Microsoft 365 安全檢查清單：15 項設定，按優先次序排列

簡短回答：先做身份類項目：全員啟用 MFA、建立兩個緊急訪問帳戶、封鎖舊式驗證、管理員帳戶與日常帳戶分開。然後開啟郵件防護、查看 Secure Score、確認審核記錄可用。最後用每季檢查防止設定慢慢走樣。下面每一項都是一個動作、一個核對位置，以及一篇詳細指南的連結。

這份清單寫給負責 Microsoft 365 租戶的人：IT 經理、擁有管理權限的行政同事，或外判的服務供應商。做完之後，你會得到一份有日期的記錄：哪些已開、哪些未開、哪些需要決定。選單路徑已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。微軟經常調整選單，路徑對不上時，請在門戶搜索設定名稱。

本星期：身份

1. 為每個用戶啟用 MFA。沒有 Conditional Access 政策就用 security defaults，有就用 Conditional Access 政策。Security defaults 的位置：Microsoft Entra admin center > Entra ID > Overview > Properties > Manage security defaults。完整步驟見如何在 Microsoft 365 啟用 MFA。
2. 建立兩個緊急訪問帳戶。微軟建議兩個或以上純雲端帳戶，授予 Global Administrator 角色，使用通行金鑰（FIDO2），並從會封鎖或限制登入的 Conditional Access 政策中排除。先建好它們再建政策，不要等鎖死了才補。見Conditional Access 基礎政策。
3. 封鎖舊式驗證。IMAP、POP3、SMTP 基本驗證等舊協議不支援 MFA，攻擊者可藉此繞過。Security defaults 會封鎖它們。使用 Conditional Access 時，建立一條政策，條件選 Exchange ActiveSync clients 和 Other clients，授權控制選封鎖訪問，先用 Report-only 模式。查看仍在使用舊協議的來源：Microsoft Entra admin center > Entra ID > Monitoring & health > Sign-in logs，按 Client App 篩選，並在 User sign-ins (non-interactive) 分頁重複一次篩選。
4. 管理員帳戶單獨使用。管理員應有一個專用於管理的帳戶，另一個用於日常郵件。微軟在 security defaults 的說明裡給出同樣建議。
5. 部署基礎 Conditional Access 政策。先 Report-only，再啟用。六條起步政策見Conditional Access 基礎政策。

本月：郵件、可見性和授權

1. 為郵件套用預設安全政策。在 Microsoft Defender 門戶進入 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies。首次開啟時 Standard protection 和 Strict protection 多半是關閉的，請選一個指派給用戶。詳細設定見Exchange Online Protection 設定。
2. 為每個寄信域名設定 SPF、DKIM 和 DMARC。步驟在同一篇 Exchange Online Protection 指南裡。
3. 決定是否使用 Defender for Office 365。授權裡已有 Plan 1 或 Plan 2 就把功能開起來；沒有就判斷是否需要。見Defender for Office 365 Plan 1 與 Plan 2 比較。
4. 查看 Secure Score。打開 Microsoft Defender 門戶 security.microsoft.com/securescore，查看建議動作及每項對應的分數。每項建議動作最高 10 分。修復次序和限制見如何提高 Microsoft Secure Score；它與 CIS、ScubaGear 的分別見Secure Score、CIS Benchmark 與 ScubaGear 比較。
5. 列出已付費但未開啟的功能。把你的授權（E3、E5、EMS）與實際使用的功能對照：Microsoft 365 E3、E5 與 EMS 的安全功能。
6. 確認審核記錄可用。微軟說明 Audit (Standard) 預設啟用，記錄保留 180 天。在 Microsoft Purview 門戶開啟審核記錄搜索工具，搜索最近一天，確認有結果。你自己的帳戶需要有搜索權限。
7. 懂得發送加密郵件。處理客戶數據的同事應掌握步驟：如何在 Outlook 發送加密郵件。

本季度：防止設定走樣

1. 至少每 90 天測試一次緊急帳戶。微軟的建議是至少每 90 天驗證一次，IT 人員變動後也要驗證。確認每個帳戶都能登入，並且使用時會觸發警報。
2. 每星期看一次 Defender 門戶。五個位置、15 分鐘：Microsoft Defender 門戶指南。
3. 做一次獨立覆核。第二雙眼睛能發現負責人已經看不到的問題。覆核範圍和如何界定，見Microsoft 365 安全審核費用。

常見錯誤

1. 已有 Conditional Access 政策卻仍開著 security defaults。兩者是二選一。微軟指出擁有 Entra ID P1 或 P2 授權的機構通常更適合 Conditional Access，改用政策前必須先關閉 security defaults。
2. 沒有緊急帳戶就建立 Conditional Access。一條寫錯的政策可能把所有管理員鎖在外面。
3. 把 Secure Score 當作合格線。微軟說明它反映的是你用了多少建議的控制措施，不是被入侵的可能性。
4. 沒看就封鎖舊式驗證。掃描器、影印機和舊郵件客戶端可能失效。先用 Report-only 模式看一個星期登入記錄。
5. 剔完就不再回頭。把第 13 至 15 項放進日曆。

如何確認已生效

1. 在 Sign-in logs 中打開測試用戶的一筆登入記錄，確認要求了 MFA。
2. 用私人瀏覽視窗以測試用戶登入，確認出現 MFA 提示。
3. 打開 Secure Score，記下分數和日期，下個月比較。
4. 把每次檢查的日期記在一份簡單清單裡。覆核人員會要這份清單。

FAQ

什麼是 Microsoft 365 安全檢查清單？

它是一份有次序的設定列表，目的是降低 Microsoft 365 租戶裡帳戶被接管和郵件攻擊的機會，並標明每項在哪裡核對。上面的清單把身份放在最前面，因為其他控制大多依賴它。

Microsoft 365 安全最佳實務有哪些？

核心包括：全員 MFA、緊急訪問帳戶、封鎖舊式驗證、管理員帳戶分開、郵件防護政策、審核記錄和定期覆核。每一項都在上面的清單裡。

Office 365 安全和 Microsoft 365 安全一樣嗎？

Office 365 是 Microsoft 365 的一部分。清單裡大多數設定對兩種叫法都適用，但你持有的授權決定哪些功能可用。

Microsoft 365 安全設定多久覆核一次？

每星期看 Defender 門戶，每月看 Secure Score，緊急帳戶至少每 90 天測試。IT 人員或授權變動後全面覆核一次。

我需要 Conditional Access，還是 security defaults 已經足夠？

Security defaults 不需要額外授權，提供一組固定的保護。如果你有 Entra ID P1 或 P2，並且需要例外或更細緻的控制，Conditional Access 更合適。

想由專人把這 15 項對照你的租戶逐一核對並提交報告，請看我們的 Microsoft 365 安全審核。

已於 2026 年 10 月 28 日對照 Microsoft Learn 核對：security defaults、Microsoft Secure Score、緊急訪問帳戶、封鎖舊式驗證、Microsoft Purview 審核、預設安全政策。