Intune 與 CIS Windows 11 基準差距分析

一句話版本： Intune 與 CIS 的差距分析，是把你的 Intune 策略在 Windows 11 上實際設定的值，與所選 CIS 基準的每一項建議逐一比較；通常採用 CIS Microsoft Intune for Windows 11 Benchmark（截至 2026 年 11 月最新版本為 v5.0.0）。Intune 保安基線是微軟自己的建議，並非同一份文件。分析結果是一份登記表：已符合、刻意不同（附原因）、未設定，或無法透過 Intune 強制執行。請在審計之前完成，令每一處差異都是有記錄的決定，而不是審計發現。

遲早會有客戶問卷、網絡保險表格或核數師問你：Windows 設備是否「按 CIS 加固」。如果你用 Intune，並且已指派微軟的 Windows 保安基線，很容易直接答「是」。但這並不準確。基線和 CIS 基準高度重疊，卻是兩個機構分別編寫的兩份文件，符合其中一份的設備，仍可能在另一份有不達標項目。

Intune 與 CIS 差距分析就是找出兩者在你自己設備上的差異。本文講解應該對照哪一份 CIS 文件、如何建立比較表、Intune 可以直接強制哪些建議而哪些不可以，以及如何把例外寫成有根據的決定。本文建基於我們另一篇文章Intune 保安基線審計：找出配置偏移，那篇討論的是你部署的基線是否仍是設備實際運行的配置。

Intune 保安基線就是 CIS 嗎？

不是。Intune 內的 Windows 保安基線是微軟的建議配置，按基線版本公佈一組預設值。互聯網保安中心（CIS）則透過另一套共識流程編寫其基準。兩者在大項目上大致一致（開啟 Defender、開啟防火牆、BitLocker、停用舊協定），但在範圍、具體數值和覆蓋的設定數量上都有分別。有些 CIS 建議比微軟預設值更嚴格，有些設定只出現在其中一份；而且 CIS 把建議分成 Level 1、Level 2 等配置級別，微軟則每項只給一個建議值。

所以「我們部署了 Intune 基線」是個好起點，但不能作為符合 CIS 的證據。如果有人問 CIS，誠實的答案來自一次比較。

應該對照哪一份 CIS Windows 11 基準？

CIS 發佈了兩份 Windows 11 基準，揀錯文件是最常見的第一個錯誤。

CIS Microsoft Intune for Windows 11 Benchmark： 針對透過 Intune 管理的設備，每項建議都以 MDM 或設定目錄（Settings Catalog）中的設定來表達。CIS 在 2026 年 7 月的基準更新中發佈了 v5.0.0。對 Intune 管理的設備，通常應採用這一份。
CIS Microsoft Windows 11 Enterprise Benchmark： 圍繞群組原則編寫。截至本文撰寫時最新版本為 v5.1.0，於 CIS 2026 年 9 月的更新中發佈。適合以群組原則管理的域環境，或群組原則仍掌管大量設定的混合環境。

無論揀選哪一份，都要在分析表最上方寫明基準名稱、版本和配置級別。沒有版本號的「CIS Level 1」是無法核對的引用，而且不同版本之間建議會有改動。如果你上一次分析對照的是較舊版本的 Intune 基準，轉用新版本時應視為一次全新的比較，而不是簡單更新。

Intune 保安基線、CIS Intune 基準與 CIS Windows 11 企業版基準比較

三者如何比較

編寫者： Intune 基線由微軟編寫；兩份 CIS 基準都由互聯網保安中心編寫。
交付形式： 基線是現成的 Intune 設定檔，直接指派即可；CIS Intune 基準是一份文件，需要你透過 Intune 策略去實施；企業版基準是圍繞群組原則編寫的文件。
配置級別： 基線每項只有一個建議值，可自行修改；CIS 基準把建議分為 Level 1、Level 2 等級別。
版本： 基線版本跟隨 Windows 版本發佈，現有設定檔會一直停留在原版本，直至管理員更新；CIS 基準按 CIS 自己的步伐發佈新版本。
最適合的用途： 基線是快速、獲支援的起始配置；有人要求 Intune 設備符合 CIS 時，CIS Intune 基準是參照標準；企業版基準是群組原則環境的參照標準。
單獨能證明甚麼： 基線只能證明你指派了微軟的建議；CIS 基準在你拿設備去比較之前，甚麼也證明不了。

