英國企業 Microsoft 365 安全評估：固定價格、範圍與 Cyber Essentials 對應

重點速覽： 在英國使用 Microsoft 365 的企業，通常只需要一次定價固定、只讀的租戶安全評估：對照 CIS Benchmark 逐項檢查，並把發現映射到 Cyber Essentials。我們的收費為 10 名用戶以內 US$450，76–150 名用戶 US$2,900，獲得訪問權限後 5–7 個工作日交付書面報告。想省錢，最有效的做法是在預約 Cyber Essentials 之前，先修復會直接導致不合格的項目。

如果你在英國經營一家使用 Microsoft 365 的公司，安全評估通常因三個原因而被提起：客戶或公共部門要求取得 Cyber Essentials；保險公司的投保表格詢問你如何保護賬號；或者管理層想知道 Outlook、SharePoint 和 Teams 裏的個人資料是否真的安全。這三個問題其實由同一項工作回答：檢查租戶的配置，對照公認的基準評分，再給出修復計劃。

本文說明這項工作的收費、涵蓋範圍、與 Cyber Essentials 及 UK GDPR 的對應關係，以及如何避免多花冤枉錢。凡引用標準之處，來源鏈接都列在文末。

英國的 Microsoft 365 安全評估收費多少？

我們按用戶人數為單一產品定價。費用在開工前確定，且各國一致，所以利茲的公司與新加坡的公司，同樣人數付同樣的價錢。所有金額均為一次性、以美元計價、不含稅：

• 1–10 名用戶： US$450
• 11–25 名用戶： US$990
• 26–75 名用戶： US$1,800
• 76–150 名用戶： US$2,900
• 150 名用戶以上： 簡短的範圍溝通後，報固定價格

沒有日薪，也沒有「工作天數待議」。每個級別的範圍完全相同：10 人的小事務所與 150 人的公司接受同樣的檢查，只是報告篇幅較短。目前的優惠、可選的每月監控方案以及較大租戶的方案，都在 英國 Microsoft 365 安全評估 價格頁，價格以該頁為準。

我們只公佈一份美元價目表。如需其他貨幣的報價，請告知，我們會說明可以用哪些貨幣開票。

如何省錢： 如果你的人數接近級別分界線，索取報價時請直接告訴我們。我們會在開工前確認級別和固定費用，最後不會有意外。

評估涵蓋什麼，不涵蓋什麼？

Microsoft 365 評估是配置審查，不是網絡掃描。你沒有需要探測的服務器，所以範圍就是租戶的設置，以及誰能接觸到其中的數據。每個級別都檢查三個範疇。

身份：誰能登錄，如何登錄

• 所有用戶的 MFA 覆蓋情況，包括應急（「break-glass」）賬號和服務賬號
• Conditional Access 策略，以及被排除在策略之外的人員
• 特權角色，以及管理員是否使用防網絡釣魚的登錄方式
• 可繞過 MFA 的舊式驗證和 SMTP AUTH
• 用戶已授權的第三方應用，以及這些應用可以讀取什麼
• 訪客賬號，以及它們是否會到期

電郵：Exchange Online 與 Defender for Office 365

• 每個域名的 SPF、DKIM 和 DMARC，包括你已不再使用的域名
• 自動轉發到外部地址，以及隱藏郵件的收件箱規則
• 反釣魚、反垃圾郵件、Safe Links 和 Safe Attachments 策略
• 郵箱審計，以及統一審計日誌的保留時間

文件與協作：SharePoint、OneDrive 與 Teams

• 外部共享，以及任何人皆可訪問的匿名「Anyone」鏈接
• 針對個人資料的敏感度標籤、保留策略和數據防洩漏
• Teams 外部訪問和第三方應用
• 在沒有應用保護的情況下訪問郵件和文件的個人手機與手提電腦

不包括的內容：實施修復（拿到報告後，我們另以固定價格報價）、Microsoft 365 備份、滲透測試、釣魚演練、辦公室防火牆等內部部署設備，以及查看任何人的郵件或文件。評估只讀取設置和元數據。

評估如何對應 Cyber Essentials v3.3？

Cyber Essentials 是由 NCSC 運作、IASME 擔任交付夥伴的英國政府支持計劃。IT 基礎設施要求第 3.3 版配合「Danzell」題庫，適用於 2026 年 4 月下旬起的新評估。對使用 Microsoft 365 的公司而言，其中三點最重要：

