香港 Microsoft 365 保安審計：範圍、價格與週期

一句話結論： 香港 Microsoft 365 保安審計是一次性的只讀審查，對照 CIS Microsoft 365 基準檢查您租戶的配置，由 Brocent 從觀塘辦公室交付，價格按人數固定：1–10 人 US$450，最高 76–150 人 US$2,900。您的全域管理員授權一次，報告和工作簿在 5–7 個工作日後送達。

搜索香港 Microsoft 365 保安審計的人，通常處於兩種情況之一。要麼是公司外部有人問了一個您暫時答不上來的問題，例如保險公司、客戶的採購部門或審計師；要麼是發生了某件事，讓您開始懷疑每天早上大家登入的那個租戶，是否真的像您以為的那樣設定妥當。兩種情況下，您需要的都是一家能看一眼租戶、直白地告訴您哪裡有問題、並在您承諾之前給出價格的香港 IT 公司。

本文說明香港企業如何購買這樣一項服務：向本地 IT 公司採購一次性的 Microsoft 365 租戶保安審計，範圍、週期和價格全部公開。本文也會說明這項審計不是什麼，免得有人需要的是滲透測試或持續監控，卻買了一次租戶審查。完整價目表和常見問題在 Microsoft 365 保安審計定價頁；本文是寫給香港採購方的操作指南。

香港哪些企業會要求做 Microsoft 365 保安審計？

聯絡我們的公司有一個一致的規律，而且與行業關係不大，與觸發事件有關。

持牌金融機構。 持有證監會牌照的資產管理公司、經紀行和企業融資精品行，被合規部門或外部審計師要求證明電郵、文件和身份受到保護。這三樣東西都在 Microsoft 365 裡。
保險經紀與代理。 網絡保險續保表格寄到，上面問多重身份驗證、管理員帳戶和郵件過濾，辦公室裡沒有人知道現狀的答案。
非政府組織和協會。 資助方的盡職調查問卷問會員、捐贈者或受助人數據如何管控。租戶是多年前由一位早已離職的人設定的。我們的香港非營利機構複合案例描述了這類審查通常會發現什麼。
貿易與採購公司。 一封以假亂真的電郵讓供應商貨款打到了錯誤的銀行帳戶，或者差一點就打過去了，老闆想知道郵箱是不是問題所在。
海外集團的區域辦公室。 總部希望在收購、合併或部署 Copilot 之前，對香港租戶或共享租戶中的香港部分有一個獨立的判斷。

這些買家的共同點是：他們不需要一套安全計劃。他們需要的是一份關於某個具體系統的、按順序排列的問題清單，由一個不靠賣許可證賺錢的人來寫，並且在已知的天數內、以已知的價格拿到。

香港 Microsoft 365 保安審計到底檢查什麼？

每個價格檔的範圍完全相同，並且寫在我們公開的示例報告裡。Brocent 對照 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 審計租戶，包括自動化掃描器會跳過的人工控制項，並將發現項與 Microsoft Secure Score 和 ScubaGear 基線做交叉對照。審查的區域包括：

Entra ID。 用戶與來賓、MFA 註冊情況及使用的方法、Conditional Access 策略、特權角色與 Privileged Identity Management、應用註冊與同意設定、登入風險。
Exchange Online。 郵件流規則、外部轉發、SMTP AUTH、郵箱審計、反釣魚策略，以及每個已接受域名的 SPF、DKIM 和 DMARC。
Microsoft Defender。 Defender for Office 365 和 Defender for Business 的門戶配置：哪些已授權、哪些已啓用、哪些還停留在預設值。
SharePoint Online 與 OneDrive。 租戶和站點的共享設定、鏈接預設值、來賓過期策略，以及敏感站點的處理方式。
Microsoft Teams。 外部訪問、來賓訪問和會議策略。
Microsoft Purview。 數據丟失防護、保留策略、敏感度標籤和審計日誌保留期。
Secure Score 與 ScubaGear。 兩套結果都會收錄，讓您看到各框架在哪些地方一致、哪些地方需要人工判斷。
Intune。 在本報告中只做摘要；完整的設備發現項屬於單獨的 Intune 設備審計。

