Microsoft 365 E3、E5、EMS 保安功能比較

簡短回答： Microsoft 365 E3 提供身份（Entra ID P1）、Defender for Office 365 Plan 1（自 2026 年 7 月 1 日起包含）、基本端點防護（Defender for Endpoint Plan 1）、Intune、數據外洩防護和郵件加密。E5 在此之上增加 Entra ID P2、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2、Defender for Identity、Defender for Cloud Apps、Audit (Premium)、內部風險管理和自動標籤。Enterprise Mobility + Security（EMS）是獨立的身份與裝置套裝，E3 對應 Entra ID P1，E5 對應 Entra ID P2。擁有某項功能，不等於已經設定好。

本文寫給已經為 Microsoft 365 付費的 IT 負責人和企業東主，幫你弄清自己已有哪些保安功能，以及要不要討論 E5。你會得到每個套餐的功能清單、一份「已包含但需要有人去啟用」的短清單，以及查看自己授權的方法。事實已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。本文不涉及價錢，價錢請看微軟的價格頁面。

名稱與近期變化

Microsoft 365 E5 Security 現在叫 Microsoft Defender Suite。微軟的 Entra 授權頁面寫作「Microsoft Defender Suite (formerly Microsoft 365 E5 Security)」。
Microsoft Purview Suite 是對應的合規套件，在服務說明內與 Defender Suite 並列出現。
E3 包含 Defender for Office 365 Plan 1：微軟的 Defender for Office 365 服務說明寫明，自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Plan 1，但不含 Plan 2。較早的頁面和文章（包括部分微軟授權表）可能仍顯示 E3 不含此項。
Enterprise Mobility + Security（EMS）E3 和 E5 仍列在微軟 Entra、Defender 和 Purview 的授權頁面內。詳見下面的 EMS 部分。
Microsoft 365 E7 出現在微軟 Entra 和 Intune 的授權頁面內，是 E5 之上的新套件。本文不涉及。
Microsoft 365 E3 可以加購 Defender Suite、Purview Suite 等附加套件，所以「E3 加附加套件」是可行的替代方案。

Microsoft 365 E3：包含甚麼

身份：Microsoft Entra ID P1。包括條件式存取（Conditional Access）、MFA 報告、詐騙警示、信任 IP、附寫回的自助密碼重設、自訂角色。
電郵防護：所有雲端郵箱的內建防護（反垃圾郵件、反惡意軟件、針對偽冒的反釣魚），以及自 2026 年 7 月 1 日起的 Defender for Office 365 Plan 1：Safe Links、Safe Attachments、附冒充保護的反釣魚、Real-time detections。不含 Plan 2。
端點：Microsoft Defender for Endpoint Plan 1（新一代反惡意軟件、攻擊面縮減規則、裝置控制、防火牆、網絡保護）。
裝置管理：Microsoft Intune，隨套餐附帶。
數據保護：Purview 郵件加密、Exchange / SharePoint / OneDrive 的數據外洩防護（DLP）、手動敏感度標籤、掃描器探索。
審核與搜尋：Audit (Standard) 和 eDiscovery (Standard)。

Microsoft 365 E5：在 E3 之上增加甚麼

身份：Microsoft Entra ID P2。增加以風險為本的條件式存取、Entra ID Protection（風險策略、風險用戶和風險登入）、Privileged Identity Management。
電郵防護：Defender for Office 365 Plan 2，在 Plan 1 之上增加 Threat Explorer、Threat trackers、攻擊活動檢視、自動調查與回應、攻擊模擬訓練。
端點：Defender for Endpoint Plan 2（端點偵測與回應、自動調查、漏洞管理核心功能、威脅分析）。
身份威脅偵測：Defender for Identity。
雲端應用程式：Defender for Cloud Apps，包括應用程式治理。
數據保護：端點 DLP、用戶端和服務端自動敏感度標籤、Customer Lockbox。
合規：Audit (Premium)（審核記錄最長保留一年）、Insider Risk Management、Communication Compliance、eDiscovery (Premium)。

Enterprise Mobility + Security（EMS）：它是甚麼

微軟的「Product names and service plan identifiers for licensing」參考表（Microsoft Learn 上有連結）列出了每個 EMS 產品的組成：

EMS E3：Microsoft Entra ID P1、Microsoft Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure 多重要素驗證、Cloud App Security 探索。
EMS E5：包含 E3 的全部內容，另加 Microsoft Entra ID P2、Microsoft Defender for Identity、Microsoft Defender for Cloud Apps 和 Azure Information Protection Premium P2。

在身份和裝置這一層，EMS 是 Microsoft 365 E3 和 E5 已有內容的子集。如果你已有 Microsoft 365 E3 或 E5，就不必再買 EMS。EMS 適合把組件分開購買的公司，例如 Office 365 加 EMS。微軟也把「Microsoft 365 E3 加 Enterprise Mobility + Security E5 附加項目」列為有效組合。

Office 365 E3、E5 與 Microsoft 365 E3、E5 不同

Office 365 套餐涵蓋 Office 應用程式和線上服務，不含 Windows 和裝置這一層。按微軟的服務說明：

自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Defender for Office 365 Plan 1。Plan 2 包含在 Office 365 E5 和 Microsoft 365 E5，不在 E3。
Defender for Endpoint Plan 1 列在 Microsoft 365 E3 之下，不在 Office 365 E3。
Entra ID P1 列在 Microsoft 365 E3 之下，Entra ID P2 列在 Microsoft 365 E5 之下。

