2026 漏洞掃描與 Microsoft 365 保安審計定價

一句話結論： 漏洞掃描和 Microsoft 365 保安審計的定價邏輯不同，因為它們衡量的對象不同。掃描按資產、地址或 Web 應用的數量定價；Microsoft 365 審計按租戶裡的人數定價。Brocent 的 Microsoft 365 審計是公開的一次性價目：1–10 人 450 美元起，76–150 人 2,900 美元，不含稅。本文說明如何比較這兩類服務的報價，以及購買前該問什麼。

如果您正在為今年的安全工作做預算，大概搜過 Microsoft 365 保安審計定價和漏洞掃描定價，得到的結果都差不多：多數服務商的回答是「請聯繫銷售」。本文不打算給出一張覆蓋全市場的價格表。這類服務的價格隨範圍而變，從別家網站摘來的區間表很快就會過時，也難以核實。本文改為說明每項服務的價格由什麼決定、怎樣正確比較報價，以及公開價格在哪裡。

這是涵蓋兩類產品的採購概覽。如果您只關心 Microsoft 365 部分，請看Microsoft 365 保安審計要多少錢，那裡對各檔位有更深入的說明。本文的數據已於 2026 年 11 月 4 日核對。

您實際在為哪一種服務定價？

比較任何數字之前，先弄清眼前是哪種產品。市場上有三種東西常用相近的名字出售，價格差距多半反映的是您得到的東西不同。

工具授權。 您自己運行的軟件，您付授權費，也由您自己解讀結果。例如 Tenable 在其產品頁上標示 Nessus Professional 一年授權為 4,790 美元（頁面註明價格含增值稅）。那是軟件價格而不是服務價格，不包含報告或整改計劃。
交付式掃描或評估。 服務商運行工具、剔除誤報、對發現排序，並交給您一份報告。您付的是工作和判斷。
配置審計。 由人對照公開的基線，審查系統是如何設定的。對 Microsoft 365 來說，這是對租戶設定的審查，而不是掃描軟件漏洞。

買家常常把工具授權與交付的報告相比，然後覺得其中之一「很貴」。這兩者並不是同一種購買。請向每家服務商確認，他們報的是三者中的哪一種。

什麼決定漏洞掃描的價格？

漏洞掃描檢查系統中的已知弱點，例如缺失的補丁和暴露的服務。價格隨掃描對象的規模和形態而變。

資產或地址的數量。 服務器、終端或公網 IP 越多，要掃描的越多，要複核的發現也越多。
外部還是內部。 外部掃描看的是從互聯網能觸及的部分；內部掃描從網絡內部查看，需要接入該網絡。
認證還是非認證。 登入系統後，對缺失補丁的判斷遠比從外面觀察準確，但準備工作也更多。
Web 應用。 掃描網站或 API 通常與掃描基礎設施分開界定範圍、分開定價。
一次性還是持續。 一份報告是項目；帶月度報告的持續掃描是服務，按服務定價。
複測。 修復後的重新掃描是否包含在內，對實際成本的影響往往超出買家預期。

有一條提醒值得重複：漏洞掃描和滲透測試是兩種不同的產品。掃描自動發現已知弱點，滲透測試則加上了人工嘗試利用這些弱點。如果一份「滲透測試」的報價和掃描差不多，它很可能就是掃描，請問清楚到底有什麼人工工作。

Brocent 當前的漏洞掃描價目，請見漏洞掃描定價頁。我們把數字放在那裡，而不在文章裡重複，這樣價格變化時不會出現不一致。

什麼決定 Microsoft 365 保安審計的價格？

Microsoft 365 保安審計是對租戶配置的審查：身份與登入設定、郵件防護、設備與應用控制、共享與保留。它讀取的是設定，不是郵件或文檔。它的價格驅動因素與掃描不同：租戶的規模，通常以用戶數計。

原因在於工作量由租戶本身決定，而不是由發現了多少問題決定。按人數的固定價格便於比較，也避免出現「越認真的審計人員反而越喫虧」的情形。我們在固定價格還是按小時計費：如何界定 Microsoft 365 保安審計範圍中有詳細說明。

內置分數的陷阱

Microsoft 保安分數（Secure Score）內置於 Microsoft Defender 門戶，是個有用的起點，但它不是審計。它反映的是 Microsoft 選擇衡量的設定和建議，並不涵蓋公認基線中的每一項控制。CIS Microsoft 365 Benchmark 是被廣泛採用的基線，其中包含任何自動化分數都讀不到的手動控制項。三種常見做法的對比見保安分數、CIS 基準與 ScubaGear 的區別。如果一份「審計」只是保安分數的打印件，價格也應相應對待。

