大多數小型企業其實已在做部分 DIY 的網絡安全（資安）工作，即使這未必是任何人名義上的職責。 網絡安全（資安）外判 指把部分或全部這些工作委託予外間公司處理，範圍由安裝更新到監察可疑登入不等。這與購買可由自己執行的安全軟件不同。
什麼是網絡安全外判？
把網絡安全工作外判的企業會付費予外部服務供應商處理部分或全部保安工作，內容可包括監察告警、管理裝置與保安技術、執行漏洞掃描，以及應變事件回應。
大部分相關工作由兩類供應商提供：
- 一間託管服務供應商（託管服務供應商，MSP） 負責日常的 IT 工作，例如設定電腦、照看網絡及排解問題。對小型企業而言，透過 MSP 外判 IT 是常見做法。
- 一間託管安全服務供應商（託管安全服務供應商，MSSP） 則專注於資訊安全，提供例如威脅偵測、非辦公時間監控及事故應變等服務。
小型企業通常會選擇以下三種安排之一：
- DIY（內部處理／自行處理）即由自家員工負責所有保安工作，使用安全軟件並以自身時間處理。
- 外判保安 則由供應商（通常是 MSP 或 MSSP）代為處理。
- 一個 混合方案 將工作在 DIY 與外判之間分配。
你並不需要把所有保安都外判。企業可以只外判某一項任務，例如每年的安全檢查或在受攻擊後取得協助，其餘工作則由內部管理。
- 很多小型企業可透過安全軟件、為每項任務指派負責人及定期檢查，自行處理日常保護工作。
- 自行運行安全軟件並不一定需要僱用託管服務供應商。
- 託管安全服務供應商（MSSP）專注於資安，而託管服務供應商（MSP）主要照顧日常的 IT。
- 外判可帶來專業知識與持續監控，但企業仍須對存取權、員工培訓與客戶資料負最終責任。
- 外判價格通常視乎公司規模、裝置數量、服務範圍、支援需求以及 IT 架構的複雜度而定。
- 採用混合方案時，員工負責例行保安，而外部專家處理評估或重大事故。
小型企業可以自行管理網絡安全嗎？
很多小型企業在沒有專職保安人員的情況下自行管理電腦安全。對於配置簡單的環境（例如少量手提電腦、雲端電郵，且沒有本地伺服器）這個做法通常可行。
內部處理的網絡安全需要什麼？
要執行 DIY 的網絡安全，小型企業通常需要一位具備基礎技術知識的人、定期撥出時間處理保安工作、為每項任務指派負責人，以及能涵蓋公司所有裝置的安全軟件。
小團隊經常忽略第三點；若沒有專人負責，任務可能會遺漏。每項工作都需要有人負責，例如誰安裝更新、誰設定新帳戶、誰處理告警。
很多企業安全產品讓小團隊透過集中化的儀表板管理防護。這使檢查裝置安全、套用更新與管理設定更容易，無需逐項親手處理。
內部處理的網絡安全在哪些地方會不足？
DIY 的網絡安全可能在專業知識與覆蓋時間上不足。小團隊未必具備識別隱蔽攻擊或遏止勒索軟件的能力，而在夜間或周末出現的告警可能會被遺漏。
通常負責保安的人同時還做其他工作。如果他們休假時有告警，可能要幾天才被發現。此外，若發生嚴重事件，他們或許沒有能力找出攻擊者存取了什麼，以及需要向客戶或監管機構通報哪些資料。
小型企業可以在內部處理哪些網絡安全任務？
大部分小型企業可以自行處理日常的裝置保護、帳戶安全、員工的反魚叉式網絡釣魚（phishing）培訓，以及備份工作。這些任務通常有固定流程，且企業安全軟件可自動化大部分工作，從排程掃描到推送更新。
小型企業通常可透過以下四步覆蓋基本防護：
- 在每部電腦和手機上安裝 安全軟件（Small Office Security 試用連結）。它可阻擋已知惡意軟件、標示風險下載，並警示釣魚網站。亦要開啟自動更新。很多攻擊利用已被修補的已知漏洞。如果員工使用個人手機處理公司事務，需訂立哪些裝置可存取公司資料的政策。
