美國 Microsoft 365 安全評估：SCuBA、範圍與收費

簡而言之： 對大多數美國公司來說，合適的做法是購買定價固定、只讀的 Microsoft 365 安全評估，按 CIS Benchmark 和 CISA 的 SCuBA 基線兩套標準檢查您的租戶。我們的收費由最多 10 個用戶的 US$450 起，150 個用戶最高 US$2,900，在取得訪問權限後 5–7 個工作日交付報告。先運行 CISA 的免費工具，是成本最低的起步方法。

Microsoft 365 安全評估要回答一個簡單的問題：您的租戶配置是否安全，應該先修復甚麼？對美國公司而言，這個問題通常來自外部。網絡保險續保時會問到 MFA 和管理員賬戶；大型企業客戶會發來安全問卷；貸款機構、監管機構或董事會成員也會要求提供書面材料。

本指南說明 Microsoft 365 安全評估的收費、CISA SCuBA 基線是甚麼以及私營公司為何要關注、評估會檢查哪些內容，以及最後應該收到甚麼。資料來源列於文末。

美國公司做 Microsoft 365 安全評估要多少錢？

市場上的選擇由免費自助工具到按日計費的顧問項目都有，所以報價相差很大。我們只提供一款定價固定的產品，只按用戶數目收費。以下為一次性收費，以美元計，不含稅：

1–10 個用戶： US$450
11–25 個用戶： US$990
26–75 個用戶： US$1,800
76–150 個用戶： US$2,900
150 個用戶以上： 經簡短的範圍溝通後報固定價

各級別的評估範圍相同，沒有按小時計的費率，所在地區也不影響價格。Microsoft 365 安全評估頁面會列出最新價格和當前優惠。如想更全面了解各類審計的收費和成因，請閱讀我們的 Microsoft 365 安全審計收費分析。

如何省錢： 在建立乾淨的基線之前，不要購買按月監控。先修復一次性評估發現的問題，再決定是否需要持續監控。對不少小型租戶來說，每年重新評估一次可能已經足夠。

CISA SCuBA 基線是甚麼？為何對政府以外的機構也重要？

SCuBA 是 Secure Cloud Business Applications 的縮寫，是美國網絡安全及基礎設施安全局 (CISA) 的項目。它為 Microsoft 365 各項服務發布書面的安全配置基線，涵蓋 Entra ID、Exchange Online、Defender、SharePoint 與 OneDrive、Teams、Power BI 和 Power Platform。CISA 同時發布 ScubaGear，這是一款免費、開源的 PowerShell 工具，可讀取租戶配置，並報告哪些地方符合基線。

2024 年 12 月 17 日，CISA 發布了 Binding Operational Directive 25-01。該指令要求聯邦文職機構找出自身的雲租戶，部署 SCuBA 評估工具，並落實強制性的基線策略，期限至 2025 年 6 月。指令發布時，唯一已定稿的基線是 Microsoft 365 的基線。

這項指令對私營公司沒有約束力，但仍有三個實際理由值得您關注：

它是公開、有版本管理的標準。 當客戶問「您按甚麼標準評估？」，「CISA 的 SCuBA 基線」是對方可以自行查閱的答案。
它是為真實租戶而寫的。 這些基線針對每天使用 Microsoft 365 的機構制定，而不是理論上的實驗環境。
它是有用的第二意見。 CISA 的基線與 CIS Microsoft 365 Foundations Benchmark 大部分重疊，但並非完全一致。兩者出現分歧的地方，正好讓您更了解自身的配置。

因此，我們的報告在 CIS Benchmark 結果之外，另附各項服務的 ScubaGear 結果。CIS 是評估的正式記錄，SCuBA 是獨立的交叉核對，Microsoft Secure Score 則保留作趨勢線。我們的比較文章 Microsoft Secure Score、CIS Benchmark 與 ScubaGear 的比較說明了各自適用於甚麼場景。

