Intune 設備審計：檢查什麼、交付什麼

一句話結論： Intune 設備審計是對所有能接觸公司數據的設備做一次只讀的一次性檢查：是否已註冊、是否合規、是否加密、Defender 是否到位、關鍵更新是否在 14 天內完成，個人手機上的工作應用有沒有應用保護。您拿到的是一份帶評級的報告、發現項清單和分階段修復計劃。它不是許可證，它告訴您已經付費的許可證到底有沒有在起作用。

搜索 Intune 設備審計的人，大致處於兩種情況。要麼已經在用 Intune，想找獨立的一方判斷現在的配置是否真的在保護筆記本和手機；要麼正在評估要不要買 Intune 許可證，想先弄清"受管"到底意味著什麼再花錢。本文兩種情況都覆蓋：設備審計查什麼、交付物長什麼樣、它在哪裡停下而租戶級的 Microsoft 365 保安審計從哪裡開始，以及為什麼審計和許可證是兩件常被混淆的不同採購。

下文關於交付物的所有描述，都來自 Brocent 公開的 Intune 設備審計示例報告（英文頁）。示例客戶是一家虛構的 14 人公司、28 台設備，不描述任何真實客戶。

Intune 設備審計檢查什麼？

設備審計從一個簡單的問題開始：哪些設備能打開公司郵件、文件和聊天，每一台的真實狀態是什麼？Intune 只認識已經註冊進來的設備，所以第一步是把 Intune 清單和登入數據、Exchange ActiveSync 與移動應用日誌對帳。之後審計會逐一檢查九個方面。

註冊覆蓋率。 多少設備能接觸公司數據，多少已註冊，未註冊的是怎麼出現的。示例裡 28 台設備只有 19 台註冊；兩台從零售渠道購買的公司 Mac 從未進入 Apple Business Manager，七部個人手機完全不在管理之內。
合規策略。 每個平台是否有合規策略、策略實際檢查什麼，以及不合規的設備是否真的會被標記並阻止。示例中的 macOS 策略只檢查系統版本和密碼，幾乎所有設備都能通過。
配置文件與安全基線。 Windows 安全基線是否已分配、自定義配置文件是否與它衝突，以及結果與各平台 CIS Intune 基準的對照。
加密。 Windows 的 BitLocker 和 macOS 的 FileVault，包括恢復密鑰是否託管到 Intune。示例發現五台受管 Mac 中有兩台 FileVault 關閉，原因是合規策略從沒要求過；還有一台筆記本的 BitLocker 密鑰從未託管。
終端保護。 Defender 是否在每個平台都完成了接入，是否處於完全保護狀態。Mac 上這意味著系統擴展、完全磁盤訪問和後台服務三個配置文件，很容易漏掉。
更新環與補丁合規。 是否設定了更新環或截止期限，有多少設備的關鍵更新落後超過 14 天。14 天這個數字之所以重要，是因為 Cyber Essentials v3.3 把它視為自動不通過，詳見我們的 Cyber Essentials 與 Microsoft 365 指南。
個人設備的應用保護。 是否存在 iOS 和 Android 應用保護策略，條件訪問是否強制要求，以及原生郵件應用是否仍然通過 Exchange ActiveSync 接入——後者會完全繞過應用保護。
管理員角色與本地管理員。 誰持有 Intune 角色，筆記本上是否存在本地管理員權限，Windows LAPS 是否已配置。
清單衛生。 長期未簽入的設備記錄、允許個人 Windows 電腦註冊的註冊限制，以及公司門戶對員工是否可用。

審計只讀取配置和元數據，不讀取郵件或文檔內容，也不在設備上安裝任何東西。

審計是怎樣交付的？

設備審計採用和租戶審計相同的只讀模式。一位全域管理員對一個只讀的 Microsoft Graph 應用做一次授權，大約 15 分鐘。沒有 API 能讀取的設定，由審計方和您們的 IT 負責人在管理門戶裡通過螢幕共享核查，每個發現項都標註取得方式：經 Graph 或 PowerShell 驗證、與客戶確認，或人工複核。授權隨時可以通過移除該應用撤銷。

Brocent 在香港和新加坡遠程交付審計，並按您所在時區安排視頻講解會議。Microsoft 365 保安審計價格頁列出了流程和租戶審計 5–7 個工作日的交付週期；設備審計與之一同定範圍。

