Microsoft 365 保安評估費用：香港中小企固定價錢指南

先說結論：Microsoft 365 保安評估費用大致有三種收法：自行用工具掃描（只花時間）、按日計的顧問費（總數要等天數談妥才知道）、以及按人數分級的固定價錢審計。Brocent 的 Microsoft 365 CIS Benchmark 審計按用戶人數一次性收費，1 至 10 人 450 美元、11 至 25 人 990 美元、26 至 75 人 1,800 美元、76 至 150 人 2,900 美元（不含稅），超過 150 人另行報價。報告在獲授予唯讀訪問權後 5 至 7 個工作天交付。

香港中小企找人做 Microsoft 365 保安評估，多數不是因為閒著無事，而是有人問了：客戶的保安問卷、保險公司續保表格、集團總部的審查，或者老闆在新聞上看到同行的郵箱被入侵。問題隨即變成很實際的一句：「做一次要幾多錢，包括什麼，誰可以批？」

本文由這幾個問題出發，說明固定價錢審計通常怎樣界定範圍、價錢跟什麼走、誰要簽批，以及收到幾份報價時怎樣比較。價錢以 Brocent 公布的美元價目表為準，不作港元換算。

Microsoft 365 保安評估要幾多錢？

先看 Brocent 的價目。我們的 Microsoft 365 CIS Benchmark 審計是一次性收費、以美元計價、不含稅，按用戶人數分級：

1 至 10 位用戶：450 美元
11 至 25 位用戶：990 美元
26 至 75 位用戶：1,800 美元
76 至 150 位用戶：2,900 美元
超過 150 位用戶：按租戶情況報價

每一級的範圍相同：CIS Microsoft 365 Benchmark 第一級和第二級（包括需要人手判斷的控制項）；涵蓋 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams；提供可用於常見網絡保險問卷和 Cyber Essentials 問題的證據；附帶按優先次序排列並估算工作量的改善路線圖；以及一次講解報告的視像或電話會議。完整的最新價目請以審計定價頁為準。

人數愈多，租戶裡的用戶、群組、裝置和政策通常愈多，要審閱的設定也愈多，所以價錢按人數分級。範圍不會因為你選了較低的級別而縮減：十個人的公司和一百個人的公司，同樣會按完整的基準審閱。

固定價錢審計包括什麼，不包括什麼？

包括的是「看清楚現況並告訴你先做什麼」：審閱租戶設定、找出落差、按風險排序、估算每項改善的工作量，再講解給你聽。

不包括的是「替你改好」。修補和加固屬另一項工作，按個別項目報價，所以本文不列加固價錢。這樣分開有一個好處：負責評估的一方沒有誘因把問題誇大，你亦可以決定由內部、現有 IT 供應商或我們來做改善。

審計後再審計要另外收費嗎？

如果改善工作由 Brocent 負責，改善後的再審計包括在內。如果改善由你們內部自行完成，再審計按當時的級別價錢收費。這一點在比較報價時值得問清楚，所以要確認報價有沒有寫明複查的次數和範圍。

有沒有持續的選項？

有。除了一次性審計，我們亦提供持續監控選項：每位用戶每月 6 至 10 美元，並包括每季一次再審計。適合租戶經常有人事和政策變動、希望保持基準不退步的公司。對只需要為某次問卷或續保取得證據的小公司，一次性審計通常已經足夠。

香港中小企的 Microsoft 365 保安評估由誰簽批？

價錢不高，但簽批的人常常不止一位。一般來說：

董事或老闆：決定要不要做，以及預算是否在授權範圍內。固定價錢讓這一步容易，因為可以按公司人數直接對照。
財務或行政：關心發票幣種和稅項。我們的價目為美元、不含稅、一次性，付款安排在報價時確認。
內部 IT 或現有 IT 供應商：要授予唯讀訪問權，也會被問到「我們做得如何」。最好一開始就讓他們參與，把審計當成第二對眼睛，而不是考核。
保險經紀、客戶或集團總部：通常是提出要求的一方。事先問清楚他們想看什麼形式的證據，可以避免做完才發現格式不合。

全局管理員需要做什麼？

需要有人以全域管理員身分，一次性同意一個唯讀的 Microsoft Graph 應用程式，大約 15 分鐘，之後可以隨時在 Entra ID 裡移除。這個應用程式讀取的是設定，不會讀取郵件或文件內容。如果你的公司由外部供應商管理租戶，請先通知對方，免得被安全政策擋住。

怎樣比較幾份 Microsoft 365 保安評估報價？

香港市場上，同一個名稱下面其實有幾種截然不同的服務。收到報價時，可以先分清楚是哪一種。

自行掃描、按日顧問，還是固定價錢審計？

自行掃描工具：費用是現金零元，但需要內部有人會跑 PowerShell 和判讀結果。好處是快；限制是工具輸出不會告訴你，以你的員工、授權和風險而言先改哪一項，也無法檢查沒有介面可讀的手動控制項。
按日計的顧問：彈性最高，但總價要等範圍和天數談妥才知道。適合範圍很特別、牽涉多個租戶或需要訪談的項目。
固定價錢審計：事前知道總數、範圍和交付時間，比較容易取得內部批准。限制是範圍已定，超出範圍的工作需要另外商量。

沒有哪一種永遠最好。公司只有一個租戶、人數不多、需要為某個要求取得證據時，固定價錢最容易批；若你的 IT 團隊有餘力，掃描工具可以作為前期準備。

報價要問的五個問題

範圍是 CIS Benchmark 的哪一級？是否包括需要人手判斷的控制項？
涵蓋哪些服務（Entra ID、Exchange、SharePoint、Teams、Defender、Purview）？
報告何時交付？從哪一天起算？
改善後的再審計怎樣收費？
報告是否可以直接用作問卷或續保的證據，還是只供內部參考？

留意第五點的措辭。我們說的是報告「設計為可用作證據」，而不是任何保險公司、核數師或機構「接受」或「認證」它。Cyber Essentials 方面，審計本身不會授予或保證認證結果。

一次評估要多久？需要準備什麼？

報告在你授予唯讀訪問權之後 5 至 7 個工作天交付，另有一次講解會議。你需要準備的是：一位能授予同意的全域管理員、租戶的基本背景（用戶人數、主要使用的服務、是否有外部 IT 供應商），以及你要滿足的具體要求（例如某份問卷）。事先把問卷交給我們，報告的證據部分就能對準你要回答的問題。

服務以遠程方式提供。

這和其他文章怎樣配合？

如果你想先了解價格的整體圖像，包括免費工具和其他收費方式，可以看Microsoft 365 保安審計要多少錢。如果在固定價錢與按時收費之間猶豫，固定價錢還是按時收費有逐項比較。針對香港公司的範圍和流程，見香港 Microsoft 365 保安審計。想預覽報告的樣子，可以讀樣本報告解讀；保險續保方面則有香港網絡保險續保的 IT 要求。審計涵蓋的項目見服務頁（英文頁）。