- 為電郵、銀行和雲端應用啟用多因素認證（多因素認證，MFA）。即使密碼被盜，通常也不足以登入。按職務原則授予每位員工所需的存取權，離職時立即移除存取。每年進行一至兩次簡短的反釣魚復習課可幫助員工辨識常見威脅。
- 建立備份機制，並定期測試能否還原。至少保留一份離線或置於主網絡以外的位置，並每隔數月測試還原流程。然後撰寫一頁應變計劃，說明有人盜取手提電腦或發生勒索軟件時應致電誰、要斷開哪些連線，以及備份存放位置。
- 監察集中儀表板。很多企業安全解決方案提供可檢查裝置防護、管理更新及檢視保安告警的儀表板。定期檢查報告、失敗的更新及授權到期，但務必確保重要告警能即時被檢視，而不是等候每週例行檢查。
經業界領先測試實驗室獨立評測並獲獎。
外判網絡安全的利與弊是什麼？
外部供應商可帶來專業技能、額外的保安工具、減輕員工工作負擔，並提供由專業人員處理保安的安心感。缺點則包括對供應商的依賴、較少直接控制，以及合約覆蓋範圍可能出現的空隙。
託管安全服務供應商（MSSP）的分析員會處理來自多間機構的攻擊，可能識別內部人員未遇過的威脅。有些供應商更能提供持續監控及事故應變能力，這是小型企業難以自行維持的。因此，外判 IT 安全可減少雇用專責資安人員的需要。
但一旦將保安交由供應商處理，你便要依賴其人手、回應速度與決策，而不同供應商的服務質素會有差異。你亦需檢查合約，了解供應商覆蓋甚麼範圍。例如，替你管理手提電腦的供應商可能不包含儲存客戶資料的雲端帳戶。
以下比較內部處理的 IT 與外判：
|
比較項目 |
DIY（內部處理） |
外判 |
|
專業技能 |
限於員工現有知識 |
可視供應商而定取得資安專家支援 |
|
彈性 |
選擇時可改變工具或流程 |
更改可能需徵得供應商同意或更新合約 |
|
行政工作量 |
每週需撥出員工時間處理 |
減少例行工作，但需時間管理供應商 |
|
控制權 |
可直接控制設定與存取權 |
視合約條款而定為共享控制權 |
|
可用性 |
通常為辦公時間 |
可包括 24/7 監控，視乎方案而定 |
外判亦需要內部協調。貴公司須有能審閱供應商工作、批准重要保安決定，並在事故發生時協調回應的人員。
把網絡安全外判的成本與內部處理相比如何？
DIY 的網絡安全通常涉及軟件訂閱與員工工時，而外判則會加入供應商費用，但可減少內部工作量。哪個方案較省成本取決於企業規模、裝置數量、安全需求及包含的服務。
供應商通常按裝置或用戶收取每月費用，但即使兩間規模相若的公司，報價亦可能不同。只覆蓋更新與防毒的方案通常比包含 24/7 監控與事故應變的方案便宜。額外辦公室、遙距員工與本地伺服器亦會增加成本，因此一般價格表無法顯示小型企業真正的資安成本。
DIY 可節省供應商費，但員工投入於保安的時間亦有成本，因為那時間會從他們其他工作中扣減。
|
成本項目 |
DIY |
外判 |
|
經常性費用 |
安全軟件授權費 |
每月 MSP 或 MSSP 費用，通常按裝置或用戶計算 |
|
設定 |
員工安裝與設定所需時間 |
上線費，以及交接期間的員工時間 |
|
持續管理 |
員工用於更新、告警與檢查的工時 |
員工用於審閱報告與管理供應商的時間 |
|
事故應變 |
按需購買的專家協助 |
視合約而定可能已包含或另行計費 |
|
偶發的專家工作 |
按需購買的評估或審核 |
有時會列入，有時需額外付費 |
要公平比較兩者，先列出你需保護的項目，例如裝置、帳戶與資料。標記出員工可管理的任務，並為其餘任務取得報價。然後把一年期的軟件、員工工時與供應商費用加總，作出比較。
何時小型企業應該外判網絡安全？
當你的架構需要超出團隊可提供的技能或工時時，採用供應商會較合適。很多沒有專責 IT 人員的企業選擇把日常 IT 保安維持在內部處理。
