網絡保險 MFA 要求：Microsoft 365 怎樣如實回答

一句話結論： 網絡保險問卷問「是否全面啓用 MFA」，通常是指每一個用戶、每一個管理員、每一個遠程入口和每一個郵箱都要有多因素認證，例外要寫明而不是藏起來。在 Microsoft 365 裡，證明方式是一份帶日期的註冊方法報告，加上強制執行它的條件訪問策略導出。本文只講 MFA 這一題：覆蓋哪些帳戶、哪些方式算數、例外怎樣寫、附什麼證據。

大多數網絡保險 MFA 要求出現在續保表格上只有一兩行：「是否對所有用戶強制執行多因素認證，包括遠程訪問和電子郵件？」以及越來越常見的「是否對所有特權帳戶強制執行 MFA？」問題很短，但要誠實地回答「是」，背後的工作並不少。一個事後被發現其實是「大部分是」的「是」，正是理賠時會被反覆追問的那種。

本文只停留在這一題上。整份問卷怎樣答，見我們的保險公司要看的 Microsoft 365 證據指南；香港企業續保時的實際經歷，見香港續保視角。這裡我們把 MFA 這一行拆開：所謂「全面」是指什麼、哪些驗證方式算數、例外怎樣聲明才不會被當作「否」、以及可以從 Microsoft 365 租戶導出哪些設計用作證據的材料。

我們主要面向英國和澳大利亞的企業來寫，因為向我們諮詢這個問題的人大多在那裡；不過租戶設定在哪裡都是一樣的。

網絡保險問卷裡的「全面啓用 MFA」是什麼意思？

保險公司很少定義這個詞，所以最穩妥的理解是最寬的那種。實際上問卷問的是六組登入場景，一個完整的回答要覆蓋全部六組：

所有用戶。 每一個可以登入 Microsoft 365 的持牌帳戶，不只是辦公室員工。兼職、有帳戶的外包人員、「只用 Teams」的財務助理都算。
所有管理員。 在 Entra ID 中持有特權角色的每一個帳戶：全域管理員、Exchange 管理員、SharePoint 管理員、用戶管理員、安全管理員等等。表格上這常是單獨一行。
遠程訪問。 任何能從外部進入公司系統的入口：VPN、遠程桌面網關、發佈的應用。對雲優先的公司來說這主要就是 Microsoft 365 本身，但如果 VPN 設備還在，它也在範圍內。
電子郵件和網頁郵箱。 網頁版 Outlook、手機郵件，以及任何能讀取郵箱的協議。單獨點名它的原因是，IMAP、POP、SMTP AUTH 這類舊協議除非被阻止，否則可以完全繞過 MFA。
特權帳戶和服務帳戶。 啓用了登入的共享郵箱、「掃描儀」帳戶、集成帳戶、舊的本地同步帳戶。保險公司知道 MFA 往往在這些地方悄悄失效。
第三方應用。 使用 Microsoft 365 身份（單點登入）的雲應用會繼承您的 MFA 策略；有獨立登入的應用則不會，有些表格也會問到這些。

六組都能答「是」，您就是全面啓用了 MFA。四組答「是」、兩組答「否，原因是……」，您仍然可以誠實地描述，這就是下文例外部分要講的。

在 Microsoft 365 租戶裡，MFA 實際覆蓋哪些帳戶？

誠實的答案取決於 MFA 是怎樣打開的，因為兩種受支援的機制行為不同。操作步驟見我們的在 Microsoft 365 中啓用 MFA 的分步指南；這裡說的是每種機制對問卷意味著什麼。

安全預設值是一個租戶範圍的總開關。打開後，每個用戶都必須註冊 MFA，管理員始終被要求驗證，舊式身份驗證被阻止，Azure 管理門戶要求 MFA。沒有任何排除項。對問卷來說這很方便：答案是「是，租戶策略對所有用戶強制執行」，證據是該設定的截圖加註冊報告。