評估會檢查甚麼？

您可能聽過 Office 365 安全審計這個說法。Office 365 是同一套電郵、文件和協作服務的舊名稱，所以工作內容是一樣的。每個級別都檢查三個範疇。

Entra ID 中的身份

每位用戶的 MFA 覆蓋情況，包括緊急（「break-glass」）賬戶和服務賬戶
條件訪問策略，以及哪些人被排除在外
特權角色，以及管理員是否採用防網絡釣魚的登入方式
可繞過 MFA 的舊式驗證和 SMTP AUTH
用戶已授權的第三方應用及其所持權限
訪客賬戶及其到期安排

Exchange Online 和 Defender for Office 365 中的電郵

每個域名（包括閒置域名）的 SPF、DKIM 和 DMARC
自動轉發到外部地址的設定，以及可疑的收件箱規則
防網絡釣魚、防垃圾郵件、Safe Links 和 Safe Attachments 策略
郵箱審計和審計日誌保留期

SharePoint、OneDrive 和 Teams 中的文件與協作

外部共享設定和匿名的「任何人」連結
敏感度標籤、保留策略和數據外洩防護
Teams 的外部訪問和第三方應用
個人手機和手提電腦在沒有應用保護的情況下訪問公司數據

評估不包括修復問題、Microsoft 365 備份、滲透測試、釣魚模擬、防火牆或本地設備。我們絕不會打開郵件或文件。

最後會收到甚麼？

報告必須讓 IT 以外的人也能據此行動才有用。我們的報告包括：

書面報告： 分級的發現項、每項的證據，以及修復所需的工作量
CIS 結果： 按章節列出 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 結果，包括沒有腳本可以檢查的人工控制項
ScubaGear 結果： 按服務列出對照 CISA 基線的通過、失敗和警告項
保險公司證據包： MFA、特權賬戶、電郵驗證、終端防護和日誌保留期，每項均附有註明日期的導出記錄
修復計劃： 分階段並排好優先次序，成本低而影響大的項目排在最前
Excel 工作簿： 所有控制項集中在一張工作表，方便您自行跟進
講解會議： 逐項講解發現，並說明修復的先後次序

在購買前，您可以閱讀完整的評估報告樣本，樣本為英文，使用虛構客戶。

美國公司如何使用這份報告？

網絡保險申請

保險公司會問到電郵和遠程訪問的 MFA、特權賬戶、電郵安全、終端防護和備份。證據包為每個答案提供註明日期的導出記錄。每家保險公司各有規定，我們無法保證某一家會接受甚麼。我們的指南 Microsoft 365 的網絡保險 MFA 要求說明了「全面啟用 MFA」在實際上通常指甚麼。

客戶安全問卷

當大型企業客戶問您的租戶如何配置時，發現項登記冊和工作簿就是佐證記錄。您可以憑證據作答，而不是憑記憶。

受監管行業

部分美國規則直接涉及 Microsoft 365。例如 FTC Safeguards Rule 適用於許多非銀行金融業務，如按揭經紀和報稅代理。它要求任何訪問客戶資料的人都要使用多重身份驗證，並要求書面的風險評估，以及持續監控，或每年一次滲透測試加每六個月一次漏洞評估。持有少於 5,000 名消費者資料的機構可豁免其中部分要求（包括書面風險評估和上述測試），但多重身份驗證不在豁免之列。醫療機構則適用 HIPAA Security Rule。Microsoft 365 評估可為這些義務中涉及雲配置的部分提供證據，但本身不會令您達到合規，亦不構成法律意見。

自行運行 ScubaGear，還是購買評估？

ScubaGear 免費而且好用。如果您有熟悉 PowerShell 的工程師，運行它是合理的第一步。兩者的取捨如下：

自行運行工具與固定價格評估

自行運行 ScubaGear： 無需現金支出；需要工程師投入時間；只提供對照單一基線的原始通過／失敗輸出；沒有人工控制項；也不判斷哪些問題對您的業務重要。
固定價格評估： 按人數確定的費用；CIS 與 SCuBA 結果並列；人工控制項由專人檢查；發現項分級並排好修復次序；證據整理好可供保險公司和客戶使用。
按日計費的顧問服務： 費用沒有上限；適合有多個租戶、需要訪談，或評估屬於更大型鑒證項目的情況。

如何省錢： 如果您先運行 ScubaGear 並修復明顯的失敗項，付費評估就可以把時間花在較難處理的項目上，您的報告發現項也會較少。