兩年前一份MIC（資策會市場情報中心）針對台灣中小企業資訊安全委外的調查報告指出，中小企業在資安委外的需求上相當的低，有將近六成受訪的中小企業認為「不需要資訊安全委外服務」，有近兩成的中小企業完全沒有資訊安全服務的支出預算，而已經執行資安委外的比例約兩成五，其中以一般製造業採用的比例較高。這項報告出來，對於當時的政府與資安服務供應商而言都是一大打擊。
除了需求不夠明確之外，企業對於提供資安監控的供應商也有所顧慮，一般用戶普遍認為，資安委外供應商既然可以提供企業內網的監控，那也代表內部網路最難以防禦的漏洞就是委外廠商本身。短時間內要企業管理者跨越這項心理障礙似乎需要更多的宣導與教育。
資安委外前景可期
但是，這兩年資安委外市場似乎出現了一些變化，目前台灣市場主要的安全監控服務供應者以Hinet、精誠、數聯資安與宏碁最為知名。以ISP之姿加入安全委外市場的Hinet，除了今年初推出名為資安艦隊的託管服務之外，更與賽門鐵克合作，以賽門鐵克的Sygate Enterprise Protection產品為基礎，加上中華電信的SOC（安全監控中心），提供客戶資安警訊與線上政策設定、資安事件報表等服務，預計將在年底前上線。
十月底，老字號資安委外廠商數聯資安宣布U-SOC資安保全服務於今年正式突破一百家客戶。對於數聯資安以及國內的SOC代管服務而言，是個重大的里程碑。數聯資安提供的U-SOC保全服務，除了防駭、防火、防毒三大保護外，更提供全球資安預警訊息和新聞、用戶專屬資安入口網站等先進資安服務內容，讓用戶即時瞭解企業網路上的安全狀態，隨時掌握全球資安最新脈動。
或許有些IT人員認為，一台UTM設備大約十幾萬元上下，便宜又大碗，何需另外尋求資安委外或是ISP租用服務呢？UTM管理上固然容易，很多介面甚至做到一指搞定，單一人力即可負擔，但事實上維護UTM還需考慮每年License、Firmware升級、硬體保固等費用，這些尚不包含每月資安報表分析以及設備發出警訊時的處理事項等。
Radware台灣區資深業務經理黃啟原指出，以現實狀況來看，企業擁有的技術人員有限，而網路技術日新月異，IT人員很難在繁忙的日常工作環境裡跟上資訊安全知識更新的速度，加上銷售產品的代理經銷商不見得可以在技術上完全滿足企業的需求，因此專業的資安委外服務才會在這兩年逐漸為企業市場接受。
服務項目持續增加
當前，資訊安全委外市場目前大約有幾種服務模式，首先是安全設備由用戶自行採購與部署，而監控服務交由專業的安全監控廠商，目前以政府單位使用這類服務居多。第二種為ISP以租用線路方式來提供資訊安全服務，像是中華電信的資安艦隊就是一例。再者，就是用戶採租賃安全設備、線路與監控服務的方式，例如Seednet就能同時提供這幾種服務。
就產品而言，目前的資安委外提供的監控服務種類愈來愈多，從早期的防火牆、防毒軟體、入侵偵測的監控，到現在納入了入侵防禦、P2P、即時通訊、間諜程式、Layer 4交換器、路由器等，只要用戶指定，就能一次享有全方位的資安服務。
除了檢視廠商所提供的服務項目之外，企業在選擇合作廠商時，必須考慮的是廠商能否滿足用戶短期或長期性的需求。一般企業對於委外服務相當排斥的另一項因素，就在於無法信任供應商能持續提供服務，也就是供應商市場壽命或許不夠長，導致企業最後成為產品孤兒。因此，穩固而長期性的合作關係，是資安委外服務成功的基礎。
精挑細選 免於落入產品孤兒
篩選委外服務廠商有很多方法，首先便是檢視其提供的顧問服務能力與經驗。資訊安全除了技術上的挑戰之外，對於制度、作業程序與人員配置也都需具備良好的配套方案；或者檢視廠商有沒有BS7799或ISO27001等相關認證資格，以及能否提出比較具體的輔導客戶通過資安認證的案例。
另一項評斷標準相當直覺，就是請廠商提出服務人員的認證資格，像是資訊系統安全專家（Certified Information System Security Professional，CISSP）、或專案管理認證（Project Management Professional，PMP）等，服務內容固然是一家委外供應商是否能滿足客戶需求的檢視標準，但人員素質的專業程度才是扮演服務是否成功執行的關鍵因素。
最後，當然就是避免自己落入產品孤兒的窘境。上述客觀條件當然是必要的檢查項目，而選擇經營穩固、信譽優良的合作伙伴則是長久經營之道，市場競爭愈來愈激烈，為了避免被短視近利的短命廠商矇騙，承受移轉過程的風險與痛苦，多多探聽市場上的使用者經驗，不失為一個篩檢的參考依據。
資訊安全委外服務打的是一種持久戰，只做一、兩年的資安委外通常對企業的效益有限，加上看不到的網路威脅遠比已知的攻擊更容易造成企業的損失，如何選擇一個優質的委外合作廠商、分擔資安風險，是企業確保自身經營績效與業務拓展的不二法門。