Cyber Essentials 與 Microsoft 365 設定指南

一句話版本： Cyber Essentials v3.3（Danzell 題庫）自 2026 年 4 月 27 日起適用於所有新的英國評估。Microsoft 365 租戶裏常見的失分點是 MFA 沒有全覆蓋、個人裝置不受管、修補程式拖延。五項控制措施都能對應到 Entra ID、Intune 和 Defender 的具體設定，下文逐項說明。

Cyber Essentials 是英國政府支援的基礎網絡安全認證。如果你的公司給英國客戶供貨，或者想進入英國公共部門的供應鏈，遲早會被問到這張證書。公司用 Microsoft 365 的話，五項控制措施大部分都落在管理中心裏能直接查看的設定上。但這個計劃在 2026 年做了修改，其中幾處幾乎沒有商量餘地。本文按問卷的順序逐項講，並說明每一項在 Business Premium、Entra ID、Intune 和 Defender 裏對應什麼。

我們在 2026 年 10 月 27 日查閱了一手資料：NCSC《Requirements for IT Infrastructure v3.3》（2026 年 4 月）、NCSC Cyber Essentials 概覽，以及 IASME 的2026 年 4 月更新公告。下文凡是我們自己的解讀而不是原文，都會註明。

為什麼香港、新加坡、日本的公司也要關心英國的 Cyber Essentials？

因為英國的客戶、公共機構和部分保險公司會把它寫進供應商要求。你的辦公室在哪裏並不重要：只要你給英國客戶處理數據或提供服務，評估時你的 Microsoft 365 租戶就和英國本地公司一樣被檢查。具體要不要，請以招標文件或合同條款為準。我們沒有發現統一的"境外公司豁免"。

目前有效的版本是哪一個？

目前有效的是 Requirements for IT Infrastructure v3.3。NCSC 的資源頁面標明它自 2026 年 4 月 27 日起生效，截至 2026 年 10 月 27 日，我們沒有找到更新的版本。配套的評估問卷是 IASME 在 2026 年 2 月發佈的"Danzell"題庫。

新評估： 4 月底之後創建的評估賬號按 v3.3 和 Danzell 題庫評估。IASME 不同頁面的寫法略有出入（2025 年 11 月的公告寫 4 月 27 日，2026 年 2 月的公告寫 4 月 26 日之後創建），可以理解為 4 月底為分界。
舊賬號： 根據 IASME，在此日期之前創建評估賬號的申請人，最多有六個月時間按舊版本完成。
誰管什麼： NCSC 制定技術要求，IASME 是交付夥伴，並授權認證機構（Certification Body）給你的答卷評分。

v3.3 改了什麼？MFA"自動不合格"是怎麼回事？

NCSC 文件新增了"雲端服務"的正式定義，在無密碼認證中加入 FIDO2，明確寫出雲端服務不能排除在範圍之外，並加強了對備份的強調。IASME 的公告則說明了對評估結果的影響，以下幾點與 Microsoft 365 租戶最相關：

雲端服務只要提供 MFA，就必須開啟。 IASME 的說法是：如果某個雲端服務提供 MFA，無論免費、已包含還是另外收費，而你沒有啟用，評估會自動不合格。要求文件裏的原話更短：存取雲端服務的認證必須始終使用 MFA。
兩條修補程式題是自動不合格題。 A6.4 問的是作業系統以及路由器、防火牆韌體的高風險或嚴重安全更新，是否在發佈後 14 天內安裝；A6.5 對應用程式（含相關文件和擴充功能）提同樣的問題。
董事聲明更寬。 董事或董事會成員現在要確認，公司有責任在整個認證有效期內持續滿足所有控制措施，而不只是評估當天。
雲端服務永遠在範圍內。 NCSC 文件把 Microsoft 365 列為 SaaS 的例子，不能把它剔除。

