什麼是 Microsoft 365 保安審計？檢查項目、週期與費用

一句話結論： Microsoft 365 保安審計是對您的租戶「實際上怎樣設定」做的一次性檢查，對照 CIS Microsoft 365 基準第 1 級和第 2 級，包括工具讀不到的人工控制項。審計人員透過只讀應用程式讀取配置，不會讀取郵件和文件內容。Brocent 在授權後 5–7 個工作日內交付報告和工作簿，價格按人數計，1–10 個用戶 450 美元起。

如果您在搜尋「什麼是 Microsoft 365 保安審計」，多半是因為有人問了您一個答不上的問題。可能是保險公司的續保問卷，可能是大客戶的供應商保安問卷，也可能是老闆看了新聞後問一句「我們的 Microsoft 365 安全嗎」。這篇文章用香港中小企的角度，把審計是甚麼、檢查甚麼、流程幾耐、交付甚麼、幾多錢，一次講清楚。

文章只講一次性審計。如果您已經知道要買、想比較計價方式，請看固定價格還是按小時計費；想知道價格由甚麼決定，請看審計費用指南。

什麼是 Microsoft 365 保安審計？

一句話定義：租戶保安審計是把您的 Microsoft 365 租戶的設定，逐項對照一套公開基準，寫下每一處差距、為甚麼重要、怎樣修、要多少工夫。

三個關鍵詞值得拆開講。

租戶，不是電腦。 審計對象是承載您公司電郵、文件、會議和身份的那個雲端環境，包括 Entra ID、Exchange Online、SharePoint、OneDrive、Teams、Defender 和 Purview。員工的手提電腦屬於另一份 Intune 設備審計。
設定，不是內容。 審計讀取的是配置和元數據：哪些帳戶沒有多重身份驗證、哪些共享連結永不過期、哪些管理員角色是永久指派。它不讀您的郵件正文，也不打開您的文件。
對照基準，不是憑感覺。 Brocent 用的是 CIS Microsoft 365 Foundations Benchmark 第 1 級和第 2 級。這套基準是公開的，您可以自己去讀；審計報告會注明對照的版本。

很多人以為「我們用 Microsoft 365，所以 Microsoft 會負責保安」。一半是對的：平台本身由 Microsoft 維運。但租戶怎樣設定是您那一邊的責任，而它的狀態就是「第一天設定成甚麼，加上之後任何有權限的人改過甚麼」。審計的價值，就是把這個從來沒有人看過的狀態看一次。

Microsoft 365 保安審計會檢查甚麼？

以 Brocent 公開的審計報告樣本（英文頁）為準，範圍分為以下幾個範疇。每一項都對應基準裡的具體控制項，而不是籠統的「最佳實踐」。

Entra ID 用戶與訪客： 所有帳戶、訪客帳戶、停用和閒置帳戶、共用郵箱的登入狀態。
多重身份驗證： 每個用戶的註冊狀態和使用的方法，哪些人只有短訊，哪些人有抗釣魚的方法，哪些管理員根本沒有啟用。
條件訪問： 現有政策的覆蓋範圍、例外組、是否仍停留在「僅報告」模式、有沒有封鎖舊式驗證。
特權角色與 PIM： 全域管理員有幾多個、是否永久指派、是否用日常帳戶兼任管理員、有沒有緊急訪問帳戶。
應用程式註冊與同意設定： 用戶能否自行同意第三方應用程式、哪些應用程式持有讀取郵件和文件的廣泛權限。
Exchange Online 郵件流： 轉寄規則、對外自動轉寄、SMTP AUTH、郵箱審計、傳輸規則。
反釣魚與 Defender for Office 365： 預設政策、冒充保護、安全連結和安全附件是否真的覆蓋到所有用戶。
SPF、DKIM、DMARC： 每一個已接受域名的記錄狀態，DMARC 是否仍是 p=none、有沒有人看報告。
SharePoint 與 OneDrive 共享： 租戶和站點層級的對外共享設定、「任何人」連結、預設連結類型、訪客過期。
Teams： 外部訪問、訪客訪問、會議政策裡影響「誰能加入、誰能分享」的設定。
Purview： 資料外洩防護政策、保留政策、敏感度標籤、審計記錄的保留期。
Secure Score 與 ScubaGear 基線結果： 作為參照，而不是作為結論。

