網絡保險問卷：Microsoft 365 證據清單

一句話結論： 網絡保險問卷中有關 Microsoft 365 的問題大多是「是／否」，但一個站得住腳的「是」，背後要有附日期的匯出檔案。本文逐項說明常見問題查的是甚麼、答案在 Microsoft 365 的哪個位置，以及哪些常見缺口會令「是」變成誠實的「否」。

網絡保險問卷看似只是一張表格，實際上是要求你證明：幾項關鍵控制在整個租用戶內都已啟用，而不只是填表人自己的帳戶。如果公司使用 Microsoft 365，幾乎每個答案都可以在幾個管理入口核對。問題在於，入口顯示的是「今天的設定」，而簽署的投保申請涵蓋的是整個保險期間。附日期的證據，正是用來填補這個差距。

本文寫給中小企的資訊科技負責人，以及收到續保表格的財務或營運主管。先說明一點：每家保險公司和經紀都有自己的表格，接受甚麼證據由他們自行決定。本文不能告訴你保險公司會接受甚麼，只能幫你在簽署之前先把自己的情況理清楚。

網絡保險問卷到底在問甚麼？

核保人想知道出險的機會有多大、損失會有多嚴重。網絡保險公司 Coalition 公開列出的核心要求包括多重要素驗證（MFA）、員工培訓、備份、身份與存取管理和資料分類，同時提到 EDR 或防毒軟件以及事故應變計劃（2026 年 10 月 27 日查閱）。英國國家網絡安全中心（NCSC）的網絡保險指引（2020 年 8 月 6 日發布，2026 年 10 月 27 日查閱）建議投保方保存準確的保安文件，以便每年重新評估保單；並建議把備份與網絡分隔，或存放在專為此而設的雲端服務。

要避免的錯誤，是憑記憶或憑當初的設計作答。問題不是「我們本來打算啟用 MFA 嗎」，而是「今天，所有能存取電郵、遙距連線和管理員角色的帳戶是否都強制使用 MFA，我們能拿出證據嗎」。

保險公司常問哪些 Microsoft 365 問題？

以下問題，反映公開的保險指引和常見投保表格中反覆出現的主題。各家用字不同，請以你手上的表格為準。每條問題我們都說明四件事：它查甚麼、答案在哪裏、哪些證據有幫助、常見缺口是甚麼。

電郵和遙距存取是否強制使用 MFA？

它真正在查甚麼： 單靠一個被盜的密碼，能否讀取郵件或進入你的系統。保險公司關心的是涵蓋範圍，而不是「某處有 MFA」。
在 Microsoft 365 的哪裏： Microsoft Entra 管理中心，Entra ID、條件式存取、原則。再看 Entra ID、驗證方法、活動，其中「註冊」索引標籤和用戶註冊詳細資料報告會顯示哪些用戶具備 MFA 能力（微軟文件，2026 年 6 月更新，2026 年 10 月 27 日查閱）。
哪些證據有幫助： 一份附日期的條件式存取原則清單，列明每條原則的狀態（開啟、僅報告或關閉）、適用的用戶和應用程式範圍，以及排除項目；再加一份附日期的用戶註冊詳細資料匯出，篩選出不具備 MFA 能力的用戶。
常見缺口： 原則要求 MFA，但仍處於「僅報告」模式。微軟文件明確指出，僅報告模式的原則只作評估，不會強制執行（2026 年 6 月更新，2026 年 10 月 27 日查閱），用戶既不會被要求驗證，也不會被封鎖。另一個常見缺口，是「所有用戶」原則的排除群組愈來愈大，不知不覺把高層、共用郵箱或「臨時」帳戶都包了進去。

「具備 MFA 能力」不等於「被要求使用 MFA」。用戶可以已經註冊了 MFA，但如果沒有任何強制原則涵蓋他，登入時照樣不會被詢問。請把原則清單和註冊報告一併審視。