明確列為範圍之外並寫進報告的內容：郵箱和文檔的內容（審計只讀取配置和元數據）、滲透測試和釣魚演練、Microsoft 365 以外的第三方 SaaS 應用（但其在 Entra ID 中的 OAuth 授權除外），以及物理安全和本地網絡安全。

如果想在購買前先看看交付物長什麼樣，Microsoft 365 保安審計示例報告（英文頁）以一家虛構的 14 人公司為例，展示了每一個章節：執行摘要、態勢總覽、附帶觀察、影響、整改和回退步驟的發現項，以及分階段路線圖。同樣這十二個區域的自查版本在我們的 Microsoft 365 保安審計清單裡，在委託任何服務之前先過一遍是明智的做法。

香港的 Microsoft 365 保安審計需要多長時間？

公開的週期是 5–7 個工作日，從授予只讀訪問權限的那一刻起算。每位客戶的步驟相同：

一次簡短的範圍確認電話。 十五到二十分鐘，確認人數檔位、已接受域名的數量、是否在用 Intune，以及報告交給誰。
只讀授權。 您的一位全域管理員批准一個只讀的 Microsoft Graph 應用。大約十五分鐘，任何設備上都不安裝東西，您的租戶裡也不會創建任何 Brocent 帳戶或密碼。隨時可以通過移除該應用撤銷授權。
採集與核實。 配置先自動讀取，再在第二個日期重新讀取一遍，報告因此能寫明每個數值是在哪一天核實的。沒有任何 API 暴露的設定，由我們與您的 IT 聯絡人通過螢幕共享在管理門戶中一起查看。
報告與工作簿。 您會收到註明日期的 PDF 報告和一份 Excel 工作簿，列出每個發現項及其嚴重程度、工作量估計、階段和證據引用。
講解會議。 我們按優先級逐項講解發現項，可以通過視頻會議，也可以在我們觀塘的辦公室進行，並回答問題。講解會議不附帶任何義務。

就此而言，香港公眾假期不算工作日，而且計時從授權開始，不是從範圍確認電話開始，所以需要在董事會會議或續保截止日前拿到報告的公司，應該提前整整兩週授予訪問權限。

費用多少？為什麼按人數定價？

價格固定且公開，只取決於租戶中持牌用戶的數量：

1–10 人： US$450
11–25 人： US$990
26–75 人： US$1,800
76–150 人： US$2,900
150 人以上： 範圍確認電話後報價

人數是工作量最誠實的代理指標。一個 120 人的租戶有更多管理員要審查、更多來賓、更多 Conditional Access 例外、更多帶有各自共享設定的 SharePoint 站點，以及更多需要逐條閱讀規則的郵箱。小租戶的範圍不會縮水，縮水的只是要看的東西的數量。

價格以美元標示，因為 Brocent 在所服務的每個市場都以此定價。如果您需要由我們的香港實體開具港幣發票，或者對財務部門偏好的結算方式有疑問，請在範圍確認電話上問顧問，不要自行換算。

有兩樣東西刻意不包含在固定價格里。第一是整改：審計會告訴您修什麼、怎麼修，並附回退步驟，但修復本身是另一項工作，在您決定要處理哪些發現項之後按租戶單獨報價。第二是任何形式的持續監控。一次性審計是租戶在某個日期的一張照片。之後要不要有人持續盯著，是報告幫助您做的決定，不是替您做的決定。我們的配套文章如何界定 Microsoft 365 保安審計的範圍而不留意外解釋了我們為什麼這樣定價，而不是按小時計費。

