安全評分、CIS基準與ScubaGear：哪個能證明安全？

簡而言之： 三者都不能單獨「證明」租戶安全。安全評分（Secure Score）是微軟給你的趨勢線；CIS Microsoft 365 基礎基準是審計和投保時最常獲認可的檢查清單；CISA 的 ScubaGear 是免費、唯讀的基線檢查工具。用安全評分看趨勢，用 CIS 出證據，用 ScubaGear 做交叉驗證。

只要你管理一個 Microsoft 365 租戶，多半遇過這樣的情況：手上有一個數字，對方卻在問一個問題。數字是安全評分；問題來自老闆、保險公司、客戶的資訊保安問卷或審計師，大意是「那它到底安全嗎？」本文比較 microsoft secure score vs CIS benchmark vs ScubaGear，說明三者各自量度甚麼、適合做甚麼。三者都可以免費運行，但不能互相取代。

作者是總部設於香港的 IT 服務供應商（MSP），日常為亞太、英國與歐洲、中東的客戶租戶同時運行這三套檢查。凡出自第一手資料的內容我們都附上連結；屬於我們自己做法的部分，也會說明。

「安全評分、CIS 還是 ScubaGear」，真正的問題是甚麼？

真正的問題不是「哪個工具最好」，而是「我要向誰證明甚麼」。這個比較背後其實是三種不同的工作：

追蹤： 我的安全狀況是愈來愈好還是愈來愈差？
舉證： 我能否交出一份站得住腳的文件，說明哪些設定已啟用、哪些沒有？
交叉驗證： 另一套獨立基線是否同意我對設定的判斷？

安全評分適合第一件事，CIS 基準適合第二件，ScubaGear 最適合第三件。混亂大多源於拿一個工具去做另一個工具的工作，例如把安全評分的百分比當作審計結果交給保險公司。

微軟安全評分是甚麼，量度甚麼？

微軟把安全評分定義為機構安全狀況的量度，數字愈高代表落實的建議措施愈多。入口在 Microsoft Defender 入口網站。涵蓋的產品包括 Entra ID、Exchange Online、SharePoint Online、Teams 及 Defender 系列，也包括 Okta、Salesforce、Zoom 等部分非微軟產品。

評分如何組成。 每項建議措施最多 10 分。多數是二元的：啟用設定就拿滿分；其餘按比例計分。微軟自己的例子是：一項 10 分的措施要求所有用戶啟用多重身份驗證，如果 100 個用戶中只有 50 個受保護，就得 5 分。

由誰維護。 微軟。建議內容、分值和權重都由微軟決定，並會隨時間調整。

產出甚麼。 一個百分比、一張歷史曲線、一份建議措施清單，以及與同類機構的比較。它是儀表板，不是可以簽署的報告。

看得到甚麼，看不到甚麼。 安全評分讀取的是微軟透過自家服務與介面能看到的設定，並容許你把某項措施標記為「已由第三方工具或其他緩解措施涵蓋」。這個功能很實用，也是弱點：這類項目的狀態取決於管理員在入口網站如何填寫。微軟亦明確表示，評分「並非衡量系統或數據遭入侵可能性的絕對指標」，不應被視為防止入侵的保證。

授權（licence）如何影響安全評分？

微軟說明，不論你的授權版本、訂閱或方案為何，都會顯示某個產品的全部可能建議，讓你了解最佳實務。實際意思是：總分中有一部分，必須持有相應授權、或以第三方產品涵蓋同一風險並如實標記，才拿得到。因此，Microsoft 365 商務進階版（Business Premium）租戶與 E5 租戶，在未弄清各自能啟用甚麼之前，不應直接比較百分比。

這就是為何單看百分比，資訊量比看上去少。兩個評分相同的租戶，實際風險可以相差很遠；評分較低的租戶也可能已把重要的事做好，只是欠缺低價值項目所需的授權。

微軟安全評分多少才算好？

微軟沒有公布合格線。入口網站會讓你與同類機構比較，也可以設定自己的目標，但「好」要由你自己判斷，查不到一個固定門檻。可參考以下做法：

趨勢比任何一次讀數更有意義。
看哪些措施尚未完成，而不只是欠多少分。管理員帳戶失控的 10 分，比外圍設定的 10 分重要得多。
分清未完成的原因：授權限制、業務決定（已接受的風險），還是疏忽。只有最後一種才是問題。

我們自己的加固服務以安全評分 80 或以上為交付目標，但那只是交付目標，不是安全的證明。

CIS Microsoft 365 基礎基準是甚麼？

CIS Microsoft 365 基礎基準（CIS Microsoft 365 Foundations Benchmark）是互聯網安全中心（Center for Internet Security）發布的規範性設定指引，該非牟利機構透過從業員共識程序制定基準。現行版本是 7.0.0。根據 Advanced 的版本說明，它於 2026 年 5 月 19 日發布，新增 21 項建議、更新約 55 項，並採用新的編號制度。CIS 提供基準 PDF 供非商業用途使用。如果你讀到的舊文章引用的是 v3、v4 或 v5，比較數字前務必先核對版本。