管理員和特權帳戶有沒有另行保護？

它真正在查甚麼： 能改動一切的帳戶是否最難被接管，數量是否過多。
在 Microsoft 365 的哪裏： Entra ID、角色和管理員，查看角色持有人；條件式存取中針對目錄角色的原則；如授權包含，則用 Privileged Identity Management 查看「符合資格」與「永久」指派。
哪些證據有幫助： 一份附日期的角色指派匯出（誰擁有全域管理員及其他特權角色）、全域管理員的數目，以及每位管理員使用的 MFA 方法。更有力的證據是管理員使用獨立、不帶郵箱的管理帳戶，並採用通行密鑰等防釣魚方法。
常見缺口： 應急（break-glass）帳戶。微軟建議設立兩個或以上緊急存取帳戶（2026 年 6 月更新，2026 年 10 月 27 日查閱），從會封鎖或限制登入的條件式存取原則中排除，以通行密鑰或憑證保護，並為其登入設定警示。有些租用戶一個也沒有，或只有一個靠密碼、沒有 MFA、使用時也沒有警示的帳戶。「所有管理員是否強制使用 MFA」的誠實答案，應該是「是，但以下帳戶除外，其控制方式如下」。請把例外寫清楚。

微軟自己的強制 MFA 規定（2026 年 10 月更新，2026 年 10 月 27 日查閱）涵蓋 Azure、Entra、Intune 和 Microsoft 365 管理入口，應急帳戶亦包括在內。這是針對管理入口的規定，並不能取代針對電郵和應用程式的原則。

舊式驗證是否已被封鎖？

它真正在查甚麼： 攻擊者能否借助無法彈出 MFA 提示的舊協定（例如 POP、IMAP 或舊版 SMTP 用戶端）繞過 MFA。
在 Microsoft 365 的哪裏： Entra ID、監視和健康情況、登入記錄，按「用戶端應用程式」篩選，互動式和非互動式兩個索引標籤都要看。微軟在以條件式存取封鎖舊式驗證（2026 年 3 月更新，2026 年 10 月 27 日查閱）中有說明。相關的郵件流程設定在 Exchange 管理中心。
哪些證據有幫助： 封鎖舊式用戶端應用程式的條件式存取原則（狀態為「開啟」），加上一份附日期、涵蓋最近 30 日的登入記錄匯出，顯示沒有成功的舊式登入（或列出餘下的登入及原因）。
常見缺口： SMTP AUTH。微軟表示，大部分協定的基本驗證已在所有租用戶中停用（2026 年 7 月更新，2026 年 10 月 27 日查閱），但 SMTP AUTH 仍然可用，微軟另行公布了其基本驗證的退役時間表。打印機、掃描器和業務系統往往依賴它。如果它仍然啟用，就要知道哪些裝置在使用、為甚麼使用。回答「沒有舊式驗證」之前，請先核查。

SPF、DKIM、DMARC 是否已設定，外部轉寄是否受控？

它真正在查甚麼： 別人能否發出看似來自你網域的郵件，以及被入侵的郵箱能否暗中把郵件複製出公司。
在 Microsoft 365 的哪裏： SPF 和 DMARC 是網域代管商處的 DNS 記錄；DKIM 簽署按網域在 Microsoft Defender 入口啟用；外部轉寄由 Defender 的外寄垃圾郵件原則控制，並可在 Exchange 管理中心的「自動轉寄郵件」報告中查看。
哪些證據有幫助： 每個發信網域 SPF 與 DMARC 記錄的附日期 DNS 查詢結果、顯示 DKIM 已啟用的附日期截圖或匯出，以及顯示自動轉寄為「關閉」的外寄垃圾郵件原則。微軟文件說明了 DMARC 的設定方法，以及由 p=none 推進至 p=quarantine 再到 p=reject 的過程（2026 年 7 月更新，2026 年 10 月 27 日查閱），也說明了自動外部轉寄的控制方式（2026 年 8 月更新，2026 年 10 月 27 日查閱）。
常見缺口： DMARC 記錄雖然存在，卻一直停在 p=none，只監察、不保護。另有閒置或舊網域完全沒有 DMARC 記錄，以及未用於發信的 *.onmicrosoft.com 網域，微軟指出它也需要自己的記錄。關於轉寄，預設值是「自動－系統控制」，微軟說明其行為視乎組織的建立時間而定，所以應明確設定，不要想當然。