條件訪問是 Microsoft Entra ID P1 提供的策略引擎，Microsoft 365 商業高級版已包含。它可以對所有人、對管理員、對特定應用或對高風險登入要求 MFA，也可以排除某些組。靈活正是它的價值，也正是問題所在：每一個排除項都是一個可能不經 MFA 就登入的帳戶，而問卷實際上就是在問這些。一套建好的基線，比如我們的條件訪問基線指南裡的六條策略，會包含「所有用戶要求 MFA」、「管理員要求 MFA」和「阻止舊式身份驗證」，每條只排除一個很小的、有名字的緊急訪問組。

問卷真正要探的，是「我們打開了 MFA」和「每一個能登入的帳戶都確實被要求驗證」之間的差距。這個差距通常在四個地方：

從未被要求註冊的帳戶。 用戶在策略範圍內，但如果自策略生效後從未登入，就可能沒有註冊任何方法。註冊報告會顯示他們。
越長越大的排除組。 兩年間陸續加入了一位董事、一位顧問和「IT 那位」的緊急訪問排除組。
舊式身份驗證仍被允許。 IMAP、POP、SMTP AUTH 和舊版 Office 客戶端除非被策略阻止，否則只用密碼就能認證。這是「是」其實是「否」的最常見原因。
啓用了登入的共享郵箱和服務帳戶。 共享郵箱應當禁止登入；如果沒有禁止，它就是一個有密碼、通常沒有 MFA 的用戶帳戶。

保險公司會問哪些 MFA 方式？什麼算抗釣魚？

過去兩年，問題已經從「您們有沒有 MFA」變成「是哪一種」。有些表格會直接問管理員是否使用抗釣魚 MFA，有些會問是否還在用短訊。Microsoft 365 支援多種方式，它們並不等價。

短訊和語音電話 vs 驗證器應用 vs 抗釣魚方式

短訊和語音電話。 驗證碼發到手機號。人人能用、無需應用，也是最弱的選項：SIM 卡劫持和實時轉發驗證碼的釣魚頁面都能破解它。許多問卷現在會問這是否是唯一在用的方式，理想的答案是「不是，而且管理員已禁用」。
驗證器應用推送加數字匹配。 用戶批准提示並輸入螢幕上顯示的數字。微軟已對推送通知強制要求數字匹配，堵住了「誤點批准」的問題。能抵禦提示轟炸，但仍可能被代理整個登入過程的高仿釣魚頁騙過。這是普通用戶的合理預設。
抗釣魚方式：通行密鑰（FIDO2）、Windows Hello 企業版和基於證書的身份驗證。 憑據與真實登入頁綁定，代理頁無法重放。這就是表格上「抗釣魚 MFA」的含義，也是越來越多問卷至少對全域管理員的期望。條件訪問提供「身份驗證強度」控制，可以對指定組強制要求它。
臨時訪問通行證及其他恢復方式。 適合入職和恢復，不能用來回答「您們的用戶用什麼 MFA」。

對中小型租戶，一個站得住腳的狀態是：所有用戶使用帶數字匹配的驗證器應用；通過身份驗證強度策略對特權角色要求抗釣魚方式；短訊和語音禁用，或僅限於一個有記錄的後備組。如果您還沒到這一步，就寫明現在在哪裡、計劃何時改。保險公司可以為一個計劃承保，但無法為一句日後被證明不實的陳述承保。

MFA 例外應該怎樣寫，才不會被當作「否」？

幾乎每個真實租戶都有例外，問卷通常會給一個自由填寫框。錯誤做法是把框留空然後勾「是」。更好的模式是勾「是，附以下已記錄的例外」，然後逐條列出三項資料：是什麼、為什麼不適用 MFA、有什麼補償控制覆蓋它。