量度甚麼。 涵蓋 Entra ID、Exchange Online、SharePoint、Teams、Purview、Intune 等範圍內的具體編號設定。每項建議都列明理據、審計方法和修復方法。正是這種結構令它可以審計：每個控制項要麼通過，要麼不通過，要麼不適用。

誰維護。 CIS 及其貢獻者社群，按版本發布。變更公開可追溯，日後有人問「你是按哪個版本評估的？」時就很重要。

CIS 的 Level 1 和 Level 2 是甚麼意思？

每項建議都歸入一個設定級別：

Level 1 是核心基線：任何租戶都應設定的最低要求，對用戶幾乎沒有影響。
Level 2 針對安全要求較高的環境，例如處理敏感數據或受嚴格合規要求規限的機構。其設定較嚴格，可能降低方便程度，或需要更多管理投入。

多數中小企業應從 Level 1 開始。Level 2 是需要決定的事，而不是預設選項：有些控制會改變員工的工作方式，所以每一項都應接受、排期或有意識地放棄。

哪些 CIS 控制項需要人手檢查？

多數建議可透過 PowerShell 或 Microsoft Graph 審計，7.0.0 版亦把更多項目納入自動化類別。但仍有一些無法靠介面可靠讀取，需要人手核對，例如是否存在並演練過應急（break-glass）程序、租戶以外的政策如何落實某項設定，或入口網站顯示的設定是否真的與某批用戶的實際體驗一致。這就是腳本與審計的實際差距：腳本報告它讀得到的內容，審計師決定如何處理它讀不到的部分。

CISA ScubaGear 是甚麼？

ScubaGear 是美國網絡安全與基礎設施安全局（CISA）發布的開源 PowerShell 評估工具，用來對照 CISA 的「安全雲端商業應用」（SCuBA）安全設定基線檢查租戶。這些基線是針對 Microsoft 365 產品撰寫的政策文件。GitHub 儲存庫列出的評估對象包括 Entra ID、Exchange Online、SharePoint、Teams、Power BI、Power Platform 及一套安全組件。

誰維護。 CISA，屬於 SCuBA 項目。基線原本為美國聯邦文職機構編寫，CISA 亦把該項目與其 Binding Operational Directive 25-01 連繫；但工具以 Creative Commons Zero 授權發布，任何人都可以運行。

產出甚麼。 HTML、JSON、CSV 報告，逐條列出基線政策以及租戶是否符合。它是唯讀的：只查詢設定，不修改租戶。

需要你做甚麼。 要有人負責安裝運行，之後還要編寫設定檔，記錄例外和已接受的風險。沒有這一步，報告就只是一份失敗清單，當中混雜著你本來已決定接受的項目。

局限。 這是對照某國政府基線的時點檢查。部分基線項目無法自動驗證，只能提示人手覆核；為聯邦機構撰寫的基線，在某些地方比一家 40 人公司所需的更嚴，在另一些地方又沒有涉及。

三者如何比較？

安全評分、CIS 基準與 ScubaGear 一覽

維護方： 安全評分是微軟；CIS 基準是互聯網安全中心社群；ScubaGear 是 CISA。
檢查對象： 安全評分檢查微軟定義的建議措施；CIS 基準檢查附編號的 Level 1 與 Level 2 建議；ScubaGear 檢查 SCuBA 基線政策。
運行方式： 安全評分內置於 Defender 入口網站，持續更新；CIS 基準是一份文件，以腳本、工具或人手對照審計；ScubaGear 是需要自行運行的 PowerShell 工具。
自動化程度： 安全評分全自動，但只看到微軟能讀取的內容及你自行標記的內容；CIS 基準大部分可自動化，另有少量人手控制項；ScubaGear 自動運行，部分項目轉交人手覆核。
對授權的依賴： 安全評分較高（分母包含你可能沒有的功能）；CIS 基準中等（部分建議只適用於特定授權）；ScubaGear 較低，但部分檢查只在相關功能存在時才有意義。
產出： 安全評分是百分比和歷史；CIS 基準是逐項通過/不通過記錄；ScubaGear 是 HTML、JSON、CSV。
運行成本： 三者都可免費運行，真正的成本是運行、解讀和修復所花的時間。
能否作為證據： 單獨的安全評分證據力較弱，因為它是供應商的自我評估；附日期和版本號的 CIS 評估，是審計師和保險公司較熟悉的格式；ScubaGear 的輸出可信且技術性強，但在政府以外較少被要求。最終接受甚麼，由每一家保險公司、客戶和審計師自行決定。