DMARC 處於 p=none 是邁向強制執行的合理階段。請如實說明目前的位置，以及計劃何時改為 quarantine 或 reject。

每部裝置是否都有端點防護或 EDR？

它真正在查甚麼： 點擊了惡意連結的手提電腦，是否有東西能攔截或至少偵測到攻擊，以及你能否說清楚涵蓋了多少部裝置。
在 Microsoft 365 的哪裏： Microsoft Defender 入口（裝置清單、上線狀態）和 Intune 管理中心的「裝置」（合規狀態，以及哪些裝置根本沒有被管理）。
哪些證據有幫助： 一份附日期的匯出，列出每部裝置的作業系統、防護狀態和最後一次登記時間，並與員工人數對照。
常見缺口： 不清楚有哪些裝置。「100% 端點涵蓋」這個答案，一遇到清單內 90 日沒有登記的裝置、讀取公司電郵的私人手提電腦，或從未註冊的 Mac 就站不住腳。如果私人裝置會存取公司電郵，請如實說明並描述控制方式，例如應用程式保護原則或僅限瀏覽器存取。

如果你要從零開始建立裝置管理，可參考我們的 Microsoft Intune 定價頁面。

系統是否及時更新修補？

它真正在查甚麼： 你所控制的裝置和軟件，已知漏洞多快被修補。
在 Microsoft 365 的哪裏： Intune 更新環和 Windows Update for Business 報告；如已授權，可用 Defender 弱點管理。
哪些證據有幫助： 一份附日期的每部裝置更新合規匯出，以及訂明安裝期限的原則。
常見缺口： 有修補原則，卻無法證明裝置有遵守。關機的、不在網絡上的或未註冊的裝置，永遠不會顯示為「失敗」。伺服器和第三方軟件不在 Intune 範圍內，所以要按整個環境來回答。

是否有備份，包括 Microsoft 365 資料？

它真正在查甚麼： 遇到勒索軟件或誤刪時，能否不付贖金就還原，以及備份是否能在同一次攻擊中倖存。
在 Microsoft 365 的哪裏： 保留原則和資源回收筒不是備份。微軟的服務協議（2026 年 10 月 27 日查閱）要求客戶自行備份自己的內容和資料。郵箱、SharePoint、OneDrive 和 Teams 的備份，通常是另行購買並設定的服務。
哪些證據有幫助： 備份作業報告（顯示每個工作負載最近一次成功執行）、附日期和結果的還原測試，以及副本存放位置和誰可以刪除它們。
常見缺口： 因為檔案同步到了 OneDrive 就回答「是」。同步會像複製好檔案一樣忠實地複製刪除動作和被加密的檔案。另一個缺口是備份與租用戶共用管理員身份，攻擊者接管租用戶後連備份也可以一併刪除。

NCSC 的檢驗標準，即備份與網絡分隔或存放在專用服務中，是合理的。我們的雲端管理型備份服務可以涵蓋這一塊。

有沒有記錄檔，保留多久？

它真正在查甚麼： 出事後，你能否查清發生了甚麼事、影響有多大。
在 Microsoft 365 的哪裏： Microsoft Purview 的「稽核」（統一稽核記錄）；Entra 登入記錄和稽核記錄；Defender 的警示和事件。
哪些證據有幫助： 顯示稽核已開啟的截圖或匯出、你實際擁有的保留期，以及一次能傳回結果的示範搜尋。微軟的 Purview 稽核文件（2026 年 5 月更新，2026 年 10 月 27 日查閱）寫明，Audit（標準版）保留 180 日；Audit（進階版）對 Entra、Exchange、SharePoint 和 OneDrive 的記錄最長保留一年。
常見缺口： 表格要求的保留期比租用戶實際的 180 日更長。請定期把記錄匯出到獨立儲存空間，或調整授權，不要直接剔選了事。

有沒有進行釣魚意識培訓？

它真正在查甚麼： 員工會否舉報可疑電郵，而不是點擊它。
在 Microsoft 365 的哪裏： 如已授權，Defender 入口中的攻擊模擬訓練；否則看培訓供應商的記錄。
哪些證據有幫助： 按員工列出的附日期完成報告，以及最近一次模擬的日期。
常見缺口： 只在入職時培訓過一次，沒有記錄；外判人員和新入職員工沒有任何記錄。

有沒有事故應變計劃？

它真正在查甚麼： 凌晨兩點出事時，大家是否知道該打給誰、先做甚麼。
在 Microsoft 365 的哪裏： 主要是一份文件，由 Defender 警示原則（誰會收到通知）和 Purview 稽核（如何調查）提供支援。
哪些證據有幫助： 附日期並有負責人的計劃、包含保險公司事故熱線的聯絡人清單，以及最近一次演練的日期。
常見缺口： 計劃只存在於某個人的腦海中，或聯絡人清單上仍然寫着已經離職的人。

