安全评估收费指导意见

安全评估收费指导意见一、引言为规范安全评估服务市场秩序，引导安全评估机构（以下简称“评估机构”）与委托方之间形成公平、合理、透明的服务定价机制，保障双方合法权益，促进安全评估行业健康有序发展，特制定本指导意见。本意见旨在为安全评估服务的收费提供一般性参考，具体项目的收费应在本意见基础上，由双方根据实际情况协商确定。二、安全评估收费构成要素安全评估收费应综合考虑评估项目的实际情况、工作量、技术难度、风险责任以及市场行情等因素，主要构成要素如下：（一）评估范围与复杂度评估范围与复杂度是决定收费的核心因素之一，具体包括：1.评估对象的规模与数量：如信息系统的服务器数量、网络设备节点、终端用户数、业务系统模块数、物理设施面积、区域数量等。规模越大，数量越多，通常评估工作量越大。2.评估深度与广度：评估需求的细致程度，例如是全面的安全合规性检查，还是针对特定类型漏洞的深度挖掘；评估覆盖的安全领域，如网络安全、系统安全、应用安全、数据安全、物理安全、管理安全等。3.系统复杂程度：涉及的技术架构（如云计算、大数据、物联网、工业控制、移动应用等）、业务逻辑复杂度、集成度以及定制化程度等。新兴技术或高度定制化系统的评估往往需要更高的专业能力和更多的工作量。（二）评估工作量与人力成本评估工作量直接反映了评估机构的资源投入，主要包括：1.人员投入：参与评估的人员级别（如资深安全专家、安全工程师、安全分析师等）、数量以及在项目上的有效工作时间。资深专家的单位时间成本通常高于普通工程师。2.项目周期：从项目启动、需求调研、方案制定、现场评估（如渗透测试、漏洞扫描、配置检查、访谈问询、文档审查）、结果分析、报告编制到最终交付的整个周期长度。3.工作细致度：例如漏洞挖掘的深度、渗透测试的强度、代码审计的覆盖率、策略文档审查的详尽程度等，均会影响工作量。（三）评估方法与工具投入采用的评估方法和工具的先进性、专业性也会影响成本：1.评估方法：自动化扫描、人工渗透测试、代码审计、安全架构评审、风险评估模型应用、红队评估、攻击路径分析等不同方法的组合与深度应用。人工主导的深度评估通常成本高于纯自动化扫描。2.工具投入：专业商业漏洞扫描工具、渗透测试平台、代码审计工具、威胁情报平台、安全态势感知工具等的采购、维护及授权费用。部分高端工具的使用成本较高。（四）项目管理与其他成本1.项目管理：包括项目前期沟通、方案制定、进度管理、质量控制、内部评审、客户沟通与汇报等管理成本。2.差旅与后勤：若评估工作需要在客户现场进行，可能产生的差旅、住宿、交通等费用（通常根据实际发生情况或双方约定处理）。3.报告与交付物：评估报告的撰写、排版、修订、翻译（如需）以及其他交付物（如整改建议、演示汇报等）的制作成本。4.特殊需求：如加急服务、多轮复测、现场应急响应支持、定制化培训等增值服务或特殊要求，可能需要额外计算费用。三、收费原则1.成本导向与价值导向相结合：评估收费应以评估机构的合理成本为基础，同时考虑评估服务为委托方带来的安全价值、风险降低程度以及评估机构的专业能力和品牌声誉。2.公开透明原则：评估机构应在服务合同或报价方案中，向委托方清晰说明收费的主要构成、计费依据和标准，避免模糊定价和隐性收费。3.公平合理原则：收费应体现服务的质价相符，既要防止评估机构利用信息不对称进行高价牟利，也要避免委托方过度压价导致服务质量下降。4.风险与责任对等原则：若评估服务涉及较高的责任承诺或需要承担特定风险（如对业务中断的赔偿约定等），收费应适当反映此类因素。四、收费模式参考评估机构可根据项目特点和双方协商，选择合适的收费模式：1.按项目打包收费：根据评估项目的整体范围、复杂度和工作量，进行一次性打包报价。此模式适用于范围明确、需求相对固定的项目。2.按人天/人月收费：根据投入的不同级别人员数量和工作天数/月数进行计费。此模式适用于需求复杂、范围可能动态调整或需要持续服务的项目。评估机构应明确不同级别人员的收费标准。3.按评估点/资产收费：针对某些标准化程度较高的评估项（如单个服务器漏洞扫描、单个应用渗透测试），可参考按评估点或资产数量进行计费。此模式需明确定义“评估点”或“资产”的计数标准。五、实施建议1.规范报价流程：评估机构在接到评估需求后，应进行充分的需求调研和初步评估，在此基础上提供详细、规范的报价方案。2.签订书面合同：双方应就评估范围、服务内容、交付标准、收费金额、支付方式、违约责任等条款签订书面合同，明确双方权利义务。3.加强沟通协商：委托方应清晰表达自身安全需求和预算考量，评估机构应耐心解释收费构成和依据，通过充分沟通达成共识。4.行业自律与监督：鼓励行业协会等组织积极发挥作用，推动评估服务收费的规范化和标准化建设，对不合理收费行为进行行业自律约束。六、附则本指导意见为行业参考性文件，不具有强制性法律效力，具体收费标准由评