CIS Microsoft 365 基準 v7.0.0 改了什麼

一句話結論： CIS Microsoft 365 Foundations Benchmark 是大多數獨立租戶審計所依據的公開檢查清單。7.0.0 版於 2026 年 5 月發佈，Brocent 的一次性 Microsoft 365 保安審計按 Level 1 和 Level 2 兩級測量，公開示例共評估了 118 項控制。本文解釋這個基準是什麼、改了什麼、怎樣讀通過率，以及買之前該問服務商哪一個問題。

如果您收到的租戶審查報價單上寫著"依據 CIS Microsoft 365 基準 v7 測量"，這篇文章告訴您這句話讓服務商承諾了什麼。基準本身是一份寫給管理員的長文件，面向買家的解釋要麼跳過細節，要麼預設您已經有一支安全團隊。這一篇是寫給中小企業的負責人、財務主管或 IT 經理的：您要決定一次審計值不值得花錢，以及拿到報告後怎樣判斷它。

下文凡提到 Brocent 自己的審計，依據的都是公開的示例報告（英文頁，使用一家虛構的 14 人公司）和 Microsoft 365 保安審計定價頁。文中沒有任何客戶數據。

CIS Microsoft 365 Foundations Benchmark 是什麼？

Center for Internet Security（CIS）為操作系統、雲平台和應用程序發佈配置基準。Microsoft 365 Foundations Benchmark 針對的是一個 Microsoft 365 租戶：Entra ID、Exchange Online、SharePoint 與 OneDrive、Teams、Defender、Purview 以及 Intune 管理中心。每一條建議都點名一個設定、說明它應有的取值、解釋原因，並給出檢查和修復的步驟。

它之所以適合做審計的標尺而不只是加固指南，有三個原因：

獨立於 Microsoft。 Secure Score 是 Microsoft 對您租戶的看法，而且偏向 Microsoft 有授權可賣的功能。CIS 基準由從業者社區維護，不會因為授權套餐變化而變化。
帶版本號。 每條建議有穩定的編號，整份文件有版本號，所以同一租戶相隔一年的兩次審計可以逐項對比。
區分自動檢查項和人工檢查項。 有的設定可以用腳本讀出來，有的則需要人去看管理員名單、條件訪問策略或共享設定後作出判斷。基準給每一項都做了標註，審計報告因此可以誠實地寫明哪些是驗證過的、哪些是人工審閱的。

如果您想了解 Secure Score、CIS 基準和 CISA 的 ScubaGear 三者有什麼不同，我們另有一篇 Secure Score、CIS 基準與 ScubaGear 對比。本文只講基準本身。

Level 1 和 Level 2 有什麼區別？

基準裡每條建議都歸入一個配置級別。

Level 1 是基線。這些設定能降低風險，又基本不影響大家的日常工作：阻止舊式身份驗證、要求管理員使用 MFA、開啓統一審計日誌、不讓匿名共享連結永久有效。小企業把基礎做完以後，Level 1 應該幾乎全部通過。
Level 2 是縱深防禦。這些設定提供更多保護，但可能犧牲一點便利，或者需要更高的授權：特權角色使用抗釣魚的身份驗證、更嚴格的條件訪問、Purview 數據丟失防護策略、更緊的外部共享。部分 Level 2 項目只有在 Business Premium、E3 或 E5 上才能做到。

審計覆蓋到哪一級為什麼重要？因為一份只測 Level 1 的報告可以看起來非常漂亮，而租戶裡仍然留著攻擊者在釣到第一個密碼之後會用到的每一個 Level 2 缺口。示例報告兩級都測，並給每項控制標註適用的授權配置，所以一個 Business Premium 租戶不會因為某項只有 E5 才能做的控制而被判失敗。當服務商說"與 CIS 對齊"時，要問清是不是只測 Level 1。

7.0.0 版改了什麼？

CIS 於 2026 年 5 月發佈了 Microsoft 365 Foundations Benchmark 7.0.0 版，收錄在 CIS 2026 年 6 月的基準更新通告中，我們在肯特郡審計頁引用過這一出處。

新的編號體系。 我們讀到的唯一一份公開摘要（見我們的Secure Score、CIS 基準與 ScubaGear 對比文）稱新增 21 項建議、更新約 55 項，其餘重新編號；這些數字我們沒有對照 CIS 的變更日誌核實。重新編號意味著一條按 v6 寫的發現不能直接拿舊編號到 v7 報告裡查。服務商要把您的新報告與舊報告對比時，必須做編號映射，一份合格的報告會寫明這一點。
示例報告本身能看到的。 v7.0.0 報告把控制項分為九個章節，Purview、Intune 和 Fabric 與 Entra、Exchange、SharePoint、Teams、Defender 並列。我們沒有讀過 CIS 的變更日誌，因此本文不對 v6 覆蓋了什麼、哪些指引被重寫、哪些控制項被停用作任何斷言；這些請查基準文件隨附的變更日誌。

對買家來說，實際影響很簡單：一份 2026 年出具卻仍引用第 6 版的報告，測的是一份已經和 Microsoft 管理中心對不上的清單。請服務商把版本號寫進書面材料。