• 雲服務一律在範圍內。 NCSC 文件把 Microsoft 365 列為軟件即服務的例子。你不能把它排除在外，用戶訪問控制（包括 MFA）始終是你的責任，而不是 Microsoft 的。
• 雲服務未啟用 MFA，即自動不合格。 IASME 明確指出，如果雲服務提供 MFA 而你沒有啟用，評估即告失敗。
• 14 天內打補丁，同樣是自動不合格項。 操作系統和應用程序的高風險或嚴重更新，必須在發佈後 14 天內安裝。

我們的報告包含一份 Cyber Essentials 就緒度表格，從 Microsoft 365 的角度檢視五項控制。內容涵蓋雲服務 MFA、管理員賬號、閒置賬號、安全配置、惡意軟件防護和更新設置，並標出每一項會導致評估不合格的問題。防火牆大多不屬於 Microsoft 365 審查範圍，所以表格會說明哪些證據需要從其他地方取得。

兩點提醒。報告只是你評估所用的證據，認證機構有自己的決定，我們不為你認證。此外，租戶審查不會檢查每一部手提電腦。逐項控制的細節，請閱讀我們的 Microsoft 365 與 Cyber Essentials 指南。如果你要申請 Plus 級別（由評估員抽樣測試你的設備），預約前請先看 Cyber Essentials Plus 技術驗證會測試什麼。

如何省錢： 先修復自動不合格的項目。在典型的小型租戶中，這些通常是少數沒有啟用 MFA 的賬號、一個仍然開着的舊式協議，以及沒有截止期限的更新環。評估失敗後重新申請，比提早一週找出問題更耗時間。

UK GDPR 有什麼要求，評估能幫上什麼？

UK GDPR 要求安全措施與你處理數據的風險相稱。第 32 條列出各項措施，其中一項是「定期測試、評估和評價技術及組織措施有效性的流程」。ICO 的指引用更淺白的話表達同一意思：根據自身風險，用合適的方法定期測試你的措施。它並未規定具體的測試方式或頻率。

對大多數英國中小型企業而言，個人資料實際就存放在 Microsoft 365 裏：OneDrive 裏的簡歷、SharePoint 裏的客戶文件、Outlook 裏的薪酬附件。一份註明日期、已評級的設置審查，是「定期測試和評估」記錄中實用的一環。如果某項發現涉及個人資料，我們的報告會註明並評級。典型例子有：

• 存放客戶或人事文件的文件夾設有匿名共享鏈接
• 郵箱規則把郵件轉發到個人地址
• 沒有針對護照號碼或國民保險號碼的數據防洩漏策略
• 審計日誌保留期太短，無法在事後調查數據洩露

評估不是法律意見，也不能取代數據保護影響評估。它顯示你的租戶設置允許什麼；這對你的合規義務意味着什麼，由你的數據保護負責人判斷。

保險公司或客戶的安全問卷會要求什麼？

英國的網絡保險投保表格和客戶安全問卷，問的通常是同一份簡短清單：是否人人啟用 MFA、管理員賬號如何保護、電郵是否經過身份驗證、設備是否受保護並已打補丁，以及日誌保留多久。如果每個「是」都能指向一份註明日期的導出記錄，回答起來更容易，也更難被質疑。

我們的報告附有專為這些問題準備的證據包。每個答案都對應一份從你的租戶導出的記錄，並註明導出日期。各家保險公司規則不同，我們不能承諾某一家會接受什麼；我們能做的是確保你的答案屬實，並有可出示的憑證。我們的文章 每個保險問題背後的 Microsoft 365 證據 逐題說明。

評估如何進行？訪問權限、時間表與交付物

整個項目都是遠程進行，總結會議安排在英國辦公時間。

1. 我們確認你的人數級別和固定費用，通常在一個工作日內完成。
2. 你的一位 Global Administrator 批准我們的只讀審計應用，大約需要 15 分鐘。我們不會在你的租戶裏創建任何 Brocent 賬號或密碼。
3. 自動化檢查在數分鐘內跑完；隨後由工程師逐項處理腳本無法讀取的手動控制項。
4. 獲得訪問權限後 5–7 個工作日，你會收到書面報告。
5. 總結會議逐一講解發現，以及建議的修復順序。

評估結束當天，你就可以在 Entra ID 中移除該應用。如果想確切了解它申請了哪些權限，請閱讀 只讀 Microsoft 365 審計應用申請什麼權限，為什麼。