緊急訪問（break-glass）帳戶。 兩個純雲帳戶，從 MFA 策略中排除，以便 MFA 或條件訪問出問題時能恢復租戶。補償控制：離線保存的超長密碼、登入告警、不用於日常。這是標準且被廣泛理解的例外，應當寫明。
共享郵箱。 如果登入已禁用（這才是正確配置），它根本不是例外。直接寫：「共享郵箱已禁用交互式登入，只能通過持牌且受 MFA 保護的用戶帳戶訪問」。
服務帳戶和集成帳戶。 通過郵件發送掃描件的多功能打印機、讀取郵箱的本地應用。誠實的寫法是協議加控制：「一個服務帳戶從固定內網 IP 使用 SMTP AUTH，條件訪問已將其限制在該位置；已排期遷移到 OAuth」。微軟已宣佈將停用 SMTP AUTH 的基本身份驗證，所以這個例外有自然的終止日期，表格裡可以寫上。
舊設備。 跑不了驗證器應用的倉庫電腦。要麼換成設備綁定的方式（Windows Hello 企業版），要麼記錄設備、用戶、它能訪問的數據和更換日期。
來賓。 被邀請進 Teams 或 SharePoint 的外部用戶。寫明您的條件訪問策略是否對來賓要求 MFA（應當要求），以及是否信任其所屬租戶的 MFA。

這樣寫出來的例外讀起來是治理，而不是漏洞。看到「是」加一個空框的核保人只能猜；看到五條有名有控制有日期的例外，他可以給風險定價。

保險公司要什麼證據？Microsoft 365 能導出什麼？

表格本身是一份聲明，證據在它背後；續保時、理賠時、或經紀人想把風險放到更好的市場時，都可能要求提供。下面每一項都可以從租戶直接產出，不用額外購買，而且導出時租戶會自動帶上日期。

身份驗證方法註冊報告。 Entra ID 會報告哪些用戶註冊了哪些方法、誰具備 MFA 能力。導出為 CSV。這是 MFA 這一題最有用的一份文件，因為它按帳戶顯示覆蓋情況，而不只是策略意圖。
條件訪問策略導出。 每條策略的用戶、排除項、雲應用、條件和授予控制。排除項列表就是證明例外部分完整的依據。
舊式身份驗證登入報告。 登入日誌按舊式客戶端應用篩選最近 30 天。空的才是您要的答案；不空則告訴您哪些設備還要處理，之後才能說「已阻止」。
特權角色成員。 每個管理員角色裡的帳戶清單，以及各自使用的驗證方式。對應「特權帳戶 MFA」那一行。
安全預設值或身份驗證強度的截圖。 設定頁面，租戶名稱和日期可見。
一份簡短的例外登記表。 上一節的五條，加上負責人和複核日期。

我們自己的 Microsoft 365 保安審計產出的正是這一套，並且寫成非技術負責人也能讀的形式；示例審計報告（英文頁）展示了 MFA 發現項如何呈現：沒有註冊方法的帳戶數量、其中的管理員、仍然開放的舊協議、策略排除項，每一項都附修復和回退步驟。報告及其證據工作簿設計用作保險問卷的證據。它們不決定核保結果，我們也不會那樣說。

誠實的「是」常見在哪些地方出錯？

把 MFA 聲明與租戶實際核對時，下面這些是我們最常見到的發現。沒有一項是罕見的。

按用戶「啓用」但未「強制」的 MFA。 舊的按用戶 MFA 設定有「已啓用」和「已強制」兩種狀態；「已啓用」在用戶完成註冊前仍允許僅密碼登入。如果多年前是這樣設定的，部分帳戶可能仍停在這個狀態。
一直停在僅報告模式的條件訪問策略。 僅報告模式是測試策略的正確方法，但它什麼都不強制。從創建那天起就一直停在僅報告模式的策略，對問卷而言等於不存在。
沒人複核的排除組。 當初為兩個緊急帳戶建的組，現在有九個成員。
舊式身份驗證未阻止。 安全預設值會阻止它；條件訪問只有在有策略明確阻止時才會阻止。沒有那條策略，用密碼走 IMAP 照樣可以。
沒有策略引擎的 Microsoft 365 商業基礎版租戶。 沒有 Entra ID P1，選擇只有安全預設值或什麼都沒有。由經銷商開通後從未再看過的租戶裡，「什麼都沒有」出奇地常見。
管理員使用日常帳戶。 同一個帳戶讀郵件、開附件，同時持有全域管理員角色。MFA 可能是開著的，但一次釣魚的波及範圍是整個租戶。有些表格現在會直接問這一點。

