Microsoft 365 安全審計與評估 — 透明定價
Microsoft 的 Secure Score 是免費的，但它只能看到 API 可見的設定，並不是審計。Brocent 針對 Entra ID、Defender、Purview、Exchange、SharePoint 與 Teams 執行完整的 CIS Microsoft 365 Benchmark 審計，包含 Secure Score 無法檢查的人工控制項。您將獲得排定優先次序的修復路線圖，以及對照網絡保險問卷和 Cyber Essentials 常見問題的證據。按人數固定報價，10 人以下 US$450 起。
審核人：Jack Zhang, CISSP 與 Rogue Yu, CISSP
年終 IT 預算季優惠 · 有效期至 2026 年 12 月 31 日
Microsoft 365 安全審計 · 年終優惠
完整 CIS Microsoft 365 基準審計，按人數分級，原價 US$450 起（10 人以下）。取得訪問權限後 5–7 個工作天出具報告。
享 15% 折扣 · 折後 US$382.50 起 · 一次性 · 不含稅
促銷碼（報價時提供給顧問）：YE26-M365AUDIT
Microsoft 365 安全審計收費：按人數固定價格，費用是多少？
單一審計產品，各方案範圍完全相同。請按您的 Microsoft 365 用戶數選擇方案。一次性收費，美元計價，不含稅。
先看看您會收到甚麼 一份以虛構客戶為對象的完整審計報告範例——發現、證據與修復計劃——可在線閱讀。 閱讀範例審計報告 →（英文） 每個方案均包含
- 完整 CIS Microsoft 365 Benchmark（Level 1 與 2），含人工控制項
- Entra ID、Defender、Purview、Exchange、SharePoint 與 Teams
- 證據對照常見的網絡保險問卷與 Cyber Essentials 問題
- 排定優先次序的修復路線圖及工作量估算
- 取得租戶訪問權限後 5–7 個工作天出具書面報告
- 報告講解會議
可選：持續監控
$6–10 / user / mo
避免修復成果回退：持續監控加季度複審，按用戶按月計費。不參與年終折扣。
所有價格以美元計價，為不含稅的參考起價。可按需要以港幣、新幣、人民幣、日圓或歐元開具發票。提供分區域定價（亞太 / 歐洲-英國 / 中東）——最終報價取決於範圍、資產數量與地區。
Microsoft 365 安全審計應該查什麼、收費多少？
Microsoft 365 的漏洞評估是配置審查，而不是網絡掃描——沒有屬於您的服務器需要探測，所以範圍是租戶的各項設定，以及誰能訪問其中的數據。我們的評估遵循 CIS Microsoft 365 Benchmark（Level 1 與 2），亦即一般所說的「Microsoft 365 安全評估」。每個方案都檢查同樣的三個範疇：
身分（Entra ID）
- ›每位用戶的 MFA 覆蓋情況，包括應急（break-glass）帳戶與服務帳戶
- ›條件訪問政策及其排除項；登入風險與用戶風險
- ›特權角色，以及管理員的防釣魚身分驗證
- ›舊式身分驗證與 SMTP AUTH
- ›用戶對第三方應用程式的授權同意及其所持權限
- ›訪客帳戶及其到期設定
Exchange Online 與 Defender for Office 365
- ›每個域名（包括閒置域名）的 SPF、DKIM 與 DMARC
- ›外部自動轉發與收件箱規則
- ›防釣魚、防垃圾郵件、安全連結（Safe Links）與安全附件（Safe Attachments）政策
- ›郵箱審計與統一審計日誌保留期
SharePoint、OneDrive、Teams 與數據
- ›外部共享設定與匿名「任何人」連結
- ›敏感度標籤、保留政策以及針對個人資料的 DLP
- ›Teams 外部訪問與第三方應用程式
- ›未啟用應用程式保護便能訪問郵件和文件的個人手機與電腦
收費是按人數計算的一次性固定費用——1–10 人 US$450，最高 76–150 人 US$2,900，150 人以上另行報價——並非按小時計費。費用包括附分級發現與證據的書面報告、排定優先次序的修復計劃，以及一次講解會議。
如果還需要掃描您自己的服務器、防火牆或 Web 應用程式，那是另一項漏洞掃描服務。
Microsoft 365 安全審計、評估與審查：我們對照甚麼標準
在這裏，審計、評估與審查是同一項服務：以只讀方式審查您租戶的設定，對照公認基線分級，並給出書面修復計劃。報告背後有四項參照，各有明確分工：
CIS Microsoft 365 Foundations Benchmark
審計的正式記錄。Level 1 與 Level 2，按章節報告：管理中心、Defender、Purview、Intune、Entra ID、Exchange、SharePoint、Teams 與 Power BI，包含人工控制項。
CISA ScubaGear 基線
