马来西亚网络安全

先问是谁来测。替你的总承包商做测试的分包商，自己也要有 NACSA 执照。再问是人手测试，还是全靠扫描工具，以及复测有没有包在价格里，因为很多报价不含复测。也请对方给你看一项示范发现：严重程度、证据，还有你的开发团队照着就能做的修复方法。我们用自动化和 AI 工具快速扫过一遍，但每一项发现都由团队里的人核实，最要紧的权限控制漏洞是人手找出来的。

需要。根据《2024 年网络安全法令》（Act 854）和它的执照条例 P.U. (A) 221/2024，渗透测试是两种必须向 NACSA 申领执照的网络安全服务之一，另一种是托管式安全运营中心监控。提供这项服务要有执照，打广告宣传这项服务也一样，为马来西亚客户服务的外国公司也包括在内。只为自己的关联公司服务，或者被测试的系统在马来西亚境外，就不适用。NACSA 在它的执照门户 licence.nacsa.gov.my 公布持照服务商。

测试一个网页应用通常 RM 5,000 到 RM 20,000，看它有多少种用户角色、多少个对接和付款流程。规模较大的应用或一整套 API，RM 15,000 到 RM 45,000。涵盖服务器、网络、云端和合规文件的完整基础设施评估，RM 20,000 到 RM 80,000。我们的报价包含修复后的一次复测。低于 RM 3,000 左右的报价，几乎都是自动扫描，不是渗透测试。我们博客上的渗透测试费用指南，讲了哪些因素会影响价格。

可以。我们的政府 VAPT 案例，测的是一个管理企业家计划参与者的平台，横跨多个县区和多种用户角色，所以存了大量个人资料。我们对网页应用、API、数据库和基础设施做灰盒测试，对照 OWASP、OWASP API Top 10 和 PTES。一共找到 11 个问题，包括一个 SQL 注入风险、让参与者记录外泄的权限控制缺陷，还有一个直接暴露在公共互联网上的数据库。客户团队修复之后，我们复测，出具干净的结案报告，每一项都对应到 PDPA 和 Dasar Keselamatan ICT Kerajaan。

看登录之后有什么。只有联系表单、没有客户账号的公司网站，可能扫描一次、把扫出来的问题修好就够了。系统里有客户资料或付款，或者客户、审计方、PDPA 要求你证明有懂行的人看过，完整测试才值那个价钱。千万别买了扫描，却当成渗透测试报告存档。

VAPT 是漏洞评估与渗透测试的简称。漏洞评估广泛扫描，列出弱点；渗透测试再去利用这些弱点，证明攻击者实际能走到哪一步。两者一起做，你既有覆盖面，也有真实影响的证据。在 Gotchaa Lab，VAPT 涵盖网页应用、API、数据库和基础设施，对照 OWASP、OWASP API Top 10 和 PTES 测试，每一项发现按 CVSS v3.1 评级，并附上概念验证证据和具体的修复步骤。

只要你在商业交易中处理个人资料，就要。《2010 年个人资料保护法令》涵盖客户姓名、电邮、电话、支付资料、健康记录，以及任何能认出某个人的信息。2024 年的修正案把违反资料保护原则的罚则提高到最高 RM 100 万和三年监禁，也加了资料外泄的通报义务。实务上，你要在收集前取得同意，只用在声明的用途，安全地存放，并让当事人查阅或更正自己的资料。我们做 PDPA 差距检查，对照法令的七项原则，看你的表单、存储方式、权限控制和隐私政策。

有。我们把每一项 VAPT 发现对应到相关的合规要求，包括马来西亚《个人资料保护法令》（PDPA）的七项原则；政府和官联公司的系统，还会对应 Dasar Keselamatan ICT Kerajaan。你的团队修复之后，我们复测并出具结案报告。这份报告给审计方书面证明，说明风险已经关闭，评估结果可以直接并入你的合规签核，而不是变成另一件单独的事。