Microsoft 365 安全審查、審計與評估的分別

簡而言之： Microsoft 365 的安全審查、安全審計和安全評估，通常是同一件事：檢查你的租戶配置得如何。不同服務商之間真正的差別，在於用哪套基準、手動控制項有沒有人逐項檢查，以及你最終拿到甚麼證據。問清這三點，就不會為同一件事付兩次錢。

你向三家服務商查詢 Microsoft 365 的資訊保安服務。一家提供「安全審查」，一家提供「安全審計」，一家提供「安全評估」。這三個名稱聽起來像三種深度，很容易以為審查是輕量版、審計是重量版。實際上，它們往往是同一件工作換了個名字，有時「審查」甚至比「審計」更深入。

本文說明這三個詞通常意味着甚麼、租戶安全審查和身份安全審查各涵蓋哪些範圍、如何比較不同報價的範圍和證據，以及哪些問題能讓你看清自己究竟在買甚麼。

Microsoft 365 的安全審查、安全審計和安全評估是同一回事嗎？

在實際操作中，大多數情況下是。三者通常都指同一項核心工作：有人讀取你 Microsoft 365 租戶的配置，對照某套基準，然後告訴你哪裏有問題、應該先修甚麼。三者都不是滲透測試，也都不會閱讀你的郵件。

在博迅，這三個名稱指的是同一項服務：同一個範圍，按員工人數定額收費。我們不會以較低價錢出售輕量的「審查」，再以較高價錢出售厚重的「審計」。所以下文是在描述這些詞在市場上的慣常用法，方便你冷靜地閱讀其他服務商的方案。

這三個詞通常各自意味着甚麼？

即使底層工作相似，這幾個詞帶給人的期望也不同。

安全審查

「審查」通常表示由專家檢視你的配置並提出建議。它可能依據公開的基準，也可能只是審查人員自己的清單。成果可以是一份簡短的建議清單，也可以是完整的報告。審查的風險在於範圍由審查人員自行決定，所以同一個租戶的兩次審查，涵蓋的內容可能不同。

安全審計

「審計」通常表示對照某個指定標準逐項檢查，並為每個結果提供證據。在 Microsoft 365 領域，這個標準最常見的是 CIS Microsoft 365 Foundations Benchmark。每個控制項會標記為通過、未通過或不適用，報告可以出示給第三方。這個詞聽起來嚴謹，但在這裏並不是受監管的術語：這種「審計」不同於法定審計或財務審計，也不會因此獲得任何認證。

安全評估

「評估」通常表示對風險作出判斷。除了通過與否，它還會說明哪些發現對你的業務最重要，以及應按甚麼順序修復。許多評估與審計使用同一套基準，再加上優先級排序。

有用的結論是：一份好的工作成果同時具備這三種特質。它依據指定的基準（審計），由人閱讀並作出判斷（審查），並按風險和工作量為發現排序（評估）。

甚麼是租戶安全審查？

租戶安全審查檢視的是整個 Microsoft 365 租戶，而不是單一服務。範圍界定得當的審查，會涵蓋三個範疇。

身份（Entra ID）： MFA、條件訪問、特權角色、舊式登入方式、應用程式同意和來賓賬戶。
電郵（Exchange Online 和 Defender for Office 365）： SPF、DKIM 和 DMARC、自動轉發、收件箱規則、防釣魚和附件策略、郵箱審計。
文件和協作（SharePoint、OneDrive、Teams）： 外部共享、匿名鏈接、敏感度標籤、保留策略、數據防洩漏和 Teams 外部訪問。

租戶審查也應該說明哪些內容不在範圍內：透過 Intune 管理的設備、本地 Active Directory、防火牆、備份，以及除了在 Entra ID 中獲授權限之外的任何第三方 SaaS。如果方案沒有寫明，請直接詢問。我們的 Microsoft 365 安全審計清單逐項列出各個範疇，方便你用來對照方案。

甚麼是身份安全審查？

身份安全審查範圍較窄，只看誰可以登入、擁有甚麼權限。在 Microsoft 365 中，這指的就是 Entra ID。一個保護薄弱的密碼，就可能讓攻擊者打開郵件、文件和 Teams，所以這通常是回報最高的部分。一份有用的身份審查會檢查：