審計是怎樣使用這個基準的？

審計不是把基準照本宣科。基準給審計人員提供設定清單和每項的目標值，審計在此之上再加四件事。

只讀方式拉取實際配置。 Brocent 的審計使用一個 Microsoft Graph 應用，由您的全域管理員授權一次。它讀取設定和報表，不讀郵件和文件內容，事後可在 Entra 中移除。
機器能讀的設定用自動檢查。 產出通過或失敗，並附上證據：策略導出、報表行、拉取日期。
基準要求人工判斷的地方做人工審閱。 誰持有全域管理員角色、是否仍需要；緊急訪問帳戶是否真的受到保護；一條看起來正確的條件訪問策略，是否有一個排除組悄悄覆蓋了半家公司。這些是掃描器給不出的發現，示例報告把它們標為"人工"，而不是編造一個通過。
嚴重程度、工作量和順序。 基準不會告訴您三十個失敗項先修哪一個，報告會，並給出分階段計劃。

如果您想在委託之前先自查，Microsoft 365 保安審計清單按報告呈現的順序走完了十二個區域。

怎樣讀懂按章節的通過率？

示例報告在詳細發現之前，用一張表匯總基準結果。按它的數字，共評估 118 項控制：72 項通過、31 項失敗、9 項需人工審閱、6 項不適用。通過率等於通過除以通過、失敗與人工之和，不適用項既不加分也不減分。該示例各章節如下。

§1 Microsoft 365 管理中心： 9 通過、3 失敗、1 人工，69%。主要是租戶層面的衛生項，如未使用的授權和自助購買。
§2 Microsoft Defender： 13 通過、4 失敗、1 人工，72%。反釣魚、安全連結與安全附件策略，以及預設策略是否從未離開預設值。
§3 Microsoft Purview： 4 通過、5 失敗、1 人工，40%。示例中得分最低的章節：審計日誌保留、DLP 和敏感度標籤是小租戶最常從未碰過的控制。
§4 Microsoft Intune 管理中心： 2 通過、2 失敗，50%。這裡設備合規項很少，因為設備狀態屬於單獨的 Intune 設備審計。
§5 Microsoft Entra 管理中心： 19 通過、9 失敗、2 人工、1 不適用，63%。最大的章節，示例三項嚴重發現中的兩項在這裡：被排除在 MFA 之外的全域管理員應急帳戶（F-01），以及停留在僅報告模式的舊式身份驗證阻斷（F-03）；永久指派的管理員（F-04）是高風險發現。
§6 Exchange 管理中心： 12 通過、4 失敗、1 人工，71%。郵件流、轉發、SMTP AUTH 和郵箱審計。
§7 SharePoint 管理中心： 7 通過、3 失敗、2 人工，58%。外部共享預設值和"任何人"連結。
§8 Microsoft Teams 管理中心： 6 通過、1 失敗、1 人工、1 不適用，75%。外部訪問和會議策略。
§9 Microsoft Fabric（Power BI）： 3 項不適用。示例公司不使用它，所以該章節按不適用報告，而不是算作通過。

從這張表能得出三條閱讀規則。第一，總體 64%（報告首頁的指標卡顯示 61%，因為它把不適用項也算進了分母）沒有分佈形態重要：一家處理客戶身份證件的公司 Purview 得分低，和一家不用 Fabric 的公司 Fabric 得分低，是兩個完全不同的問題。第二，"人工"不是軟性失敗，它表示有人看過並記錄了所見，詳細發現會告訴您結論。第三，控制項少的章節會因一處變化而大幅波動，所以兩次審計之間要比數量，不只比百分比。

買之前該問服務商哪一個問題？

一個問題就能解決大部分疑慮：報告將依據 CIS Microsoft 365 Foundations Benchmark 的哪一個版本測量，封面上會不會寫明版本？如果回答是"最新版"卻沒有數字，追問數字。如果 2026 年下半年回答是第 6 版，問為什麼。如果回答是 7.0.0，再問 Level 1 和 Level 2 是否都在範圍內、人工控制項如何報告。

其他問題是每位審計買家無論依據哪個基準都該問的：訪問權限如何授予和移除、報告包含什麼、需要多長時間、費用多少。Brocent 的答案是公開的：只讀的 Graph 應用；報告與工作簿按可用作證據的方式設計；授權後 5 至 7 個工作日出報告；按人數固定價格，1 至 10 人 US$450 起，76 至 150 人 US$2,900，更大的租戶另行報價。什麼是 Microsoft 365 保安審計？一文從頭到尾講了流程。

Secure Score、CIS Level 1 還是 CIS Level 2：您需要哪一種度量？

Microsoft Secure Score： 租戶內置、持續更新，適合看趨勢。它只看得到 Microsoft API 暴露的內容，按 Microsoft 的建議打分，看不到人工控制項，並且傾向於獎勵有授權的功能。
CIS Level 1： 獨立的基線。適合從未被審查過、想要一份附證據的基礎項清單的租戶。Level 1 高分、Level 2 低分，對小企業來說是常見且誠實的結果。
CIS Level 2： 完整畫面，包括保險公司或大客戶問卷常問到的控制項。適合受監管的公司、正在續保網絡保險的公司，以及已經補上 Level 1 缺口的任何租戶。

Brocent 的一次性審計同時測 Level 1 與 Level 2，並一併報告 Secure Score，所以一次委託就拿到三個數字，不必自己去對帳。