肯特郡 Microsoft 365 保安審計：範圍、價格與時間

先說結論： 肯特郡企業的 Microsoft 365 保安審計，是對貴公司租戶配置做一次性審查，依據 CIS Microsoft 365 Benchmark 的 Level 1 與 Level 2，並包含需要人工判斷的手動控制項。Brocent 以遠程方式交付，按用戶人數固定報價：1–10 位用戶 US$450，76–150 位用戶 US$2,900。獲得只讀權限後 5–7 個工作日出具報告。

如果您在肯特郡或英國東南部經營一家企業，正在搜索 Microsoft 365 保安審計，您多半想弄清三件事：有人能不能看一眼我的租戶，告訴我問題在哪？要花多少錢？結果能不能用於網絡保險續保、客戶的供應商問卷，或者 Cyber Essentials 申請？

本文面向中小企業，說明租戶審計包含什麼、審計人員不在您辦公室時如何交付、您需要做什麼、要多久、費用多少，也會直接說明審計不能做什麼。完整價目見 Microsoft 365 保安審計定價頁，文末會再次提到。

什麼是 Microsoft 365 保安審計，哪些肯特郡企業需要？

Microsoft 365 保安審計，是核對租戶“實際配置”與“您以為的配置”之間差距的結構化審查。審計人員讀取 Entra ID、Exchange Online、SharePoint、Teams、Defender 和 Purview 中的設定，對照公開基準，把每一處差距連同建議與工作量估算寫下來。

它不是滲透測試，也不是對手提電腦的漏洞掃描。它只看一樣東西：存放您的郵件、文件、聊天記錄和身份的雲端租戶。對多數小企業來說，這個租戶是最有價值的資產，因為其他系統都通過它登入。

來諮詢的企業往往有幾個共同點：用戶從幾人長到幾十人；租戶當年搭得很快，之後沒人複查；然後出現了觸發事件：

網絡保險續保表格詢問多重驗證、管理員帳戶和郵件防護；
較大的客戶發來供應商保安問卷；
公司打算申請 Cyber Essentials，想知道 Microsoft 365 配置處於什麼狀態；
有員工帳戶被盜用或險些被盜用，負責人想知道會不會再發生。

遇到其中任何一種情況，審計都是合理的第一步，因為它給出一份按先後順序排好的修正清單。若想了解身份方面的細節，可參閱Entra ID 保安審計專題文章。

審計人員不在肯特郡，審計還能做好嗎？

可以，原因值得說清楚。Brocent 以遠程方式交付審計。我們不聲稱在肯特郡或英國其他地方設有辦公室或駐場團隊，也不需要：租戶審計通過 Microsoft 自己的接口讀取配置，在哪裡做都是同樣的工作。

Brocent 如何服務英國客戶——合約由哪家主體簽署、現場上門如何通過經審核的本地工程師按公開派單費率安排——見英國 IT 支援頁面（英文頁）；審計定價頁的英國與澳洲專節（英文頁）說明了 Cyber Essentials 就緒對照表和按客戶時區安排講解會議的做法：Microsoft 365 保安審計定價。

關鍵在於訪問權限和責任，具體做法如下：

只讀權限。 貴公司的 Global Administrator（全局管理員）一次性同意一個只讀的 Microsoft Graph 應用，約需 15 分鐘。該應用讀取配置，不讀取郵件或文檔內容。
可隨時撤銷。 隨時可在 Entra ID 中移除該應用以撤回授權，之後不會有任何程序繼續運行。
無需在設備上安裝任何東西。 租戶審計不會向手提電腦或手機部署軟件。
彙報電話會議。 報告完成後，我們通過視像會議逐項講解並回答問題，時間按您所在時區安排。

遠程的代價也要直說：我們不會走進辦公室查看實體保安，這本來也不在租戶審計範圍內。如果您需要有人到機房現場檢查，這不是這項服務。

Microsoft 365 保安審計包含哪些內容？

各價格檔位的審計範圍相同。Brocent 依據 CIS Microsoft 365 Benchmark 的 Level 1 和 Level 2 進行審計，並包含手動控制項，也就是腳本讀不出來、必須由人判斷的那部分。

覆蓋的領域有：

Entra ID： 多重驗證覆蓋率、條件訪問策略、舊式身份驗證、管理員角色及持有人數、來賓帳戶、緊急訪問（break-glass）帳戶，以及應用授權設定。
Exchange Online： 郵件流規則、外部轉發、反釣魚與反惡意軟件策略、SPF/DKIM/DMARC 記錄，以及共享郵箱的登入設定。
Defender： 已啓用的防護、已有許可但未配置的防護，以及告警與報告設定。
Purview： 審計日誌設定與保留期；在已有許可的情況下，包括敏感度標籤和數據丟失防護。
SharePoint 與 OneDrive： 外部共享設定、匿名鏈接和預設權限。
Teams： 外部訪問、來賓策略，以及影響誰能加入會議和共享內容的會議設定。