對 Microsoft 365 公司來說，範圍怎麼劃？

很多申請栽在範圍上，因為有人想把範圍縮小。v3.3 的規則相當直接。

雲端服務在範圍內嗎？

在。數據或服務託管在雲端服務上，就必須納入範圍，不能排除。對 Microsoft 365 這類 SaaS，文件明確說你仍然要負責安全配置。文件中"誰來落實哪項控制"的表格顯示，對 SaaS 來說，防火牆、安全更新、惡意軟件防護通常由雲端服務商負責，安全配置由雙方分擔，而用戶存取控制（包括 MFA）始終是你自己的事。

員工的個人手機和電腦算不算？

存取公司數據或服務的個人裝置在範圍內。例外是：只用於原生語音通話、原生短訊或執行 MFA 驗證 App 的裝置不在範圍內。所以，只裝了驗證 App 的個人手機不用管；但登入了公司賬號的 Outlook 或 Teams 的個人手機，就在範圍內。

在家辦公的裝置（公司的或自帶的）都在範圍內；你提供給員工的路由器也在範圍內，其他家用路由器則不在，所以裝置本身的軟件防火牆很重要。文件另有一張表（Table 2），列出不屬於你的裝置在員工、志願者、承包商、MSP 管理員等不同角色下是否在範圍內，決定之前請先讀它。把終端用戶裝置排除在外的範圍是不被接受的。

管理員賬號和外包的 IT 服務商呢？

你組織擁有的所有賬號都在範圍內，即使是供應商或管理服務商（MSP）用來支援你的賬號。如果有 MSP 代管你的環境，你必須能確認並在答卷中證明這些控制措施已經落實。

控制措施一：防火牆，和 Microsoft 365 有什麼關係？

要求是每台在範圍內的裝置都有正確配置的防火牆，可以是邊界防火牆，也可以是裝置上的軟件防火牆。對雲端服務，文件說可以通過數據流策略達到同樣目的，SaaS 通常由服務商落實。

對 Microsoft 365 公司，實際要檢查的設定是：

Windows 手提電腦： 所有網絡配置檔案的 Microsoft Defender 防火牆都開啟。在 Intune 中，在"端點安全性"下建立防火牆策略並分配給全部 Windows 裝置。
Mac： 啟用 macOS 內置防火牆，通過 Intune 配置檔案推送。
辦公室路由器或防火牆： 修改預設管理員密碼，預設封鎖未經認證的入站連接，每條入站規則都有書面的業務理由，管理介面不要在沒有 MFA 或 IP 白名單的情況下暴露到互聯網。這部分在 Microsoft 365 之外，但同在這份問卷裏。

控制措施二：安全配置，哪些租戶設定算數？

安全配置要去掉薄弱的預設值：多餘賬號、預設密碼、不必要的軟件、自動執行、沒有鎖定畫面的裝置。文件要求定期刪除或停用不必要的賬號、更改預設密碼、刪除不必要的軟件、關閉自動執行、存取前必須認證，並設定裝置鎖定。

對應到 Microsoft 365：

多餘賬號： 檢查 Entra ID 中的離職員工、未使用的來賓賬號和測試賬號，逐個封鎖登入，併為已停用賬號回收許可證。
裝置解鎖： 文件要求裝置使用前必須有憑據，並防暴力破解：建議 5 分鐘內最多猜 10 次，或失敗不超過 10 次就鎖定；僅用於解鎖的 PIN 或密碼至少 6 位。在 Intune 中，由合規性策略以及 Windows Hello 企業版或裝置鎖定配置檔案來設定 Windows 的這些值，iOS 和 Android 則用密碼策略。
密碼： 文件不建議強制定期更換和複雜度規則。僅靠密碼時，要求至少 12 位，或者 8 位並配合常見密碼黑名單。Entra ID 密碼保護加上按長度要求的策略可以滿足。

控制措施三：安全更新管理，Intune 怎麼做到 14 天？

要求是：範圍內所有軟件必須有授權且仍受支援，停止支援後要移除，儘可能啟用自動更新，嚴重或高風險的修復要在 14 天內安裝。"高風險"指廠商標為 critical 或 high、CVSS v3 基礎分 7 分以上，或廠商沒有給出嚴重程度。文件還提醒：一個更新包裏只要有一個嚴重或高風險修復，整個更新就要在 14 天內裝上。

