Microsoft 365 保安評估報告應包含什麼

一句話結論： 一份好的 Microsoft 365 保安評估報告，應有非技術負責人也能據此決策的摘要、清晰的範圍與方法、說明「看到了什麼、為什麼重要、怎麼修、怎麼撤銷」的發現項，以及分階段的優先級路線圖。Brocent 公開了一份以虛構客戶製作的示例報告，您可以在採購前拿它來對照任何服務商的報告。

搜索 Microsoft 365 保安評估報告的人，多半隻想知道一件事：最後到底會交給我什麼？服務商往往大談流程，卻很少展示成果。這讓人很難分辨一份有用的報告和一份冗長的設定導出文件。

我們公開了一份針對虛構公司的 Microsoft 365 保安審計示例報告（英文頁），本文逐節解讀它。文中引用的內容全部為虛構，用來展示結構和深度：客戶、域名、用戶和每個數字都是編造的，不包含任何真實租戶數據。如果您還在挑選服務商，這份解讀也可以當作檢查清單；真實服務的費用請見 Microsoft 365 保安審計定價頁。

Microsoft 365 保安評估報告應該包含什麼？

至少包含六項：

一頁以內的執行摘要。
範圍與方法的說明，包括所用框架及版本。
帶嚴重程度、工作量和建議順序的發現項清單。
每個發現項都有足夠細節，不用猜就能修復。
可以交給第三方的證據。
分階段的整改路線圖。

示例報告共 27 頁，正是這個結構。下文按順序展開。

報告的開頭是什麼樣？

開頭幾頁是文件控制：編號、版本、保密級別、數據採集、核實和出具的日期，以及編制人和複核人。這聽起來官僚，卻能回答日後很重要的問題。保險公司問配置是什麼時候讀取的，或者有人問您手裡的是不是最終版本，答案就在第二頁。

注意兩個細節。第一，「數據採集」和「發現項核實」之間有時間差。示例中標為「已核實」的發現項，在採集兩天後、出具前又從租戶重新讀取了一遍，這樣可以避免審計期間設定發生變化。第二，保密聲明。一份列出您弱點的報告，應當說明誰可以查看。

執行摘要是什麼樣子？

一頁，寫給批准工作、但不看管理後台的人。示例中包含：

一個帶等級的整體安全評分， 並排列出 CIS 基準通過率、Microsoft Secure Score 和 MFA 覆蓋率。
按嚴重程度統計的發現數量， 一眼看出是以嚴重問題為主，還是以日常整理為主。
用平實語言寫的五大風險， 每項附一句「為什麼重要」，並指向對應發現項。
做得好的地方， 這點很容易被省略，卻很重要，它告訴您哪些東西不要動。
一項待決事項， 示例中是一個短期的第一階段工作，用來關閉嚴重項。

檢驗執行摘要的標準是：讀完之後，負責人能否說出自己被要求批准什麼。如果摘要只是一段強調網絡安全重要性的文字，它就沒有發揮作用。

範圍與方法應該怎樣表述？

直接了當，列出範圍內和範圍外兩份清單。示例中，範圍內有 Entra ID、Exchange Online、Defender、SharePoint 與 OneDrive、Teams、Purview、Secure Score 以及 Intune 摘要；範圍外有郵箱與文檔內容、滲透測試、釣魚演練、Microsoft 365 以外的第三方應用和物理安全。

它還寫明瞭訪問方式：由全域管理員同意的只讀審計應用，租戶中不留顧問的帳號和密碼。謹慎的 IT 負責人或董事，往往最先找的就是這句話。

接著，框架版本單獨列表。示例引用了 CIS Microsoft 365 Foundations Benchmark v7.0.0 的第 1 級和第 2 級、CISA SCuBA 基線、帶日期的 Microsoft Secure Score 以及 Cyber Essentials v3.3。版本號不是裝飾。只寫「符合 CIS」而沒有版本的報告，既無法復現，也無法與明年的結果比較。

最後，用三套量表說明後面所有內容的讀法：嚴重程度及對應的修復時限，工作量從不到半天到三天以上，置信度——從租戶讀取並核實、與客戶確認，或在沒有介面可讀時人工複核。人工控制項恰恰是純自動化掃描會漏掉的，所以報告應當說明哪些發現來自人工查看界面。

安全態勢概覽展示什麼？

在細節之前，先給出結果彙總。示例中，CIS 結果按章節拆分，涵蓋管理中心、Defender、Purview、Intune、Entra、Exchange、SharePoint、Teams 和 Fabric，並給出通過、未通過、人工複核和不適用的數量。旁邊是按類別與同類組織對比的 Secure Score，以及 SCuBA 基線按產品的結果。

三個獨立視角勝過一個，因為它們會有益地互相「不一致」。同一個租戶在 Secure Score 和 CIS 控制項上的表現可能不同，因為 Secure Score 並未衡量基準中的所有內容。三者並列，就能看出哪裡是紮實的，哪裡取決於您用哪把尺子。

一個好的發現項是什麼樣？

這部分決定報告能不能用。示例中每個發現項都是版式一致的卡片：

標題、嚴重程度、工作量、階段和置信度， 便於排序和規劃。
框架標籤， 顯示對應的 CIS 建議、SCuBA 策略、Cyber Essentials 要求和 Secure Score 動作。短橫線表示沒有直接對應。
觀察， 具體看到了什麼，寫出名稱和設定，而不是泛泛而談。
影響， 從攻擊者實際路徑的角度說明為什麼重要。
整改， 按實施順序編號的步驟。
回滾， 萬一出問題，如何撤銷改動。
用戶影響， 員工會注意到什麼。
證據引用， 指向附錄中的導出文件。

以示例中的第一個發現項為例：一條要求所有用戶啓用 MFA 的策略，排除了一個組，而該組裡有一個管理員應急帳號和一個掃描儀帳號。卡片寫明是哪個組、哪些帳號（其中一個是未登記任何 MFA 方法的管理員）、攻擊者可以拿它做什麼、四個修復步驟、如何撤銷，以及改打印機配置要花多久。讀者不需要再打電話追問，就能直接行動。

回滾和用戶影響這兩個框，是多數報告會省掉的，卻正是讓忙碌的 IT 負責人願意在週二改動生產設定的原因。

Exchange Online 的發現項如何處理？

與其他部分一樣，但郵件相關的發現值得單獨提，因為小企業的多數安全事件始於郵件。示例中，Exchange Online 的發現包括：一條轉發到外部的郵箱規則、僅處於監控模式的 DMARC 策略、沒有覆蓋任何用戶的反釣魚仿冒保護，以及未啓用外部發件人標記。SMTP AUTH 和舊式身份驗證出現在身份部分，因為它們會繞過條件訪問。

這些都是 Exchange Online 保安評估應當包含的條目。如果某家服務商的示例或報告裡沒有郵件流、轉發、身份驗證記錄和審核日誌方面的發現，那無論標題怎麼寫，它都不是 Exchange 評估。