已包含但常常沒啟用

「包含」只代表有授權，不代表已設定。請按這個次序檢查：

條件式存取策略（E3 及以上）。Entra ID P1 給你這項功能，但沒有建立策略就甚麼都不會發生。見條件式存取基本策略。
以風險為本的條件式存取和 ID Protection（E5）。風險策略需要 Entra ID P2。
Privileged Identity Management（E5）。有合資格或限時角色指派的用戶需要 P2 授權。
Defender for Office 365 策略（E3 自 2026 年 7 月 1 日起為 Plan 1，Business Premium 同為 Plan 1，E5 為 Plan 2）。服務在租戶層級預設開啟，但涵蓋哪些用戶要靠指派策略來決定。先由 Standard 預置策略開始。
Defender for Endpoint（E3 為 Plan 1，E5 為 Plan 2）。打開 Defender 門戶，確認裝置已經出現。
郵件加密和 DLP（E3 及以上）。要建立郵件流程規則或策略，否則不會自動加密。
敏感度標籤（E3 為手動標籤，E5 為自動標籤）。標籤要發佈，用戶才看得到。
Audit (Premium)（E5）。保留期適用於擁有對應授權的用戶。
Intune 註冊（E3 及以上）。裝置註冊後才算受管理。

如何查看自己擁有甚麼

用 Microsoft Graph PowerShell 列出租戶內的授權、已購數量和已使用數量：

Connect-MgGraph -Scopes Organization.Read.All
Get-MgSubscribedSku | Format-Table SkuPartNumber, ConsumedUnits,
    @{Name='Purchased'; Expression={$_.PrepaidUnits.Enabled}}

列出每個授權內的服務計劃，可以看到 Defender、Entra 等功能：

$allSKUs = Get-MgSubscribedSku -Property SkuPartNumber, ServicePlans
$allSKUs | ForEach-Object {
    Write-Host "Licence:" $_.SkuPartNumber
    $_.ServicePlans | ForEach-Object {$_}
}

常見錯誤

買了 E5，卻沒打算去設定。 如果沒有人去部署 Defender for Identity、內部風險管理或風險策略，多出來的授權只增加成本，防護提升有限。
以為 Office 365 E3 等於 Microsoft 365 E3。 Defender for Endpoint Plan 1 和 Entra ID P1 的功能屬於 Microsoft 365 E3，不屬於 Office 365 E3。
在 Microsoft 365 E3 或 E5 之上又買 EMS。 續約前先檢查有否重疊。
只為部分用戶授權。 凡是存取受 Defender for Office 365 保護郵箱的用戶都需要授權，共用郵箱亦然。PIM 等 Entra ID P2 功能，相關用戶也要有授權。
把 Secure Score 當成已被涵蓋的證明。 Secure Score 衡量的是設定情況，並非保證。見如何提升 Microsoft Secure Score。

如何確認做到位

用上面的指令列出授權，記下有哪些保安相關的計劃。
對「已包含但常常沒啟用」清單內的每一項，找出設定它的門戶頁面，寫下由誰負責。
把結果與上面的 E3、E5 清單對照。已付費但沒設定的，列入跟進清單。
每次續約或授權變更後重新檢查。

FAQ

Microsoft 365 E3 包含哪些功能？

保安方面：Entra ID P1、Defender for Office 365 Plan 1（自 2026 年 7 月 1 日起）、Defender for Endpoint Plan 1、Intune、Purview 郵件加密、Exchange / SharePoint / OneDrive 的 DLP、手動敏感度標籤、Audit (Standard) 和 eDiscovery (Standard)。

Office 365 E3 有 Defender 嗎？

微軟的服務說明寫明，自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Defender for Office 365 Plan 1（Safe Links、Safe Attachments、反釣魚、Real-time detections）。Plan 2 只限 E5。Defender for Endpoint Plan 1 屬於 Microsoft 365 E3，不屬於 Office 365 E3。

Enterprise Mobility + Security E3 包含甚麼？

Entra ID P1、Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure 多重要素驗證和 Cloud App Security 探索。EMS E5 再增加 Entra ID P2、Defender for Identity、Defender for Cloud Apps 和 Azure Information Protection Premium P2。

保安方面，Microsoft 365 E3 與 Business Premium 有甚麼分別？

兩者都包含 Entra ID P1、Defender for Office 365 Plan 1（E3 自 2026 年 7 月 1 日起）、Purview 郵件加密和 Exchange / SharePoint / OneDrive 的 DLP。Business Premium 另含 Defender for Business；Microsoft 365 E3 含 Defender for Endpoint Plan 1。

小公司值得上 E5 嗎？

視乎你會否用到多出來的工具。E5 增加身份風險偵測、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2 和合規工具。成本較低的一步是 E3 加 Defender Suite 或 Purview Suite 附加套件，微軟容許這樣組合。

想請人協助理清你已有哪些授權、哪些已啟用，可以參考我們的 Microsoft 365 保安審計。

如果想在動手前先了解完整審計的收費，Microsoft 365 安全審計要多少錢一文列出了按人數分檔的固定收費。