份报价对照下面这张清单，才能做到同类比较。

• 身份与 Microsoft 365 加固。 所有账户启用 MFA、配置条件访问、复核管理员角色、阻止旧式身份验证、管控邮件转发规则。对一个以 Microsoft 365 为核心的办公室来说，大部分真实风险都在这里。
• 安全审计或评估。 一次性检查，输出问题清单和整改计划。既可作为起点基线，也可作为向集团董事会或监管机构说明情况的证据。
• 终端防护。 每台笔记本电脑都要有防病毒或 EDR、磁盘加密、屏幕锁定，并通过 Intune 或同类工具检查设备合规状态。
• 邮件安全。 邮件过滤、防冒充保护，以及所有域名（包括子公司的 .com.my 域名）的 SPF、DKIM 和 DMARC 配置。
• 漏洞扫描与补丁管理。 定期扫描设备和对外服务，按计划打补丁，例外情况有记录可查。
• 安全意识培训。 简短、持续的培训和钓鱼演练。
• 监控与响应（SOC、MDR、SIEM）。 有人收集日志和告警、判断哪些重要并采取行动，最好全天候。
• 备份与恢复。 Microsoft 365 数据备份到租户之外，并定期做恢复测试。
• 安全治理（vCISO）。 制度、风险登记册、向集团汇报，以及在客户或监管机构发来问卷时提供支持。

所谓马来西亚云安全服务，大多就是把第一、第四和第八项用在云端租户上，而不是机房。对于没有服务器的办公室，"云安全"和"Microsoft 365 安全"基本是同一回事。

2026 年马来西亚法律对吉隆坡办公室有什么要求？

本节是供 IT 规划参考的实务摘要，依据 2026 年 10 月 31 日查阅的官方资料整理，不构成法律意见。具体适用情况请向马来西亚律师确认。

2024 年修订后的 PDPA

马来西亚《2010年个人资料保护法》（第 709 号法令）经《2024年个人资料保护（修订）法》（Act A1727）修订，相关条文在 2025 年分阶段生效。对 IT 团队影响最大的几点：

• 数据泄露通报。 新增第 12B 条：资料控制者有理由相信发生个人资料泄露时，须在切实可行范围内尽快通报个人资料保护专员；如泄露可能对当事人造成重大损害，还须及时通知受影响的个人，不得无故拖延。专员发布的数据泄露通报指引与通告把实际期限定为知悉泄露后 72 小时；专员的通报系统用户手册注明这项义务自 2025 年 6 月 1 日起生效。
• 数据保护官。 新增第 12A 条：资料控制者和资料处理者都须委任数据保护官（DPO）并通知专员。专员已发布DPO 委任指引。
• 资料处理者直接受安全原则约束。 如果 IT 服务商代你处理个人资料，它现在负有自己的安全义务，最高罚则提高到 100 万令吉、三年以下监禁或两者并处。
• 跨境转移。 修订取消了原来由部长公布白名单的做法，改为专员在跨境转移指引中说明的条件。如果吉隆坡子公司的数据放在马来西亚境外的集团租户或监控平台上，这一点就和你有关。

这对安全服务意味着什么：72 小时是硬性的运营要求。你需要在几天之内而不是几周之内发现泄露、判断是否涉及个人资料，并把事实交给负责通报的人。一家没法在一天内告诉你某个邮箱发生了什么的服务商，会让你很难赶上期限。好的安全服务可以帮助你履行这些义务，但任何服务都不能免除你的义务。

《2024年网络安全法》

《2024年网络安全法》（第 854 号法令）于 2024 年 6 月 26 日在宪报刊登，2024 年 8 月 26 日起实施，由国家网络安全局（NACSA）执行，主要针对由各行业牵头机构指定的国家关键信息基础设施（NCII）实体。被指定的实体要按照 2024 年的配套条例承担风险评估、审计和事件通报等义务。

对中型办公室来说，有两点比较实际：

• 大多数六七十人的子公司不会被指定为 NCII 实体。 如果被指定，你会收到行业牵头机构的通知。但如果你的客户是 NCII 实体，合同里很可能会出现安全条款，把部分要求传导到你身上。
• 服务商需持牌。 根据NACSA 的牌照常见问题，在马来西亚提供安全运营中心监控和渗透测试服务的服务商须持有 NACSA 牌照，豁免情形包括系统位于马来西亚境外等。NCII 实体采购这两类服务时必须使用持牌服务商。无论你是否属于 NCII，向提供 SOC 监控或渗透测试的服务商问一句牌照情况都是合理的。