這項審計不是什麼

香港的買家經常把"保安審計"、"IT 審計"和"滲透測試"混用，要求提供證據的人有時也一樣。購買之前，先弄清楚對方要的到底是哪一種。

Microsoft 365 保安審計與其他選項的比較

Microsoft 365 保安審計對照公開基準讀取一個雲租戶的配置，並報告差距。它不會嘗試入侵。當問題是"我們的 Microsoft 365 設定得安全嗎"時，它是正確答案。
滲透測試在約定的範圍和時間內嘗試利用系統的漏洞，通常針對網頁應用、對外服務或內部網絡。當客戶、監管機構或保險公司明確要求做滲透測試時，它才是正確答案；香港市場裡這個詞的含義與租戶審查相去甚遠。
漏洞掃描尋找服務器、防火牆和設備上的已知弱點。它完全不會告訴您誰可以不經 MFA 登入您的電郵。
更全面的 IT 評估與審計覆蓋整個 IT 環境：網絡、服務器、終端、備份、流程，Microsoft 365 租戶只是其中一個組成部分。如果租戶只是問題的一部分，Brocent 的 IT 評估與審計服務才是正確的起點。
託管安全監控是持續和週期性的。它是您在審計之後，如果發現項和您的風險承受度都說應該買時才買的東西。

如果保險公司或客戶要求提供"一份保安審計"，而您不確定他們指的是以上哪一種，把問題的原文發給我們。在界定範圍之前把這點弄清楚不花一分錢，還能避免買錯東西。

這對《個人資料（私隱）條例》和問卷有什麼幫助？

香港的 Microsoft 365 租戶通常都存有個人資料：員工記錄、客戶聯絡資料，在某些行業還有敏感得多的材料。《個人資料（私隱）條例》要求資料使用者採取切實可行的步驟保護這些資料。對存放這些資料的系統的配置做一次註明日期的獨立審查，附上發現項和證據，是能夠證明已採取這些步驟的合理組成部分。

報告的設計目的就是在這類對話中用作證據：面對您自己的合規部門、保險公司的問卷、客戶的供應商保安審查或外部審計師。它幫助您履行《個人資料（私隱）條例》下的義務，並回答別人向您提出的問題。它不認證任何事情，我們也不會說任何監管機構、保險公司或認證計劃接受它，因為那是他們的決定，不是我們的。我們可以說的是，工作簿列出了每一項控制、讀到的數值、來源證據文件和日期，而這正是審閱者形成自己判斷所需要的東西。

拿到報告之後會怎樣？

大多數香港公司會做以下三件事之一，報告的寫法對三種都有支援。

自行修復嚴重和高風險發現項。 每個發現項都附帶編號的整改步驟、回退方法，以及員工會察覺到什麼的說明。一位稱職的內部管理員或您現有的 IT 供應商可以逐項處理。工作簿就是跟蹤表。
委託 Brocent 做加固。 在您選定要處理的發現項之後按項目報價，因為工作量完全取決於發現了什麼。報告中的階段計劃就是自然的工作範圍。
把租戶納入管理型IT外包服務方案。 如果審查顯示沒有人日常負責這個租戶，持續的歸屬權就是解決辦法：把 MFA 和 Conditional Access 作為策略強制執行、入職離職當天處理、監視配置漂移、按計劃複查態勢。Brocent 面向香港的管理型IT服務方案按用戶定價並公開，報價器顯示您這個人數的香港價格，響應目標在 SLA 頁面。

三種做法都不是預設的。相當一部分客戶做完審計，與現有供應商一起修掉最重要的幾項，一年後再回來做第二次審查。這是一個完全合理的結果。

為什麼要向香港的 IT 公司購買？

讀取一個雲租戶並不需要工程師身在香港，我們也以同樣的方式遠程為其他市場的客戶交付這項審計。本地供應商增加的是實際的便利。

講解會議可以在您的辦公室或我們的辦公室進行，用粵語、普通話或英語。顧問明白證監會持牌機構的合規主任或香港保險公司的續保表格到底在問什麼。發票和合同可以通過我們的香港實體辦理。如果審計之後需要做加固，或者需要現場處理設備，上門的是同一支團隊，從觀塘出發覆蓋九龍、港島和新界。Brocent 自 2007 年起在亞洲運營，集團總部設於新加坡，香港辦公室位於觀塘駿業街 62 號京貿中心，有人常駐。香港 IT 支援頁面介紹了我們在本地提供的其他服務。