Microsoft 365 保安審計固定價格還是按小時計費？怎樣在簽約前把範圍談清楚

一句話結論： 買 Microsoft 365 保安審計，固定價格通常更穩妥，因為工作量由租戶本身的規模決定，而不是由審計人員「發現了多少問題」決定。Brocent 按人數定價，一次性、不含稅，1–10 個用戶 450 美元起，76–150 個用戶 2,900 美元，各檔範圍完全相同。按小時計費更適合「修復」，不適合「檢查」。

如果您正在比較 Microsoft 365 保安審計的固定價格和按小時計費的報價，大概已經發現這些數字很難放在一起比。有的服務商報日費，有的只寫「起價」而沒有範圍，還有的方案書大半篇幅在介紹自己的方法論。本文要做的，是把這些報價變成您能真正比較的東西。

這是一篇採購指南，不是價目表。完整價格請看 Microsoft 365 保安審計定價頁，決定價格高低的因素可以參考另一篇Microsoft 365 保安審計費用指南。這裡只回答一個更窄的問題：價格應該怎樣設計結構，簽字之前又必須確認哪些事項？

Microsoft 365 保安審計到底買到了什麼？

租戶保安審計，是對您的 Microsoft 365 環境配置做一次性檢查。審計人員讀取 Entra ID、Defender、Purview、Exchange Online、SharePoint 和 Teams 的設定，對照公開的基線，把每一處差距連同建議和工作量估算寫成報告。它不會讀取您的郵件和文件內容，也不是滲透測試。

比起工時，交付物更重要。您買的是一份可以照著行動、必要時也能在回答保險公司或客戶的問卷、Cyber Essentials 問題集時用作證據的報告。如果報價只寫工時、不寫交付物，您就無從判斷這些工時換來了什麼。

這就是第一條界定規則：為產出定價，而不是為投入定價。 請問清楚報告包含什麼內容、對照哪一套基線，建議是否附帶工作量估算和優先級排序。

保安審計應該選固定價格還是按小時計費？

對審計本身，大多數情況下固定價格更好；對審計之後的整改，往往並非如此。兩者容易混淆，是因為同一家服務商可能兩種模式都提供。

固定價格與按小時計費的比較

• 可預測性： 固定價格在開工前就確定。按小時計費在最後一張發票出來之前都只是估算，而審計恰恰是「發現的比預想的多」很容易成為加價理由的那類工作。
• 激勵： 固定價格下，審計方的動力是高效交付約定的報告。按小時計費時，認真的審計員和拖沓的審計員在發票上可能看不出區別，您也很難判斷自己請到的是哪一種。
• 範圍控制： 固定價格迫使雙方把範圍寫下來。按小時計費則容易讓範圍保持模糊，起初顯得靈活，直到您們開始爭論某個領域是否「包含在內」。
• 適合未知情況： 工作確實無法事先界定時，按小時更合適，例如遷移失敗後梳理租戶，或調查疑似入侵。普通租戶的配置審計不屬於這種問題。
• 適合整改： 整改取決於發現了什麼、涉及多少設備或用戶，以及您的變更流程允許什麼，很難事先固定，所以通常按單項工作另行報價。

多數買家最終想要的模式是：審計用固定價格，整改另行報價，這樣每個決定都可以在拿到上一步結果後再做。

Brocent 為什麼按人數給 Microsoft 365 審計定價？

因為人數才是真正推動工作量的因素。8 個用戶的租戶和 120 個用戶的租戶，對照的是同一套控制項，但後者有更多帳號、郵箱、站點、訪客和登入記錄需要讀取和核對。用戶數是一個合理的代理指標，而且在聯繫任何人之前您就能數出來。

價格檔位是公開的。一次性的 Microsoft 365 CIS 基準審計：1–10 個用戶 450 美元，11–25 個用戶 990 美元，26–75 個用戶 1,800 美元，76–150 個用戶 2,900 美元，均以美元計價、不含稅。超過 150 個用戶的租戶另行報價。各檔範圍相同：覆蓋 CIS Microsoft 365 基準第 1 級和第 2 級，包括需要人工判斷的控制項，涉及 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams。您還會得到針對網絡保險問卷和 Cyber Essentials 常見問題的證據材料、帶工作量估算的優先級路線圖、一次講解會議，以及在授予只讀訪問權限後 5–7 個工作日內交付的報告。

價格與租戶「有多糟」無關。審計人員找到三個問題還是三十個問題，價格都是您拿到的那一個。

接受任何報價之前，應當確認哪些事項？

無論採用哪種計價模式，下面這些問題能把含糊的報價變成可比較的報價。請用書面形式向每家服務商提出同樣的問題。

1. 對照哪套基線？ 「最佳實踐」不是基線。請問清楚審計對照哪一份基準、哪幾個級別，是否包含人工控制項。有些自動化工具會跳過無法通過介面讀取的控制項。
2. 涉及哪些產品？ 只覆蓋身份而不含 Exchange、SharePoint 或 Teams 的檢查，與全部覆蓋的檢查是兩種不同的產品。
3. 如何授權訪問？ 最安全的做法是隻讀應用，由全域管理員同意一次，事後您可以移除。請問它能讀取什麼。範圍得當的審計讀取的是配置，而不是郵件或文件內容。
4. 有幾個租戶、多少用戶？ 如果您有多個租戶或大量訪客帳號，請在報價前說明，我們會以書面確認範圍。
5. 週期多長？ 請對方給出從「授予訪問權限」起算的工作日數，而不是從「簽約」起算。
6. 報告之後怎麼辦？ 有沒有講解會議？是否包含複測？如果您自己整改，複測要多少錢？
7. 整改由誰做，是否單獨計價？ 一次便宜的審計如果只是昂貴整改合約的前奏，就並不便宜。