設備（Windows、Mac、手機）的合規狀態在這份報告裡只做摘要，完整的設備發現項在另一份 Intune 設備審計裡。如果想自己先過一遍，可以用Microsoft 365 保安審計檢查清單逐項對照。

Microsoft 365 保安審計不是甚麼？

買之前先排除幾個常見誤會，省得您買了一樣東西、以為得到了另一樣。

比較：Secure Score、CIS 審計、滲透測試

Microsoft Secure Score： 租戶內置、自動、只讀 API 能看到的設定。適合當趨勢線，但看不到人工控制項，例如緊急訪問帳戶是否受保護、管理員角色是否真的受限。它不是審計，保險公司和評估員也不會把它當成正式評估。
CIS 基準審計（本文講的審計）： 由人逐項對照基準，包括 Secure Score 看不到的人工控制項，輸出帶證據、優先級和工作量估算的報告。適合需要拿給第三方看、或需要一份有序修復清單的情況。
滲透測試： 模擬攻擊者嘗試入侵，回答「能不能攻進來」而不是「設定對不對」。兩者互補，不互相替代；保險問卷問的通常是前者。

另外兩樣也不是審計：漏洞掃描掃的是服務器和端點的已知漏洞，不看租戶設定；每月保安報告是持續服務，不是一次性的檢查，文末會講兩者的分別。想深入比較工具，可以讀Secure Score、CIS 基準與 ScubaGear 的比較。

審計流程是怎樣的？幾耐出報告？

從您的角度，整個流程只有四步，自己要花的時間不到兩小時。

授權只讀應用程式。 您的一位全域管理員在 Entra ID 裡同意一次，大約 15 分鐘。租戶裡不會出現 Brocent 的帳戶或密碼，也不會安裝任何東西。
讀取與核對。 審計人員透過 Microsoft Graph 和 PowerShell 讀取配置，自動讀到的項目會在核證日期再讀一次；API 讀不到的項目，會在螢幕共享時和您一起在管理中心看。
出報告。 從授權當日起計 5–7 個工作日，您收到報告和工作簿。
講解會議。 以視像會議逐項講解發現項、優先次序和修復方法，按您的時區安排。

授權隨時可以撤回：在 Entra ID 把應用程式移除即可，之後不會有任何東西留在租戶裡。

您會收到甚麼？

兩份文件，同一套數據。

審計報告（PDF）： 一頁的行政摘要、範圍與方法（含對照的基準版本）、按嚴重程度和工作量排序的發現項清單、每個發現項的觀察、影響、修復步驟、回退方法和用戶影響、分階段的修復路線圖、證據附錄。
審計工作簿（Excel）： 每一條控制項的通過或失敗狀態、證據引用、負責人和狀態欄，方便您自己跟進整改。

兩者都是設計成可作為證據使用的文件：回答保險問卷、回覆客戶的供應商問卷、或準備 Cyber Essentials 評估時可以直接引用。但請留意，審計本身不會授予任何認證，也不代表任何保險公司或評估機構一定接受。報告逐節的內容，可以看審計報告樣本逐節解讀。

Microsoft 365 保安審計幾多錢？

價格按租戶的用戶數計，一次性、以美元計價、不含稅：1–10 個用戶 450 美元，11–25 個用戶 990 美元，26–75 個用戶 1,800 美元，76–150 個用戶 2,900 美元。超過 150 個用戶按需報價。無論審計找到三個問題還是三十個，價格都是同一個。整改是另外的工作，按項目報價，不含在審計裡。

完整價格和各檔包含的內容在Microsoft 365 保安審計定價頁。