按服務單獨運行的第二套獨立基線（Entra ID、Exchange Online、Defender、SharePoint 與 OneDrive、Teams、Power Platform），結果分為通過、未通過與警告。
Microsoft Secure Score
作為趨勢線，讓您看到兩次審計之間的進展。它只讀取 API 可見的設定，不作為正式記錄。
Cyber Essentials 要求
針對租戶能夠佐證的部分給出就緒對照表：安全配置、用戶存取控制、惡意軟件防護與更新管理。
只讀存取：我們需要甚麼，又絕不查看甚麼
由您的一位全局管理員一次性批准我們的只讀審計應用，存取安排僅此而已。
- 只使用只讀的 Graph 權限，這些權限無法更改您的租戶
- 不會在您的租戶中建立 Brocent 帳戶，也不會與我們共享任何帳戶或密碼
- 絕不打開郵件和文件：審計讀取的是配置和元數據，不是內容
- 審計結束當天，您即可在 Entra ID（企業應用程式）中移除該應用
完整權限清單見下方常見問題和範例報告頁面。
您會收到甚麼、需要多久、哪些不包含
流程
- 我們確認您的人數級別與固定費用，通常在一個工作天內。
- 您的全局管理員批准只讀應用（約 15 分鐘）。
- 自動掃描在數分鐘內完成，隨後由工程師檢查人工控制項。
- 取得存取權限後 5–7 個工作天，您收到書面報告。
- 透過講解會議逐項說明發現與修復次序。
交付物
- ›書面報告：每項發現均有分級、證據與工作量
- ›按章節的 CIS 結果與按服務的 ScubaGear 結果
- ›Cyber Essentials 就緒對照表，以及附帶註明日期匯出檔案的保險證據包
- ›分階段、排定優先次序的修復計劃，以及包含全部控制項的 Excel 工作簿
包含
- 審計、報告與工作簿
- 附工作量估算、排定優先次序的路線圖
- 講解會議
- 由 Brocent 執行修復時，含一次複審
不包含
- 執行修復：審計後另按固定費用報價
- Microsoft 365 備份、滲透測試與釣魚演練
- 打開郵件或文件，以及 Microsoft 365 以外第三方 SaaS（僅檢查其 OAuth 授權）
- 防火牆與本地網絡設備
購買前先看清交付形式：閱讀完整的範例審計報告（英文；虛構客戶，另有 PDF 與 Excel 版本）。
英國企業的 Microsoft 365 安全審計：Cyber Essentials、UK GDPR 與保險問卷
英國機構使用這項審計，最常見的有三個目的：準備 Cyber Essentials、填寫網絡保險投保問卷，以及證明 Microsoft 365 中的個人資料受到保護。報告就是按這三點設計的，講解會議安排在英國辦公時間。
價格與其他地區完全相同，均為固定的美元費用：1–10 人 US$450，最高 76–150 人 US$2,900，不含稅，不按日計費。我們只公布一份美元價目表；如需其他貨幣報價，請聯絡我們。
- ›Cyber Essentials：報告含針對 Microsoft 365 範圍的 v3.3 就緒對照表（雲端服務 MFA、管理員帳戶、閒置帳戶、安全配置、惡意軟件防護、更新），並標出評估時會不通過的項目。它是您評估時的佐證材料，最終由認證機構判斷；防火牆大多不在 Microsoft 365 審查範圍內。
- ›UK GDPR：當發現涉及個人資料時（例如匿名分享連結、郵件轉寄到個人郵箱、缺少針對身份證件的資料防洩漏），報告會明確指出並評級。它不能取代法律意見或資料保護影響評估。
- ›保險公司：證據包回答投保問卷最常問的問題（MFA、管理員帳戶、郵件安全、終端防護、日誌保留），並為每個答案指向一份註明日期的匯出檔案。
美國企業的 Microsoft 365 安全審計：美元固定價格
美國客戶看到的是同一個固定費用，以美元計價，不含稅：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900。超過 150 人單獨報價。各級別範圍完全相同。
審計全程遠程交付，與您辦公室所在地無關。全局管理員批准只讀應用後，5–7 個工作天內收到報告。
- ›CISA ScubaGear：除 CIS 基準外，報告還包含按服務的 ScubaGear 結果，即美國網絡安全和基礎設施安全局發布的公開基線。
- ›網絡保險申請：證據包涵蓋 MFA、特權帳戶、郵件驗證（SPF、DKIM、DMARC）、終端防護與日誌保留，並各自對應一份註明日期的匯出檔案。每家保險公司規則不同，我們無法承諾某一家會接受。
- ›客戶安全問卷：當客戶詢問您的租戶如何配置時，可用發現登記表和 Excel 工作簿作為佐證記錄。
超過 150 人，或需要我們協助修復，怎樣收費？
超過 150 人，或希望由我們修復審計發現的問題時，按您的情況單獨評估並報價。每項服務皆由指定工程師交付，而非自助式儀表板。
150 人以上
大型租戶 · 單獨報價150 人以上租戶適用相同範圍的 CIS 基準審計，按單報固定費用。
一次性評估
Custom
託管（週期性）
$6–10 / user / mo
- 範圍與上述四個人數方案相同
- 按您的租戶與用戶數報固定費用
- 多租戶、多地區的環境單獨評估範圍
- 持續監控：監控 + 季度複審
強化與合規