最後您會拿到什麼？

示例報告展示了交付物的結構。值得完整讀一遍，這裡列出各部分。

評級和一句話結論。 示例公司得分 54 分（滿分 100），C 減：Windows 狀況良好，風險集中在蘋果設備和個人手機。結論直接點出第一步——給七部個人手機加上應用保護。
設備資產一覽。 六個數字：接觸公司數據的設備數、受管、合規、已加密、14 天內已打補丁、無任何保護的個人手機數。合規、加密和補丁只在已註冊設備上計算，報告明確說明了這一點，因為 68% 受管和 79% 合規是兩個完全不同的數字。
按所有權劃分的推薦管理模型。 公司 Windows 筆記本和 Mac 全面受管；個人 iPhone 和 Android 只做應用保護、不註冊；家用電腦只允許瀏覽器訪問、不允許下載。每一行都寫明控制措施和強制執行它的條件訪問授權。
按平台的 CIS 基準結果。 CIS Intune Windows 11 基準、macOS 和 iOS 基準，以及個人手機的應用保護基線，各自的評估項、通過、未通過和人工項數量。示例中個人手機 18 項得 0 分，因為根本沒有策略。
發現項清單。 示例有 15 項，每項帶領域、嚴重程度、S/M/L 工作量、關閉它的階段和置信度標籤。唯一的嚴重項是個人手機沒有應用保護；四個高危項是原生郵件經 ActiveSync 接入、兩台未註冊的 Mac、Mac 上 Defender 不完整、FileVault 未被強制。
建議的應用保護策略。 逐項列出實際設定：PIN、數據傳輸限制、加密、條件啓動、選擇性擦除，以及條件訪問授權。
Cyber Essentials v3.3 設備對照。 安全配置、用戶訪問控制、惡意軟件防護、更新管理和 BYOD 範圍，每項標註已滿足、部分滿足或未滿足。報告的設計目的是在該流程中用作證據，它不授予也不保證認證。
分階段修復計劃。 第 0 階段穩定，約 1 天；第 1 階段加固，約 3.5 天；第 2 階段治理，約 1.5 天。每個階段列出它關閉的發現項和成功指標，例如 100% 的移動端登入都經過受保護的應用。

您還會拿到報告背後的 Excel 工作簿，包含同樣的發現項和設備行，您自己的團隊或另一家服務商都可以據此工作。

設備審計和購買 Intune 許可證有什麼不同？

這是把大多數人帶到搜索框的那個混淆點。Intune Plan 1、Plan 2 和 Intune Suite 是能力；審計是對這些能力是否已配置、是否在按您的假設運行的判斷。問三個問題就能分清。

儀表板、審計還是升級許可證？

Intune 合規儀表板。 任何 Intune 方案都附帶，即時可用，對自己知道什麼很誠實。它的局限是只報告已註冊設備對您自己寫的策略的符合情況。如果策略從沒問過加密，儀表板會把一台加密關閉的設備顯示為合規。它也看不到那七部從未註冊的手機。
基於基線的設備審計。 一次性、只讀、對照公開基準而不是您自己的策略，並通過對帳登入數據覆蓋未註冊設備。它告訴您缺口在哪裡、按優先級排序、估算關閉缺口的工作量。它本身不改變任何東西。
升級許可證。 增加遠程協助、終端特權管理或高級分析等能力。它本身不修復任何問題，如果基線是錯的，只會把同樣的缺口擴展到更多功能上。示例中的大多數發現項，用公司已有許可證裡的設定就能關閉。

務實的順序是：先看儀表板，因為它已經包含在方案裡；當外部有人要證據、或您懷疑儀表板在美化現狀時做審計；最後才改許可證，在審計已經證明您確實缺少某項能力之後。方案對比和按用戶計價見 Microsoft Intune 價格頁，我們的 Intune Plan 1、Plan 2 與 Suite 指南逐項說明了哪個方案包含哪些功能。本文不重複那些表格。

設備審計和 Microsoft 365 保安審計是什麼關係？

兩者看的是同一個租戶的不同層。Microsoft 365 保安審計檢查租戶本身：Entra ID 身份、條件訪問、Exchange Online、SharePoint、Teams、Defender for Office 365 和 Purview，對照 CIS Microsoft 365 基準。設備審計檢查登入這個租戶的終端。在示例中，兩份報告屬於同一客戶並互相引用：租戶報告彙總設備發現項，設備報告保存完整細節。