A6.4 和 A6.5 現在是自動不合格題，這一項值得比平時更認真。

Windows： 用 Intune 更新環（Windows Update for Business），把品質更新的截止期設在 14 天以內並留出餘量，給關機的裝置留出時間。可參考微軟關於通過 Intune 使用 Windows Update for Business 的文檔。
Windows 版本： Windows 10 在 2025 年 10 月結束支援（未加入擴充功能安全更新的裝置）。不受支援的軟件必須移除或移出範圍。請逐台核對，不要只聽用戶說。
Mac、iPhone、Android： 通過 Intune 合規性策略設定最低系統版本，並用條件存取讓不合規裝置失去存取權限。
應用程式： Danzell 題目把應用程式及其擴充功能也算進去，瀏覽器、PDF 閱讀器、Zoom、Java 等都包括。Microsoft 365 應用程式會自動更新，但第三方應用程式需要部署和更新渠道，很多租戶在這裏完全沒有覆蓋。

如果需要有人持續維護修補程式節奏，可以看我們的修補程式管理服務，Intune 方面見 Intune 定價頁。

控制措施四：用戶存取控制，Entra ID 裏的 Cyber Essentials MFA 要求是什麼？

這一項決定大多數評估結果。文件列出的義務包括：創建和批准賬號的流程、唯一憑據、不再需要時刪除賬號、在可用時使用 MFA（對雲端服務必須始終使用）、管理活動使用單獨賬號，以及不再需要時撤銷特殊權限。

MFA 應該怎麼設定？

對所有用戶、所有提供 MFA 的雲端服務都開啟。Entra ID 裏有兩條路：

安全預設值（Security defaults）： 免費，新租戶預設開啟，要求所有用戶註冊 MFA。簡單，但不能設定例外或裝置條件。見微軟安全預設值文檔。
條件存取（Business Premium 提供）： 建立策略，要求所有用戶存取所有雲端應用程式時使用 MFA，並且不留說不清理由的用戶或應用程式排除項。見微軟關於對所有用戶要求 MFA 的說明。

NCSC 指出短訊驗證碼較弱，但仍遠勝於沒有 MFA，並認可通行密鑰和 FIDO2 密鑰。覆蓋面比驗證方式更重要。

別忘了其他雲端服務。會計、CRM、文件共享、薪資系統同樣存放公司數據，規則一樣適用。其中任何一個可以開 MFA 卻沒開，在自動不合格規則下都有風險。

舊式認證怎麼辦？

POP、IMAP、SMTP 基本認證這類舊協議無法做 MFA。如果仍然允許，別人只憑一個密碼就能繞過你的策略。請用條件存取封鎖它們，見微軟關於封鎖舊式認證的說明。如果掃描器或老舊業務系統需要 SMTP，應改為現代方式，而不是保留例外。

管理員賬號怎麼處理？

文件要求管理工作使用單獨賬號，不收發電郵、不上網。在 Entra ID 裏意味着：

管理員使用僅雲端賬號，沒有電郵信箱，許可證只給角色所需的。
全局管理員數量要少；微軟的角色最佳實踐建議少於五人。
特權角色按需、限時分配（Privileged Identity Management 需要 Entra ID P2，Business Premium 不含，所以許多小型租戶改為每月複核角色清單）。
每個管理員都使用抗釣魚的 MFA。

控制措施五：惡意軟件防護，Defender 夠用嗎？

範圍內每台裝置要有反惡意軟件，或者應用程式白名單。使用反惡意軟件時，文件要求按廠商建議更新、封鎖惡意軟件執行、封鎖惡意代碼執行，以及封鎖連接惡意網站。

Business Premium 含的 Microsoft Defender for Business 覆蓋 Windows、macOS、iOS 和 Android。在 Intune 裏要檢查：

實時保護和防篡改保護開啟，特徵庫自動更新。
網頁保護（SmartScreen 或網絡保護）開啟，封鎖連接惡意網站。
Mac 和受管流動裝置已接入 Defender，且沒有衝突的第二套殺毒軟件。