Brocent 的公開價目

Brocent 的 Microsoft 365 CIS 基準審計按人數定價，一次性、美元計價、不含稅：

1–10 人： 450 美元
11–25 人： 990 美元
26–75 人： 1,800 美元
76–150 人： 2,900 美元
150 人以上： 報價

每個檔位的範圍相同：對照 CIS Microsoft 365 Benchmark 的一級和二級（含手動控制項），覆蓋 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams。您會得到旨在用作常見網絡保險問卷和 Cyber Essentials 問題證據的材料、帶工作量估算並按優先級排序的路線圖，以及一次彙報溝通。授予只讀訪問後 5–7 個工作日交付報告。當前價目見 Microsoft 365 保安審計定價頁。

另有按每用戶每月 6–10 美元的管理型方案，包含季度複審。整改由 Brocent 完成時，修復後的複審已包含在內；由客戶自行修復後再複審，則按檔位價格收費。

掃描與 Microsoft 365 審計如何對比？

它們回答不同的問題，多數組織最終兩者都需要。下面把對比放在一處。

漏洞掃描與 Microsoft 365 審計

衡量什麼： 掃描衡量系統與應用中的已知弱點；Microsoft 365 審計衡量雲租戶對照基線的配置情況。
價格由什麼決定： 掃描按資產、地址或應用的數量及頻率定價；Microsoft 365 審計按用戶數定價。
需要您提供什麼： 掃描需要範圍清單，內部或認證掃描還需要網絡或憑據訪問；Microsoft 365 審計需要對租戶的只讀訪問，由全域管理員一次性同意。
您會得到什麼： 掃描返回按嚴重程度排序的弱點清單；審計返回對照基準的差距，以及帶工作量估算、按優先級排序的路線圖。
頻率： 掃描通常按月或按季重複；租戶審計常為每年一次，管理型方案下為每季一次，重大變更後也應進行。
它不做什麼： 兩者都不能替代滲透測試，也都不授予或保證認證或保險承保。

如果必須先選一個，就按您被問到的問題來選。保險公司或客戶問的是補丁和暴露服務，指向掃描；問的是 MFA、郵箱轉發和管理員角色，則指向 Microsoft 365 審計。問題如何對應，見網絡保險問卷：Microsoft 365 的證據。

如何比較兩份報價？

這類服務的報價很難對齊，因為各家對範圍的描述方式不同。請對每家服務商問同樣的問題。

這是哪種產品？ 工具授權、交付式掃描，還是配置審計。
具體範圍是什麼？ 掃描看資產數量與類型；Microsoft 365 看用戶數和服務。
基線是什麼？ 對 Microsoft 365，問清用的是哪個 CIS Benchmark 版本和級別，是否含手動控制項。
我會收到什麼？ 索取示例報告，查看是否有優先級和工作量估算，而不只是一份清單。
是否包含複測？ 條件是什麼。
需要什麼訪問權限？ 只讀還是可寫，由誰同意。審計應用的情況，可參考只讀審計應用會申請哪些權限，批准前逐項核對。
哪些不包含？ 整改通常另計，應單獨報價，而不是藏在小時費率裡。
價格是否固定，是否含稅？ Brocent 的價目為一次性，不含稅。

示例報告是最好的比較依據。我們的報告拆解見 Microsoft 365 保安評估報告應包含什麼。

一個合理的預算大概是什麼樣？

只用公開價格來算，數字才誠實。一家 12 人、一個 Microsoft 365 租戶的公司，屬於 11–25 人檔，審計 990 美元。60 人的公司屬於 26–75 人檔，1,800 美元。140 人的公司屬於 76–150 人檔，2,900 美元。超過 150 人則需報價。

對掃描而言，合理的做法是先數一數您面向互聯網的地址和服務器，決定只需要外部掃描還是內部也要做，然後要求報價按這些口徑寫明範圍。整改要另外預算：掃描或審計告訴您哪裡有問題，卻不會為糾正這些問題買單。

本文這次改了什麼？

本文早先的版本發佈過一張競爭對手價格表，以及美國、英國、歐洲、中國、亞太和中東的地區價格區間，數據採集於 2026 年 7 月。本次更新中我們把它刪除了：這些數字無法對照一手來源重新核實，而在採購指南里，未經核實的價格不如沒有。我們還把 Brocent 早先的 Microsoft 365 審計檔位換成了上文的現行公開價目，並把 Microsoft 365 審計費用的詳細討論移到專門的費用文章中，避免兩篇文章爭奪同一個問題。

保留下來的唯一一個第三方價格，即 Nessus Professional，是 2026 年 11 月 4 日從 Tenable 自己的產品頁讀取的。價格會變化，依賴任何數字之前請向廠商確認。