如果马来西亚实体本身持牌

如果吉隆坡实体本身持有马来西亚国家银行（Bank Negara Malaysia）的牌照或批准，国家银行的《技术风险管理》（RMiT）政策文件也可能适用。本文假设的是一家在马来西亚不持牌的后台子公司。即便如此，香港监管机构对集团的要求仍可能通过集团政策延伸到子公司。

不同类型的服务商怎么比？

在马来西亚提供网络安全服务的服务商有好几类。下面按类型比较，不点名。

• 香港集团 IT 远程兼顾。 额外成本最低，政策最一致。弱点在覆盖：夜间没人看告警，吉隆坡没有人到场，安全工作还要和服务台工单抢时间。
• 本地安全专业公司或安全服务提供商（MSSP）。 SOC 监控、渗透测试和事件响应能力强，但通常不碰日常 IT，告警指向的补丁和条件访问策略还得另外有人去改。
• 全球 SOC 或 MDR 厂商。 工具成熟、分析师全天候在线。一般按终端计价并有最低数量，更适合大型环境；在你的租户里实际整改，往往仍要你自己来。
• 在同一份区域合同里提供安全服务的管理型IT外包服务商。 同一团队负责服务台、设备和安全基线，发现问题后可以直接修复，不需要转手。要核实它的监控与响应做到多深，以及在吉隆坡有没有自己的人。

对六七十人的办公室来说，关键问题通常不是"谁的 SOC 最强"，而是"谁来关闭发现的问题"。一份满是告警却没人整改的月报，并不会降低风险。

六七十人的办公室应先买哪些服务？

顺序很重要。以下是前 90 天比较合理的推进顺序，围绕 Microsoft 365 办公室真正面对的风险来排：

1. 给租户做基线。 先做一次 Microsoft 365 安全审计，弄清哪些账户没有 MFA、哪些管理员长期持有特权、哪些邮箱把邮件转发到公司以外。其余工作都按这份清单来排。
2. 补上身份缺口。 对所有账户强制 MFA，包括吉隆坡同事登录的"共用"邮箱；阻止旧式身份验证；复核管理员角色。
3. 把设备纳入管理。 每台笔记本电脑加密并注册，部署终端防护，设置补丁分批推送。
4. 修好邮件。 为每个发信域名配置 SPF、DKIM 和 DMARC，并为最容易被冒充的人开启防冒充保护。
5. 写好 72 小时处置手册。 谁发现、谁判断是否涉及个人资料、谁起草 PDPA 通报、谁通知香港。写具体的人名，而不是部门名。
6. 培训员工。 开始定期的安全意识培训和钓鱼演练，使用员工实际使用的语言。
7. 决定监控方式。 基础做好以后，再决定是否需要 7×24 小时 SOC 或 MDR，还是工作时间监控加高危告警就足够。
8. 备份 Microsoft 365。 确保邮件、OneDrive 和 SharePoint 数据可以独立于租户恢复。

马来西亚网络安全服务要花多少钱？

我们不能替其他服务商报价，也没有公布马来西亚专用的安全价目表。能提供的是 Brocent 自己公开的美元价格，作为参考：

• Microsoft 365 安全审计： 按人数定价、一次性收费。26–75 名用户 US$1,800，76–150 名用户 US$2,900，5–7 个工作日交付。报告的设计用途是作为提交董事会、客户或保险公司的证据。范围详见 Microsoft 365 安全审计页面。
• 按月附加服务（参考价）： 安全入门套餐每月 US$399，漏洞扫描每月 US$150，安全意识培训每用户每月 US$2.50，补丁管理每终端每月 US$3。
• 按范围报价： MDR/EDR、SOC 监控和 vCISO。

这些附加服务价格在我们的安全服务价格页面上标注为参考价，请当作参考而非正式报价。仅做算术示例：一个 70 人、75 台笔记本电脑的办公室，安全意识培训按每用户 US$2.50 计为每月 US$175，补丁管理按每终端 US$3 计为每月 US$225。

任何报价中影响价格的因素：

• 覆盖时段。 7×24 小时监控的费用是工作时间告警的数倍，因为夜里必须有人值守。
• 只检测，还是也响应。 问清楚价格是否包括在你的租户里处理告警，还是只负责通知你。
• 数据量。 SIEM 往往按日志量计价，要先知道你会送多少日志。
• 语言与上门。 能派人到吉隆坡办公室、能用英语、马来语或普通话和员工沟通的服务商，成本会高于纯远程服务。