截圖還是附日期的匯出：哪種算證據？

保險公司要求的證明各不相同，很多在出險之前根本不會要求。但預先準備較強的那一種成本很低，也能令你的答案更站得住腳。

附日期的截圖與附日期的匯出比較

附日期的截圖： 快捷、易讀。但只顯示某一天的一個畫面，也容易被裁剪，或者截錯租用戶。適合「DKIM 已啟用」「稽核已開啟」這類設定。
附日期的匯出（CSV、JSON 或附時間戳記的 PowerShell 輸出）： 顯示所有記錄，而不只是第一頁，所以能揭露被裁剪的截圖所隱藏的排除項目。適合 MFA 註冊、角色指派、裝置清單和登入記錄。
客戶簽署的聲明： 不屬於以上兩種。這是你自己出具的書面聲明，說明答案屬實，很多保險公司無論還要甚麼都會要這一份。它的可信度取決於背後的匯出檔案。

請保留檔案名稱、日期、租用戶名稱和匯出人。無法確定日期的匯出，並不比記憶強多少。

續保前的 Microsoft 365 檢查清單

建議在續保日期前四至六星期開始，這樣才有時間修正問題，而不只是報告問題。

條件式存取： 匯出原則清單。確認所有 MFA 和封鎖舊式驗證的原則都是「開啟」，而不是「僅報告」。逐一審視排除群組，並列出每名成員。
MFA 涵蓋範圍： 匯出用戶註冊詳細資料。逐一跟進不具備 MFA 能力的用戶。
管理員： 匯出角色指派。把全域管理員減至你能說明理由的數目。確認應急帳戶存在、按設計被排除、有保護且受監察。
舊式驗證： 按舊式用戶端應用程式篩選 30 日登入記錄。找出並處理仍在使用 SMTP AUTH 的對象。
電郵保安： 查詢你擁有的每個網域的 SPF 和 DMARC。確認 DKIM 已開啟。把自動外部轉寄設為「關閉」，或記錄原因。
裝置： 匯出 Intune 和 Defender 裝置清單。處理未受管理和長期不活躍的裝置，並寫明私人裝置如何處理。
修補： 匯出更新合規情況，並記下原則訂明的期限。
備份： 記錄每個工作負載最近一次成功的作業，並進行一次附日期的還原測試。
記錄檔： 確認稽核已開啟，並寫下實際保留期。
人員與流程： 為培訓記錄和事故應變計劃標註日期。
簽署： 簽署表格的人先閱讀這些匯出。

Brocent 能做甚麼，不能做甚麼？

Brocent 是總部設於香港的管理型IT外包服務供應商，服務亞太區、英國和歐洲以及中東客戶。我們的 CIS 基準審核以唯讀權限讀取你的 Microsoft 365 租用戶，並對照 CIS Microsoft 365 Benchmark 第 1 級和第 2 級進行檢查，包括安全分數無法檢查的手動控制項目。報告設有保險公司證據章節，回應上述問題，並為每一項指向一份附日期的匯出：每位用戶的 MFA 涵蓋情況、含排除項目的條件式存取清單，以及 SPF、DKIM 和 DMARC 記錄。

報告是為用作證據而設計的。它不會令你「符合」任何標準，接受與否由各家保險公司自行決定。很多保險公司還要求客戶簽署聲明，我們可以擬備一份供你審閱，是否屬實由你判斷，再由你決定是否簽署。

公布價格為一次性收費，按員工人數分級，以美元計價，不含稅：

1 至 10 名用戶： US$450
11 至 25 名用戶： US$990
26 至 75 名用戶： US$1,800
76 至 150 名用戶： US$2,900
150 名用戶以上： 報價

每個級別的範圍相同。你授予唯讀存取權限後，報告在 5 至 7 個工作天內交付。詳情請見 Microsoft 365 保安審核定價頁面，也可以在示範報告（英文，虛構客戶，附保險公司證據包）中查看。如果你需要的是持續支援而不是一次性報告，請了解我們的管理型IT外包服務與保安服務，或聯絡我們談談你的續保安排。