這些都是設定，不是項目。難的是知道哪幾條適用於您的租戶，所以第一步是讀一遍，而不是重建。

MFA 這一題與 Cyber Essentials 等認證方案有什麼關係？

對英國讀者來說有直接的重疊。Cyber Essentials 3.3 版把雲服務上的 MFA 當作要求而非建議，雲服務提供 MFA 卻未開啓會被判定為自動不通過；我們的Cyber Essentials 逐項設定指南講了 Microsoft 365 這一側。實際意義是，上面那套證據同時回答了保險公司和方案評估員，值得做一次並保持更新。

對澳大利亞讀者來說，問卷往往參照 Essential Eight 成熟度模型，MFA 是八項策略之一，成熟度等級區分「遠程用戶 MFA」和「所有人使用抗釣魚 MFA」。能讓挑剔的保險公司滿意的 Microsoft 365 配置，和達到較高成熟度等級的配置，是同一套配置。我們不針對任何方案做認證或評估；我們讀取租戶，告訴您它會呈現出什麼。

如果您需要一家能產出證據包、並在您的工作時間裡講解的服務商，英國（英文頁）和澳大利亞（英文頁）頁面說明了我們如何遠程交付，審計頁面也有針對英澳買家的說明。

常見問題

「所有用戶的 MFA」包括來賓和外部用戶嗎？

如果表格寫的是「所有用戶」，通常包括。在 Entra ID 中，來賓是條件訪問裡可選的範圍，您可以對他們要求 MFA；如果通過跨租戶訪問設定信任對方組織的 MFA，也可以接受對方的驗證而不是再問一次。無論選哪種，都寫進例外框。

基於短訊的 MFA 保險公司還接受嗎？

有的對普通用戶接受、對管理員反對；有的會要求您說明是否還在用短訊。我們無法告訴您某家保險公司會怎樣處理，誠實的人都不能。我們能說的是，對特權角色禁用短訊和語音、改為抗釣魚方式，是一個很小的改動，卻能讓這個問題消失。

用 Microsoft 365 的說法，什麼是抗釣魚 MFA？

通行密鑰（FIDO2 安全密鑰或驗證器應用中的設備綁定通行密鑰）、Windows Hello 企業版和基於證書的身份驗證。條件訪問可以通過身份驗證強度策略要求其中一種，通常先應用於管理員角色。

Microsoft 365 保安審計能證明我們全面啓用了 MFA 嗎？

它逐個帳戶地顯示租戶在讀取日期的實際配置，包括排除項和仍然開放的舊協議。報告設計用作證據。它不是認證，核保人是否滿意由他們決定，不由我們決定。

我們用的是 Microsoft 365 商業基礎版，還能答「是」嗎？

可以，打開安全預設值即可：它對所有用戶強制 MFA 註冊並阻止舊式身份驗證，不需要訂閱之外的許可。代價是無法排除任何對象，對小租戶來說這往往反而是優點。如果需要排除項或對管理員強制抗釣魚方式，就需要 Entra ID P1，商業高級版已包含。

Cyber Essentials 怎樣看待 Microsoft 365 上的 MFA？

方案 3.3 版要求雲服務凡提供 MFA 就必須啓用，可用但未啓用的 MFA 在該控制項上被視為自動不通過。審計不授予也不保證認證；它在評估員發現之前告訴您租戶會在哪裡不達標。

把證據湊齊要多久？

如果 MFA 已經通過條件訪問強制執行，一個下午就夠：導出註冊報告、策略、舊式登入報告和角色成員，再寫一份例外登記表。如果還沒有，這些導出會告訴您先修什麼；我們的審計在授予只讀權限後 5 至 7 個工作日內以優先級清單的形式返回同樣的發現，1 至 10 用戶的租戶起價 450 美元。

下一步

如果續保表格已經在您桌上，先從註冊報告和條件訪問導出開始，它們本身就能回答 MFA 這一行的大部分內容。如果您希望有人通讀整個租戶並替您寫好證據包，Microsoft 365 保安審計按人數固定收費，遠程交付，5 至 7 個工作日出報告。如果發現是 MFA 從來沒有正確推開，我們的 MFA 解決方案團隊做這件事，會計師事務所的推廣案例展示了一家承受不起被鎖定的公司如何分階段推進。或者帶著表格聯繫顧問。