哪些情況需要外部專家？
當公司的 IT 架構複雜、行業規例對特定安全控制有要求，或發生嚴重事件（例如 勒索軟件 或 資料外洩）需要專家協助遏止事態時，就較有可能需要外判。
例如，持有病人紀錄的醫務所或接受卡片付款的網店，可能須符合對安全控制、日誌記錄或測試的規定。在攻擊期間，事故應變專家可協助遏止破壞、保留證據，並查明被存取或被竊的資料。很多小團隊沒有這些技能，因此在遭攻擊時可能無法有效應對。
如何在內部處理與外判之間作出抉擇？
把團隊能處理的範圍與企業所需的技能與工時、行業規定及預算作比較。把員工能覆蓋的工作保留在內部，並就其餘項目索取報價。
問自己：
- 有沒有人員能配置安全軟件、閱讀告警，並察覺異常情況？
- 該員工是否每週能撥出幾小時專注處理保安，且不受其他工作干擾？
- 你是否自行管理伺服器、營運多個場地或有龐大遙距員工？
- 客戶、保險商或監管機構是否要求特定控制或定期測試？
- 供應商的費用是否比員工投入保安所需的時間更划算？
如果你的團隊擁有處理日常保安的技能與時間，DIY 可能已足夠。若只需要特定任務的協助，混合方式可在不簽訂全方位合約的情況下，補充專業知識。當保安需求持續超出團隊能力或可用性時，長期外判可能更合適。
小型企業範例
會計事務所
這間四人公司以手提電腦、雲端電郵及共享雲碟工作，沒有需要維護的伺服器。每位合夥人每週五花一小時檢查安全儀表板並確認上週備份是否完成。有了安全軟件與每個帳戶的 MFA，該事務所可能完全不需要外部協助。
建築師事務所
一間有 15 名員工的事務所運行自家檔案伺服器，多名建築師在家工作並遠端連接伺服器。例子中，辦公室經理負責每日檢查，但沒有人檢視員工是否以安全方式連接伺服器。專家可每年檢視一次設定，找出此類漏洞，而無需簽訂每月合約。
網上零售商
該零售商有 40 名員工、接受卡片付款並運行多個雲端系統。其安全軟件每日產生的告警比其兩人 IT 團隊能處理的還多，而且網店需全天候運作。這裡，為小型企業提供的託管網絡安全可能較實用，因為它能提供全職監控與事故應變。
小型企業可否把內部處理與外判結合？
小型企業可採用混合方案，由員工處理例行工作（例如更新、帳戶與備份），由外部專家處理團隊缺乏技能或時間的項目，例如監控或事故應變。
在簽約前，雙方要就各自分工達成共識。合約應列明供應商覆蓋哪些裝置與帳戶，以及哪些任務由員工保留。亦應說明遇到需升級處理的告警時由誰聯絡誰，以及供應商承諾的回應時間。
如果你已聘用 MSP，可按相同分工檢視合約。列出你所支付的服務並標記實際使用的項目，檢查員工本可自行處理而供應商未覆蓋的差距，例如員工手機或新裝置。亦應詢問供應商如何報告其外判的 IT 安全管理，讓你每月得見其工作成果。
延伸閱讀：
推薦產品：
FAQs
可否由內部做起，之後轉用託管服務？
可以。很多供應商會接手已自行管理保安的企業。最新的裝置、帳戶與安全設定清單可加快交接，但部分供應商或會要求更換現有工具。
如何判斷託管安全供應商是否履行職責？
把其報告與合約中的服務水平（例如約定回應時間）作核對。良好的報告會顯示已處理的告警、已套用的更新與已調查的事件。回應緩慢、摘要含糊或記錄中缺少裝置可能顯示服務有缺口。
外判後仍有哪些網絡安全責任留在貴公司？
貴公司仍需對保護客戶資料、管理員工存取、培訓員工及遵守適用的安全要求負責。把技術任務外判並不會解除這些責任，儘管供應商亦可能承擔法律與合約上的義務。
小型企業是否需要一個安全運營中心？
通常不需自建。SOC 是一支全天候監察與回應保安告警的團隊。少有小型企業可自設此隊伍，需 24/7 覆蓋的企業多數會向託管安全服務供應商（MSSP）購買此類服務。