如何做 Intune 與 CIS 的差距分析？

小規模環境可以先自行做第一輪，預留幾天時間，大部分時間花在對應工作上。

確定參照標準。 選定基準、版本和配置級別（對大部分小型機構來說，是 CIS Intune for Windows 11 基準的 Level 1）。記錄哪些建議在範圍內；有些只適用於特定設備類型或功能。
盤點每項設定由誰設定。 列出所有針對 Windows 設備的 Intune 策略：保安基線、設定目錄設定檔、終端保安策略（防毒、防火牆、磁碟加密、攻擊面縮減、帳戶保護）以及舊式設備配置設定檔。同一項設定可能在多處被設定，你需要全部掌握。
把每項建議對應到來源。 就每項 CIS 建議，記錄由哪個策略設定、配置值和期望值。用試算表，每項建議一行，它本身就是你的證據。
檢查設備實際回報的狀態。 策略說明應該生效甚麼，按設定的狀態報告說明實際生效了甚麼。查看每個設定檔的按設定報告；再在一部樣本設備上，從「設定 > 帳戶」內的工作或學校帳戶頁面匯出管理診斷報告。衝突和錯誤亦要寫進登記表，而不只是配置值。
為每一行分類。 採用一組固定結果：已符合；刻意不同（附原因和負責人）；未設定；已設定但出現衝突或錯誤；無法透過 Intune 強制執行（說明以甚麼方式覆蓋）；不適用。
決定修正次序。 先處理對業務沒有影響的「未設定」項目；可能影響用戶或業務應用程式的改動，先在試點組測試，再大範圍指派。

保留這份試算表。下一次分析（新的基準版本或新的基線版本之後）就是與這一份比較，而不是由零開始。

哪些 CIS 建議 Intune 可以強制執行，哪些不可以？

實際操作中，每一行大致會落入三類：

在 Intune 中直接設定： 佔大多數。大部分建議都對應設定目錄內的某個設定，或終端保安策略中的某項設定，CIS Intune 基準本身就是為了令這種對應更直接而編寫。
間接設定： 有些建議需要自訂配置（OMA-URI）、PowerShell 指令碼或修正指令碼，或者取決於某項功能在別處獲得授權並啟用。這些做得到，但亦是最容易被遺忘、在環境改變時靜靜失效的項目，所以要記錄每一項如何下發、如何檢查。
超出設備管理範圍： 少數建議描述的是流程、硬件或其他系統的狀態，而不是設備上的某項設定。以合規檢查、書面程序或明確例外來覆蓋，並在登記表內寫清楚。

無論你的環境比例如何，都要逐行寫低。分析的目的不是一個百分比分數，而是令核數師隨便揀一項建議，都看到你對它採取了甚麼措施。

差異通常出現在哪裡？

不引用具體數字，以下範疇值得優先檢查，因為它們經常被多個策略同時設定、保持 Windows 預設值，或因某個業務原因被放寬卻沒有記錄：

審計原則： CIS 建議啟用特定的進階審計原則子類別；如果沒有人配置，就沿用 Windows 預設值，設備記錄的日誌會比基準期望的少。
用戶權限指派和本機帳戶： 誰可以本機登入、透過遙距桌面登入或作為服務登入，以及本機管理員帳戶如何管理。
攻擊面縮減規則： 每條規則是封鎖模式，還是仍停留在試點時的審核模式。
遙距桌面和遙距協助設定： 常常為方便支援而放寬，之後再沒有收緊。
防火牆日誌和設定檔設定： 開啟防火牆很普遍，但 CIS 規定的日誌和按設定檔的設定則未必。
磁碟加密細節： BitLocker 通常已開啟，差異往往出現在復原、啟動和加密方式等具體設定。

這些都不是未經測試就修改設定的理由，它們只是告訴你應先看哪裡。

例外項目應該如何記錄？

例外是指你決定不遵循、或以不同方式遵循的建議。核數師並不要求零例外，他們要求每一個例外都是一個決定。

每個例外要記錄：建議編號和基準版本、你實際使用的值、原因（應用程式需要、支援需要、經測試的用戶影響）、補償控制（如有）、批准人以及覆核日期。避免沒有日期的「臨時」例外——一年後沒有人說得清理由是否仍然成立。

不要透過把設備從設定 CIS 值的策略中排除來解決衝突。那只會把看得見的衝突變成看不見的覆蓋缺口，這正是我們的基線偏移指南所描述的陷阱。

獨立審計可以補充甚麼？

自行做的分析很有價值，但有兩個弱點：做對應的人通常就是當初配置的人；而且沒有人去查那些根本未納入 Intune 的設備。獨立的設備審計會把每部已登記設備與你指定的基準比較，統計應該登記卻未登記的設備，並交付一份可作為證據使用的發現清單和工作簿。我們的 Intune 設備審計樣本報告（英文）展示了格式；設備審計與 Microsoft 365 安全審計一併訂範圍，現行價格見該頁。

如果差距分析顯示你欠缺的是某項功能而不是某個設定，購買任何東西之前先確認現有授權包括甚麼。我們的 Microsoft Intune 價格頁說明了各方案涵蓋的內容。