香港、吉隆坡和服务商各负责什么？

对于有远程子公司的集团，一张简短的书面职责表能避免大部分安全事故。适合这类办公室的分工如下：

• 香港集团 IT 保留： Microsoft 365 租户设计、条件访问策略、安全基线、集团风险登记册，以及是否向监管机构报告的决定。
• 吉隆坡办公室保留： 一位指定的本地安全事件联系人、本地数据清单（哪些系统存有马来西亚个人资料），以及 DPO 职责或与 DPO 的对接。
• 服务商负责： 告警分诊和首次响应、补丁和扫描、设备合规、安全意识培训、月度报告，以及事件发生时的证据收集。

把"凌晨两点账户被盗用时打给谁"写下来。如果答案取决于香港某个人有没有看邮件，72 小时的时钟已经在冒风险了。

选择马来西亚安全服务商时应该问什么？

• 夜间和白天，谁在我们的 Microsoft 365 租户里处理告警，多长时间内处理？
• 你们提供的 SOC 监控或渗透测试是否持有 NACSA 牌照，还是适用豁免，原因是什么？
• 我们的日志和告警数据存放在哪里？是否构成需要按 PDPA 评估的跨境转移？
• 怀疑发生泄露后的 24 小时内，你们会交给我们哪些信息，让我们能决定是否作 PDPA 通报？
• 你们是否也代我们处理个人资料？作为资料处理者，你们如何履行自己的安全原则义务？
• 你们能否派人到吉隆坡办公室？团队使用哪些语言？
• 月度报告展示的是告警数量，还是已关闭的问题？

Brocent 能做什么？

Brocent 的马来西亚页面说明：通过马来西亚实体在吉隆坡设有服务卫星站点，直接支持巴生谷，并统筹槟城、新山和赛城的覆盖；团队使用英语、马来语和普通话；对服务区域内的 P1、P2 事件承诺 4 小时上门响应。吉隆坡工作时间结束后，由新加坡和香港按跟随太阳（follow-the-sun）模式接手升级处理。详见马来西亚 IT 支持。

安全方面，管理型IT安全服务把安全基线、设备、邮件和补丁作为日常运维的一部分；安全运营中心（SOC）服务提供 7×24 小时监控、检测与响应，按范围报价。对由香港管理的集团来说，实际好处是服务台和安全工作由同一份合同、同一个团队负责，吉隆坡发现的问题会变成一张关闭的工单，而不是一串邮件。

常见问题

马来西亚的网络安全服务具体指什么？

一组保护组织身份、设备、邮件和数据安全，并在出事时进行响应的服务：Microsoft 365 加固、终端防护、邮件安全、补丁与扫描、安全意识培训、监控与响应、备份和安全治理。大多数办公室按这个优先顺序选购其中一部分。

吉隆坡的小办公室需要 7×24 小时 SOC 吗？

不一定。一个六七十人的办公室，如果身份基线干净、设备受管、邮件安全到位，工作时间监控加高危告警可能就够了。如果持有敏感客户资料、客户有要求，或者夜间出事代价很高，7×24 小时 SOC 才更有必要。先做好基线再决定。

马来西亚 PDPA 的泄露通报期限是多少？

修订后 PDPA 第 12B 条要求资料控制者在切实可行范围内尽快通报个人资料保护专员，专员指引把期限定为知悉泄露后 72 小时；如可能造成重大损害，还须及时通知受影响的个人。这项义务自 2025 年 6 月 1 日起适用。具体请向律师确认。

《2024年网络安全法》适用于我们的办公室吗？

它的主要义务针对被行业牵头机构指定为 NCII 的实体，大多数中型子公司不在其列。它的牌照规定也影响在马来西亚提供 SOC 监控和渗透测试的服务商。如果你为 NCII 实体供货或提供服务，合同里可能会有相关条款。

香港 IT 团队能远程负责吉隆坡的安全吗？

政策和租户设计可以。全天候告警处理、现场工作和本地事件协调就比较难。多数集团把政策留在香港，把监控、补丁和首次响应交给在马来西亚有工作时段覆盖和本地人员的服务商。

70 人办公室做一次 Microsoft 365 安全审计要多少钱？

按 Brocent 公开价格，26–75 名用户一次性 US$1,800，5–7 个工作日交付；超过 75 人、150 人以内为 US$2,900。

服务商能单独让我们满足 PDPA 要求吗？

不能。资料控制者的义务不会转移给服务商。好的服务商能帮助你履行这些义务：保护数据安全、足够快地提供事实让你按时通报，并记录它作为资料处理者所做的工作。

下一步

先做基线：审计 Microsoft 365 租户、补上身份缺口、把设备纳入管理，并在选择监控级别之前写好 72 小时处置手册。如果希望 Brocent 顾问为你的吉隆坡办公室评估范围，请获取马来西亚报价，并说明你已经具备哪些服务。