資安公司M&A：滲透測試資質與政府資格認定

一、台灣資安產業M&A的背景

台灣資安產業近年受到高度重視，《資通安全管理法》（2018年施行）強化了政府機關及關鍵基礎設施的資安要求，帶動資安服務市場快速成長。台灣本土資安公司（TeamT5、奧義智慧、中華資安國際等）在APT防禦、威脅情報、滲透測試等領域具備國際競爭力。

資安公司的M&A具有高度特殊性，因為其核心資產是：政府資格認定、技術人才、及高度機密的客戶關係。

二、資安公司的核心資產

2.1 政府相關資格認定

台灣資安廠商若要服務政府機關，需具備以下資格：

數位部資通安全相關認定：

重要說明：資安服務廠商登錄及能量登錄，在股權收購後通常可繼承（公司法人未變），但若有控制權變更（特別是境外投資人），可能觸發數位部重新審查。

2.2 技術認證資格

資安公司員工持有的技術認證是重要的服務能量指標：

M&A影響：這些認證屬於個人，若關鍵認證持有者離職，公司的服務能量登錄資格可能受影響。

2.3 漏洞資料庫與威脅情報

部分資安公司累積了高度機密且有商業價值的資產：

• 零日漏洞（0-day）研究成果
• APT攻擊組織的威脅情報資料庫
• 內部研發的攻擊工具（紅隊工具）

這些資產估值極難但潛在價值極高，需由專業技術顧問評估。

三、資安公司的特殊法律問題

3.1 滲透測試工具的法律地位

資安公司持有的攻擊工具、漏洞利用程式（Exploit），在法律上處於灰色地帶：

• 台灣目前無明確的「滲透測試工具許可」制度
• 這些工具若流入不當使用，可能違反《刑法》第358-362條（妨害電腦使用罪）
• M&A合約應明確規範：所有攻擊工具的使用限於授權範圍

3.2 客戶機密資料的保護

資安公司在服務過程中，必然接觸客戶的高度敏感資訊（弱點報告、內部架構圖、事件調查報告）。M&A後：

• 原有保密協議（NDA）義務隨公司繼承
• 買方需確保資訊安全管理體系（ISMS）維持同等水準
• 建議在M&A合約中，明確規定買方承擔原公司的所有保密義務

3.3 境外投資的資安審查

若收購方為境外企業（含台灣公司但由境外資金控制），收購台灣資安公司可能觸發：

• 《外國人投資條例》審查
• 數位部資安廠商重新審查
• 涉及國防業務者，可能需《國防採購法》相關審核

四、估值方法

4.1 資安公司估值框架

資安公司EV/Revenue倍數（台灣參考）：

一般資安服務（MSSP）：1-2x
滲透測試專業服務：1.5-3x
資安產品開發商（自研）：3-8x
威脅情報服務商：3-6x
含政府資格+獨家技術：溢價30-50%

4.2 政府資格溢價評估

政府資安標案通常是長期穩定收入：

政府案收入占比對估值的影響：
- 政府案占比 > 50%：穩定性溢價，但移轉後標案需重新取得
- 政府案占比 < 30%：商業彈性較高，估值折扣較少

五、盡職調查清單

政府資格

• 數位部資安服務廠商登錄證書
• 資安技術服務能量登錄項目清單
• 進行中政府標案清單（金額、期限）
• 政府採購法違規紀錄查詢

技術能力

• 現有員工技術認證清單
• 過去3年滲透測試案件數量與客戶類型
• 研究成果（CVE揭露紀錄、研究論文）
• 自研工具與產品清單

法律與合規

• 所有客戶NDA清單
• 服務合約中的資安責任條款
• 是否有資安事件賠償案件（或訴訟風險）
• 境外資金持股比例確認

六、稅務規劃

資安公司多採股權收購以維持政府資格：

賣方稅務：

• 個人股東：股票交易所得（目前暫停課徵）
• 法人股東：計入營利事業所得（20%）

技術授權費用的稅務處理：
若收購結構設計為「股權收購＋技術授權」（部分買方偏好此架構），技術授權費用可能涉及：

• 扣繳稅款（境內授權）
• 移轉訂價規定（關聯企業間）

七、結語

資安公司M&A是台灣科技M&A中最需要謹慎對待的類型——不只因為估值複雜，更因為資安公司的核心資產（人才、資格、客戶關係）高度脆弱。任何一個環節處理不當，都可能導致交割後價值迅速消失。建議買方在決定收購前，先完成至少4-6週的深度技術與法律盡職調查。

PassBiz 協助媒合資安領域的M&A交易，以機密方式協助雙方完成安全的資產移轉。

本文僅供參考，實際法律問題請諮詢專業律師。