每位用戶的 MFA 狀態，包括「暫時」被排除後再沒有加回去的賬戶
緊急訪問（「break-glass」）賬戶：是否存在、如何保護，以及有人登入時是否會通知相關人員
條件訪問策略以及其中的每一項例外
誰擁有全域管理員和其他特權角色，這些人是否使用防釣魚的登入方式
舊式驗證和 SMTP AUTH，它們會繞過 MFA
用戶已同意授權的第三方應用程式，以及這些應用程式可以讀取哪些數據
來賓賬戶、其負責人，以及是否設有到期時間

部分服務商會單獨出售這項工作。如果你在純身份審查和完整租戶審查之間作選擇，請核對價格差異。當範圍固定、價格按員工人數釐定（我們就是這樣），身份審查已經包含在內，單獨購買並不能省錢。

它們在範圍、證據和深度上如何比較？

把各份方案並排比較時，不要理會封面上的名稱，而是比較以下幾點。

比較三種典型方案

顧問式審查： 範圍由審查人員決定；往往沒有指定基準；證據通常是截圖或筆記；適合快速取得意見，但如果要向保險公司或客戶出示結果，就顯得薄弱。
以審計名義出售的自動掃描： 有指定基準，但只涵蓋腳本能讀取的控制項；證據是工具導出的文件；便宜快捷，但會略過手動控制項，也不會告訴你該先修甚麼。
完整評估： 指定基準及其版本、由人檢查手動控制項、每項發現都附有分級、證據和工作量、並提供按優先級排列的修復計劃；只有這種成果才經得起作為記錄存檔。

最大的單一差別是手動控制項。CIS Microsoft 365 Foundations Benchmark 包含一些任何 API 都無法清楚回報的控制項，必須由人打開管理中心逐項檢查。略過這些控制項的服務，無論叫甚麼名稱，本質上都是掃描。

第二大差別是證據。如果你會把結果交給保險公司、審計師或客戶，每項發現都需要有日期和來源。我們的 Microsoft 365 安全評估報告逐頁導讀，展示了這是怎樣的一份報告。

購買任何一種之前，應該問甚麼？

有六個問題可以分辨真正的評估和換了名字的掃描。無論方案叫甚麼名稱，都請問清楚。

用哪套基準，哪個版本？「最佳實踐」不是答案。應該是指定的基準，例如 CIS Microsoft 365 Foundations Benchmark，附有版本號，最好再有第二套如 CISA 的 SCuBA 基準作交叉核對。
包括手動控制項嗎？ 如果不包括，你買的就是掃描。
需要甚麼訪問權限？ 租戶審查只應需要由你的管理員一次性批准的只讀訪問權限，而不是共用的管理員密碼。我們的文章 Microsoft 365 審計應用的只讀權限列出這類應用應該和不應該申請的權限。
會有人閱讀我們的郵件或文件嗎？ 答案應該是不會。配置和元數據已經足夠。
我們究竟會收到甚麼？ 附有分級發現和證據的報告、修復計劃，最好還有涵蓋每個控制項的工作簿。請索取樣本。
包括修復嗎？有沒有復查？ 大多數定額收費的工作都不包括修復。比較價格之前，先弄清楚這一點。

如果答案相同，兩份方案就是同一個產品，不管它們叫甚麼名稱。

博迅如何交付？

無論你用哪個詞，都是同一項服務：

基準： CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2，包括手動控制項；以 CISA ScubaGear 按服務產出的結果作交叉核對，並以 Microsoft Secure Score 作為趨勢線。
訪問： 由你的全域管理員一次性批准的只讀應用程式，約需 15 分鐘；不共用賬戶或密碼；郵件和文件絕不會被打開。
時間表： 取得訪問權限後 5–7 個工作天提交書面報告，隨後進行講解通話。
交付成果： 附有證據和工作量的分級發現、Cyber Essentials 準備情況表、供保險公司使用的證據包、分階段的修復計劃，以及涵蓋每個控制項的 Excel 工作簿。
不包括： 實施修復（之後另以定額報價）、備份、滲透測試、釣魚模擬和本地設備。

費用按員工人數釐定，並列於 Microsoft 365 安全審查頁面。你可以在決定之前閱讀完整的報告樣本，樣本為英文，使用虛構客戶。如果你剛接觸這個題目，請先閱讀甚麼是 Microsoft 365 安全審計。