CIS 會發布並更新基準，所以版本很重要。CIS 於 2026 年 5 月發佈了 Microsoft 365 Foundations Benchmark 7.0.0 版（見 CIS 的 2026 年 6 月基準更新，2026 年 10 月 28 日查閱）。委託審計時，請問清所依據的版本，並要求報告中註明版本。

為什麼手動控制項很重要？

自動化工具擅長讀取某項設定並與目標值比較，但對下面這類問題就弱得多：緊急訪問帳戶是否真的受到保護和監控？持有管理員角色的人是否仍然需要？一條看上去沒問題的條件訪問策略，是否給某個用戶組或應用留下了缺口？這些需要人結合上下文來判斷。

因此，只做自動化檢查的審計可能交出一份整齊的報告，卻漏掉最關鍵的發現。比較不同報價時，請問對方是否包含手動控制項。Brocent 的審計在每個檔位都包含。

審計要多長時間？

獲得只讀權限後 5–7 個工作日交付報告。計時從全局管理員完成授權開始，而不是從下單開始，所以最快的做法是一開始就和管理員或 IT 聯繫人約好 15 分鐘。

流程很簡單：

第 0 天： 確定價格檔位，由全局管理員授予只讀權限。
之後 5–7 個工作日： 我們收集配置，對照基準（包括手動控制項）審查並撰寫報告。
交付時： 您收到附有優先級路線圖和工作量估算的報告，並安排一次彙報電話會議。

由於工作是遠程完成、週期按工作日計算，肯特郡的企業不會比其他地區等得更久。如果租戶情況特殊，比如有多個租戶或剛做過遷移，請在一開始告知，以便如實確定檔位和時間。

肯特郡企業做 Microsoft 365 保安審計要多少錢？

Brocent 一次性定價，以美元計價，不含稅，按租戶的用戶人數劃分：

1–10 位用戶： US$450
11–25 位用戶： US$990
26–75 位用戶： US$1,800
76–150 位用戶： US$2,900
超過 150 位用戶： 單獨報價

這是一次性費用。小檔位的範圍不會縮水：10 人的公司與 150 人的公司得到同樣的 CIS Level 1 和 Level 2 審查（含手動控制項）、同樣的路線圖和同樣的彙報電話。價格不同，是因為更大的租戶有更多用戶、更多用戶組，要讀取的內容更多。

我們沒有把上述金額換算成英鎊，因為匯率會變動，換算後的數字很快就會過時。請以購買當天的匯率為準。

如果想了解各種購買審計方式的差別，可閱讀我們的費用指南：Microsoft 365 保安審計要多少錢？，其中比較了從自助掃描工具到按日計費顧問的整個範圍。簡單說，價格差異主要在於誰來做判斷工作，以及檢查租戶的深度。

持續審計方案多少錢，什麼時候值得選？

還有第二種購買方式。如果您不想把審計當作一次性事件，可以選擇持續審計方案：每位用戶每月 US$6–10，含每季度一次複審。它適合租戶經常變動的企業，比如不斷有新員工、新應用和新共享安排的成長型團隊。

對穩定的 12 人公司，一次性審計通常就夠了。對每月都在增加應用和用戶的 60 人公司，每季度複查能避免配置在不知不覺中又回到原樣。

審計對網絡保險、供應商問卷和 Cyber Essentials 有幫助嗎？

這是最常引發諮詢的問題，值得認真回答。報告包含網絡保險問卷常問的 Microsoft 365 相關問題的證據：是否強制多重驗證、管理員帳戶如何保護、是否有郵件過濾和郵件認證記錄、日誌是否開啓。報告的設計目的是作為證據使用。它不是保險公司或評審機構出具的聲明，我們也不會說任何保險公司或客戶一定會接受它。承保方和客戶自行決定接受什麼，各家表格也不一樣。

Cyber Essentials 的情況類似。該計劃的要求文件 3.3 版規定，雲服務的身份驗證必須始終使用多重驗證；IASME 在其2026 年 4 月更新中說明，在可以啓用多重驗證的雲服務上沒有啓用，將直接判定不通過（2026 年 10 月 28 日查閱）。IASME 不同文章給出的 4 月下旬生效日期略有出入，請以其最新指引確認適用於您申請的具體日期。

對使用 Microsoft 365 的企業來說，租戶端的問題正是審計要檢查的內容。審計提供關於 Microsoft 365 配置的證據，以及需要修改的清單。它不會授予 Cyber Essentials，也不保證您能通過。評審由認證機構進行，範圍也不止 Microsoft 365，還包括設備、防火牆和補丁更新。

若想了解保險公司通常如何措辭，可看我們的網絡保險要求與 IT 續保指南。該文是為香港企業撰寫的，但其中有關 Microsoft 365 的問題大同小異。