固定價格通常不包含什麼？

把邊界說清楚很有必要，因為意外往往就出在這裡。

整改。 發現差距和修復差距是兩項不同的工作。在 Brocent，審計和整改是分開的。加固工作按單項報價，因為它取決於發現的問題和您的環境。您可以拿著路線圖自己做、交給其他服務商，或者請我們來做。

設備審計。 Intune 和終端設備檢查是與租戶配置審計不同的另一份報告。如果您也想檢查設備，請明確提出，不要預設它包含在租戶審計裡。

複測。 整改之後的再次審計，在由 Brocent 完成整改時包含在內；如果是內部自行整改，則按對應檔位的價格收費。這條規則公平，但請確認您接觸的每家服務商都有明確的規則。

認證。 審計既不授予也不保證 Cyber Essentials 或任何其他認證，也沒有誰能替保險公司承諾它會接受什麼。我們的報告旨在作為您 Microsoft 365 配置的證據使用，保險公司或評估員如何判定，由他們決定。

超大或特殊租戶。 超過 150 個用戶時由報價取代公開檔位，多租戶環境則單獨評估範圍。這很正常，不必起疑，只要報價附帶同樣書面的範圍說明。

什麼情況下按小時計費才是正確選擇？

在以下幾種情形中，按小時或實報實銷（T&M）計費是合適的工具：

• 您已經知道問題所在，需要專家來修復，例如合併之後整理條件訪問策略。
• 您在調查正在發生的事情，例如可疑登入或沒人認識的郵箱規則，範圍會隨著瞭解的深入而變化。
• 您想要按持續週期獲得顧問建議，而不是一份交付物。

這些場景裡您買的是時間和判斷，價目表是誠實的做法。錯誤在於把這種模式用在有邊界、可重複的檢查上，然後對沒有上限的總價感到意外。

固定價格與持續服務選項怎麼比較？

如果您的租戶經常變化，一次審計只是一張快照。員工入職離職，新應用被接入，設定慢慢漂移。Brocent 還提供按用戶每月 6–10 美元的持續選項，包含每季度一次複審，讓基線被重新檢查，而不是被想當然。

兩者的選擇很簡單。一次性審計適合某個時間點的需求，例如續保、問卷或首次建立基線；持續選項適合沒人有時間一直盯著的租戶。如果小團隊不需要週期性複查，一次性固定價格更合適。

一個合理的採購流程是什麼樣的？

1. 統計已分配許可的用戶數，並記下額外的租戶或大量訪客帳號。
2. 想清楚觸發審計的原因：續保、客戶問卷、Cyber Essentials、安全事件，或者一般性檢查。
3. 以書面形式把上面七個界定問題拋給每家服務商。
4. 先比較交付物，再比較價格。
5. 確定誰來做整改，並單獨報價。
6. 與全域管理員安排一次性授權。我們的審計大約只需 15 分鐘。

常見問題

固定價格的 Microsoft 365 保安審計比按小時計費便宜嗎？

不一定更便宜，但更可預測。更大的好處是您在開工前就知道總價。

Brocent 的 Microsoft 365 保安審計多少錢？

價格取決於人數，一次性、以美元計價、不含稅：1–10 個用戶 450 美元，11–25 個用戶 990 美元，26–75 個用戶 1,800 美元，76–150 個用戶 2,900 美元。超過 150 個用戶另行報價。當前價目請見定價頁。

發現很多問題，價格會變嗎？

不會。審計價格對應檔位固定，與租戶實際情況無關。修復問題是另一項工作，按單項報價。

審計需要多長時間？

授予只讀訪問權限後 5–7 個工作日交付報告。全域管理員授權大約需要 15 分鐘。

包含複測嗎？

由 Brocent 完成整改時，整改後的複測包含在內；內部自行整改後，按對應檔位價格收費。

審計會讀取我們的郵件和文件嗎？

不會。只讀的 Microsoft Graph 應用讀取的是配置，從不讀取郵件或文件內容。審計結束後，您可以在 Entra ID 中移除該應用。

審計對網絡保險或 Cyber Essentials 有幫助嗎？

報告旨在為網絡保險問卷和 Cyber Essentials 常見問題提供證據。它不授予也不保證認證，保險公司是否接受由其自行決定。相關背景可參閱我們的網絡保險要求指南。

下一步

先算出您的人數，把上面七個界定問題寫下來，發給候選名單上的每家服務商。如果其中有 Brocent，Microsoft 365 保安審計定價頁會顯示適合您規模的檔位，示例報告（英文頁）可以讓您在決定前先看到交付物的樣子。如果想先聊聊，請聯繫我們，告訴我們大致人數和觸發審計的原因，我們會說明適用的檔位以及需要準備什麼。