你會收到：

• 一份書面報告，包含已評級的發現、各項證據以及修復所需的工作量
• 按章節列出的 CIS Microsoft 365 Foundations Benchmark Level 1 和 Level 2 結果，包括手動控制項
• 按服務列出的 CISA ScubaGear 基準結果，作為獨立的交叉驗證
• 你的 Microsoft Secure Score，用作趨勢線而非最終結論
• Cyber Essentials 就緒度表格和保險證據包
• 分階段的修復計劃，以及列出每項控制的 Excel 工作簿

購買前，你可以先閱讀完整的 評估報告樣本，樣本為英文，使用虛構客戶。

合同：博迅 11 個本地法人實體中，任何一個都可以作為合同方，具體在方案中確認。博迅 2007 年在北京成立，總部設於新加坡，為 100+ 個國家和地區的客戶提供服務。如果你在英國還需要現場協助，請參閱我們的 英國 IT 支援 頁面。

評估、Cyber Essentials Plus 還是滲透測試：先做哪一個？

英國企業常常在同一個月內被推薦這三項服務。它們回答的是不同的問題。

哪一個能回答你的問題？

• Microsoft 365 安全評估： 對照公開基準，檢查你的租戶如何配置。回答「我們的雲設置安全嗎，先修什麼？」定價固定，遠程進行，數天內出報告。
• Cyber Essentials： 以自我評估問卷為基礎、由認證機構核查的證書。回答「我們能否向客戶或招標方證明已達到基本控制要求？」
• Cyber Essentials Plus： 控制項相同，另由評估員對抽樣設備進行實際測試。回答「這些控制在我們的設備上真的有效嗎？」
• 滲透測試： 測試人員嘗試入侵。回答「攻擊者可以利用我們現有的弱點做什麼？」它需要明確的目標，費用通常更高。

對大多數英國小型公司而言，合理的順序是：評估、修復、Cyber Essentials，若合同要求再做 Plus。基礎打好之後，滲透測試才更有意義。我們的 Microsoft 365 安全審計與滲透測試比較 說明了各自適合在什麼情況下購買。

資料來源

• NCSC，Cyber Essentials：IT 基礎設施要求 v3.3（2026 年 4 月）：ncsc.gov.uk
• NCSC，Cyber Essentials 概覽：ncsc.gov.uk/cyberessentials/overview
• IASME，2026 年 4 月 Cyber Essentials 變更：iasme.co.uk
• UK GDPR 第 32 條，處理的安全性：legislation.gov.uk
• ICO，數據安全指南：ico.org.uk
• CIS Microsoft 365 Foundations Benchmark：cisecurity.org

常見問題

英國的 Microsoft 365 安全評估收費多少？

按用戶人數收取一次性固定費用，以美元計價、不含稅：1–10 名用戶 US$450，11–25 名 US$990，26–75 名 US$1,800，76–150 名 US$2,900。150 名用戶以上報固定價格。沒有日薪，價格也不因國家而異。

Microsoft 365 安全審計與評估有分別嗎？

在這裏沒有。審計、評估和審查指的是同一項服務：對照 CIS Benchmark 和 CISA 基準，只讀審查你的租戶，以一份報告和修復計劃交付，收取一筆固定費用。

做了評估就能取得 Cyber Essentials 嗎？

沒有任何評估能作此承諾，因為最終由認證機構決定。報告會把發現映射到 Microsoft 365 租戶能夠提供證據的 Cyber Essentials 要求，並標出自動不合格項，讓你在申請前先修復。

涵蓋 UK GDPR 嗎？

涵蓋決定個人資料是否受保護的 Microsoft 365 設置，例如共享、轉發、數據防洩漏、標籤、保留和訪問權限。它不是法律意見，也不是數據保護影響評估。

需要到我們辦公室嗎？

不需要。評估完全遠程進行。Global Administrator 只需一次性批准只讀應用，總結會議安排在英國辦公時間以電話進行。

你們會閱讀我們的電郵或文件嗎？

不會。評估只讀取配置和元數據，從不讀取郵件或文件內容，也不會與我們共用任何賬號或密碼。

需要多長時間？

管理員批准訪問約需 15 分鐘，之後 5–7 個工作日交付書面報告，並安排總結會議。

你們能修復評估發現的問題嗎？

可以，如果你希望由我們處理。報告出具後，我們另以固定價格報價；由博迅實施修復時，包含一次重新評估。

下一步：統計你已授權且活躍的用戶數，然後在 Microsoft 365 安全評估 頁面索取報價。我們會在一個工作日內確認級別和固定費用。