這項控制同樣適用於範圍內的手機；文件接受應用程式白名單（例如只允許官方商店裏簽名的應用程式）作為流動裝置的做法。

Cyber Essentials 和 Cyber Essentials Plus 有什麼區別？

Cyber Essentials 與 Cyber Essentials Plus 對比

方式： Cyber Essentials 是經外部評分的自我評估問卷；Plus 控制措施相同，另加動手的技術審計。
技術測試： Plus 由評估員抽測具有代表性的裝置（伺服器、桌面電腦、手提電腦、平板、手機），並做漏洞掃描，可現場或遠端，確認軟件受支援且關鍵修補程式已安裝。
時間： IASME 說明 Plus 必須在基礎證書之後三個月內完成。
不通過： IASME 描述 Plus 有 30 天整改期。2026 年 4 月更新增加了複測時隨機抽樣裝置，第二次失敗會撤銷 VSA 證書。
誰來做： 兩者都由獲 IASME 授權的認證機構評估，NCSC 說明 Plus 是增加獨立系統測試的路徑。

對 Cyber Essentials Plus 與 Microsoft 365，評估員看的是真實裝置，策略沒有落到每部手提電腦就會被發現。預約測試之前先把裝置修好。

Microsoft 365 租戶裏最常見的失分點

以下是我們會優先檢查的問題，大致按"最容易讓人不通過"的順序，都直接來自 v3.3 原文。

MFA 排除項。 條件存取策略裏一長串被排除的用戶、群組或應用程式，常見於服務賬號、仍可登入的共享電郵信箱，以及沒人撤銷的"臨時"例外。
舊式認證沒有關。 為打印機或舊程序保留 POP、IMAP 或 SMTP 基本認證。
不受支援的作業系統。 沒有擴充功能支援的 Windows 10、無法升級到當前 macOS 的舊 Mac，或被遺忘的伺服器。
不受管的個人裝置。 員工用沒有任何策略的個人手機和電腦收公司電郵，沒有最低系統版本，也沒有鎖定畫面。它們在範圍內。
管理員賬號日常使用。 老闆的日常電郵信箱賬號同時是全局管理員。
有更新但沒有期限。 更新是開着的，但沒有更新環截止期，關機的手提電腦落後幾個月，第三方應用程式完全不更新。
微軟之外的雲端應用程式。 Microsoft 365 開了 MFA，會計或 CRM 應用程式沒開。

誰來頒發證書？Brocent 的位置在哪裏？

證書由 IASME 認證機構頒發；我們負責準備你的租戶和你的答案。認證機構由你選擇，評估開始前和他們確認範圍，由他們給問卷評分；做 Cyber Essentials Plus 時，技術審計也由他們進行。

Brocent 是總部在香港的管理型IT外包服務商，服務亞太、英國與歐洲、中東。我們提供 Microsoft 365 CIS Benchmark 審計，涵蓋 Cyber Essentials 問卷會問到的 Microsoft 365 控制項，包括 MFA 覆蓋率、管理員賬號、裝置合規和電郵安全。它的設計用途是作為證據，並支援你填寫的答案。它不會讓你獲得認證，也不能代替評估。Cyber Essentials 還涵蓋審計不到的內容，例如辦公室路由器、防火牆規則以及 Microsoft 365 之外的伺服器。

實際交付：

以只讀方式對照 CIS Microsoft 365 Benchmark Level 1 和 Level 2 審計，包括人工檢查的控制項。
帶工作量估算的優先級路線圖、一次覆盤通話，以及針對 Cyber Essentials 和保險問卷的證據。
授予只讀存取後 5 至 7 個工作日出具報告。

公開價格，一次性，按用戶數計算（美元，不含税）：

1 至 10 名用戶：US$450
11 至 25 名用戶：US$990
26 至 75 名用戶：US$1,800
76 至 150 名用戶：US$2,900
超過 150 名用戶：報價

修復審計發現的問題不含在審計費用內；你自己的 IT 團隊可以按路線圖處理，我們也可以為整改單獨報價。詳情見審計定價頁。公開的示例報告（英文頁面）使用虛構的 14 人英國公司 Acme Capital，其中包含 Cyber Essentials 就緒度部分；另有 Intune 裝置審計示例。想討論你的情況，請聯繫我們。