先做哪一個取決於觸發原因。

網絡保險續保或供應商問卷通常先問 MFA、管理員帳戶和郵件防護，再問設備。先做租戶審計。
申請 Cyber Essentials 會直接測試設備，包括打開工作郵件的個人手機。如果身份層已經理順，設備審計能回答問卷裡更多的題。
筆記本丟失、離職員工手機裡還留著公司郵件、採購流程之外買的 Mac，直接指向設備審計。
"我們從來沒複查過任何一項"意味著兩個都要，租戶審計是更好的第一步，因為身份控制決定了一台被盜設備能觸達什麼。

租戶審計檢查什麼一文深入介紹了身份層。

Intune 設備審計費用是多少？

Brocent 不單獨公佈 Intune 審計價格。設備審計與 Microsoft 365 保安審計一同定範圍，後者按人數列出標價：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900，150 人以上另行報價。設備數量、平台組合以及個人手機是否納入範圍，決定了疊加在上面的設備工作量，所以設備部分在一次簡短的範圍溝通後報價，而不是直接列出。審計價格頁列出了各檔包含的內容和報價的構成。審計不含加固工作；拿到發現項清單後，整改按項目單獨報價。

關於價值有兩點值得說。第一，大多數設備發現項的修復成本只是幾天的配置工作，因為能力已經在許可證裡了。第二，審計自帶的工作量估算正是它的用處所在：示例的整個修復計劃大約六個工作日、分佈在四個月裡，買方可以拿這個數字要求任何服務商兌現，包括我們。

審計前要準備什麼？

誰在用什麼設備的清單。 審計會從登入數據對帳設備，但一份標註設備歸屬（公司筆記本、個人手機、家用電腦）的員工名單能把確認時間減半。
Apple Business Manager 和 Autopilot 的訪問權限。 不是讓審計方改動什麼，而是查看哪些設備已登記、哪些沒有。
現狀的策略，不要整理。 審計的意義是看到漂移，而不是看一張大掃除第二天的快照。
觸發原因。 告訴審計方這是為了保險公司、Cyber Essentials、客戶問卷還是自己安心，這決定報告以哪種對照表開頭。

常見問題

什麼是 Intune 設備審計？

對所有能接觸公司數據的 Windows、macOS、iOS 和 Android 設備做一次只讀的一次性檢查，無論公司所有還是個人所有。檢查註冊、合規策略、對照 CIS Intune 基準的配置、加密、Defender、補丁時效、個人手機的應用保護、管理員權限和清單衛生，輸出一份帶評級的報告、發現項清單和分階段修復計劃。

Intune 設備審計覆蓋個人手機嗎？

覆蓋，而且在大多數小公司裡，嚴重級別的發現項就在這裡。打開 Outlook、Teams 或 OneDrive 的個人手機都在範圍內。審計檢查應用保護策略是否存在、條件訪問是否強制要求，以及原生郵件應用是否仍通過 Exchange ActiveSync 訪問郵箱。推薦模型是讓個人手機不進入設備註冊，轉而保護工作應用。

審計之前需要先買 Intune Plan 2 或 Intune Suite 嗎？

不需要。審計是把您現有的配置和基準做對照。示例中的大多數發現項，用 Plan 1 以及 Microsoft 365 商業高級版捆綁的許可證裡的設定就能關閉。如果某個發現項確實需要更高的方案，報告會明說，您再去 Intune 價格頁比較。

Intune 合規報告和設備審計有什麼區別？

Intune 管理中心的合規報告告訴您已註冊設備是否符合您寫的策略。審計告訴您這些策略問的問題對不對、未註冊設備在做什麼，以及整個資產對照公開基準的水平。一台設備可以在儀表板上顯示合規，卻因為策略從沒檢查過而仍然沒有加密。

Intune 設備審計需要多長時間？

數據採集是幾天的只讀掃描，出報告前再複核一次；示例的評估窗口是三天。審計系列的報告在只讀授權後 5–7 個工作日內出具。您自己要花的時間只有授權、一次簡短的範圍溝通，以及人工項的一次螢幕共享。

Intune 設備審計報告會被 Cyber Essentials 接受嗎？

報告包含設備控制與 Cyber Essentials v3.3 要求領域的對照表，設計目的是在您準備評估時用作證據。它不授予、不認證、也不保證認證，只有認證機構才能做這件事。

除了 Windows，也能審計 Mac 和 iPad 嗎？

可以。示例覆蓋 13 台 Windows 筆記本、7 台 Mac、一台共用 iPad 以及個人 iPhone 和 Android 手機，分別對照 Windows 11、macOS 和 iOS 的 CIS Intune 基準，以及 Microsoft 的 Android Enterprise 配置框架——因為 Android 沒有 CIS Intune 基準。