ScubaGear 與 CIS 基準有何不同？

坦白說：內容高度重疊，目的不同。

來源： CIS 基準是跨行業的通用共識標準；ScubaGear 的基線來自美國聯邦機構，針對政府租戶。
嚴格程度： SCuBA 基線以「應當（shall）」和「宜（should）」的政策形式撰寫，針對高威脅模型的機構；CIS 區分 Level 1 與 Level 2，讓你自行選擇深度。
認受性： 保險問卷和客戶盡職審查更可能點名 CIS Microsoft 365 基礎基準；SCuBA 是很好的交叉驗證，但被索取得較少。
工具形態： ScubaGear 本身就是工具，運行完就有結果；CIS 基準是文件，需要掃描器、腳本或審計人員才能產出結果。

如果兩套都運行而結果不一致，反而有用：它能告訴你，哪些差異只是基線理念不同，哪些才是真正的缺口。

實例：評分與基準結果出現分歧時

我們公開的虛構客戶 Acme Capital 示範報告（英文頁面）展示了這種情況：安全評分 47%，CIS 通過率 61%，即 118 項控制中通過 72 項，評級 C。兩個數字量度的是不同的東西：評分反映微軟的建議措施與可用授權，通過率反映一份附編號的控制清單，其中包含評分從不檢查的項目。一個租戶可能在其中一項偏低、另一項屬中等，而兩個數字都不會告訴你最先該修哪十項。排出這個先後次序，才是審計真正的產出。

甚麼時候該用哪一個？

想要一條趨勢線：用安全評分

它本來就在那裏，自動更新，不用花錢。每月看一次，記下數字，看看有甚麼改變。不要把它當作對外問題的唯一答案。

有人要證據：用 CIS 基準

保險公司、客戶或審計師查詢你的租戶如何設定時，一份附日期、對照指定基準版本、每個控制項註明通過、不通過或未檢查的評估，是他們熟悉的文件。要寫明評估的是哪個版本、哪個級別。

需要獨立交叉驗證：用 ScubaGear

如果內部有熟悉 PowerShell 的管理員，每季或重大變更後運行一次，並與基準結果對照。預計要花時間編寫例外設定檔。

不要只靠其中一個

每個都有盲點。最穩妥的做法是：有一個你持續留意的評分，一份拿得出手的基準評估，以及一個假設前提不同的交叉驗證。

典型的推進路徑是怎樣的？

建立評分基線。 記錄安全評分、未完成措施和你持有的授權。
對照基準審計。 先評估 Level 1；數據或客戶有要求時再評估 Level 2，並包括人手控制項。
分級排序。 按風險與工作量排序，把真正缺口、授權缺口和已接受風險分開。
按次序修復。 先做身份：多重身份驗證、管理員帳戶、舊版驗證；然後是電郵防護、裝置和共享。
定期覆查。 重新運行，保留附日期的報告，記錄變化。隨著人們加入應用程式和例外，設定會逐漸偏離。

常見陷阱有哪些？

追分。 改最便宜的設定能抬高百分比，卻不一定降低風險。按風險修，不要按分數修。
忽略應急（break-glass）帳戶。 應急存取帳戶本來就會繞過常規控制，所以更需要獨立監察、強憑證和演練過的程序。工具能標示它們，但不能代你決定如何保護。
只作報告模式的條件式存取。 處於「僅報告」模式的政策會出現在控制台，看似有進展，實際上甚麼也不強制。務必確認政策已啟用，並事先測試過對登入的影響。
永不過期的例外。 排除名單很長的條件式存取政策，或多年前「暫時」排除的服務帳戶，會悄悄變成真正的政策。每次都要覆核例外。
跨租戶比較評分。 授權、規模和已接受的風險都不同，直接比較百分比會產生誤導。
把一份乾淨的報告當作保證。 微軟自己說安全評分不能保證不被入侵，CISA 亦把 ScubaGear 描述為時點評估。

Brocent 在其中的位置

Brocent Cloud Service 是總部設於香港的 MSP。對 Microsoft 365，我們在後台運行安全評分、ScubaGear 和 CIS 檢查，加上腳本讀不到的人手控制項，再做工具不做的事：解讀結果、為修復排序，並整理成證據。我們不賣工具，因為這些工具本身免費；我們賣的是解讀、附優先次序的整改路線圖，以及證據。

我們的 CIS 基準審計涵蓋 CIS Level 1 與 Level 2（包括人手控制項），附有優先次序的整改路線圖和工作量估算。公開價格為一次性收費、不含稅，按人數計算：

1 至 10 用戶： US$450
11 至 25 用戶： US$990
26 至 75 用戶： US$1,800
76 至 150 用戶： US$2,900
150 用戶以上： 報價

你只需一次性授予唯讀權限，報告在 5 至 7 個工作天後送達，並附帶一次講解會議。報告旨在作為證據使用；個別保險公司或審計機構是否接受，由其自行決定，我們不作承諾。輸出的版面可參考示範報告（英文），引擎如何運作見安全審計工具頁面。如果你希望持續監察和定期覆查，我們的管理型IT外包服務可以涵蓋。你也可以先做一次IT 安全自我評估問卷，了解 Microsoft 365 以外的整體情況，或直接聯絡我們。