審計 + 引導式修復我們先審計，再將您的租戶強化至 Secure Score 80+ 並維持。
一次性評估
Custom
託管（週期性）
Custom
- 包含 CIS 基準審計全部內容
- 引導式修復至 Secure Score 80+
- 修復後更新網絡保險與 Cyber Essentials 問題的證據
- 條件訪問與 DLP 策略強化
- 面向高層管理人員與董事會的報告
- 持續監控：漂移監控 + 每月評審
只看 Microsoft Secure Score 足夠嗎？還需要 CIS 基準審計嗎？
Microsoft Secure Score 是一個免費、自動化的數字，基於 Microsoft API 能讀取的設定。它作為趨勢線很有用，但它不是審計。它遺漏僅可人工檢查的控制項（應急訪問的 break-glass 帳戶、Entra 管理員角色限制、Teams 外部應用策略、Power BI 分享）。
CIS Microsoft 365 Benchmark 涵蓋 100% 的控制項，包括那些人工控制項，是大多數合規框架背後公認的標準。Brocent 的 CIS 審計交付的報告，設計用途是在您回答客戶安全問卷、網絡保險問卷或 Cyber Essentials 評估時作為佐證材料，並附上修復問題的路線圖。
已有免費評分，為何還要做 CIS 審計？
市場分為免費自動評分、按用戶計費的監控 SaaS 以及顧問服務。Brocent 提供有據可依的中間選擇：以中端市場價格提供審計級的 CIS 評估。
-
Microsoft Secure Score
僅 API 可見的設定（非審計級） · Free
-
ScubaGear (CISA)
開源基線，無解讀 · Free (self-run)
-
態勢監控工具
按用戶計費的態勢監控 SaaS · US$1–3 / user / mo
-
企業管治平台
企業級治理平台 · 約 US$20,000 起 / 年
-
企業顧問服務
一次性強化項目 · US$15,000–50,000
-
Brocent CIS 審計
完整 CIS 基準 + 路線圖 · US$450–2,900（按人數）
第三方標價以 2026 年 7 月為準。Brocent 底層執行 ScubaGear 與 CIS 工具——您支付的是審計、解讀與修復，而非工具本身。
Microsoft 365 審計定價常見問題
Secure Score 不是已經免費了嗎？
是的，我們也會用到它，但它只讀取 API 可見的設定，不屬於審計級記錄。CIS Microsoft 365 Benchmark 涵蓋 100% 的控制項，包括 Secure Score 看不到的人工控制項。您支付的是審計級證據與修復計劃，而非那個評分。
M365 審計定價如何計算？
只有一款產品：CIS 基準審計，按人數分級、一次性收費（美元，不含稅）：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900。各方案範圍完全相同。超過 150 人，或需要引導式修復（強化與合規）時，按您的租戶單獨報價。年終優惠：至 2026 年 12 月 31 日，四個方案均享 15% 折扣，折後分別為 US$382.50 / US$841.50 / US$1,530 / US$2,465。可選的持續監控為 US$6–10 / 用戶 / 月（含季度複審），不參與折扣。
審計實際檢查什麼？
Entra ID（身分、MFA、條件訪問、管理員角色）、Defender（威脅策略）、Purview（DLP、保留、合規）、Exchange Online、SharePoint/OneDrive 分享，以及 Teams——對照 CIS Microsoft 365 Benchmark Level 1 與 2。
你們也會修復問題嗎？
強化與合規層級包含引導式修復至 Secure Score 80+，並強化條件訪問與 DLP 策略。審計本身會為您提供一份排定優先次序的路線圖，供您自己的團隊（或由我們按持續服務計劃）執行。
報告可以用於網絡保險或 Cyber Essentials 嗎？
報告包含對照網絡保險問卷與 Cyber Essentials 評估常見問題的證據，設計用途是在這些流程中作為佐證材料。它本身並不能讓您自動合規或獲得認證，最終由保險公司或認證機構自行判斷。
Microsoft 365 安全審計、評估和審查有甚麼分別？
實際上沒有分別：三者都是對照基線審查您租戶的配置。我們提供的是對照 CIS Microsoft 365 Benchmark 與 CISA ScubaGear 基線的只讀審計，以一份書面報告和修復計劃交付，按一個固定費用收費。我們沒有另設價格不同的簡化版評估。
在英國或美國做 Microsoft 365 安全審計要多少錢？
費用按人數固定，而不是按國家：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900，美元計價，不含稅。超過 150 人單獨報價。不按日計費。
審計涉及 UK GDPR 嗎？
審計涵蓋決定個人資料是否受保護的 Microsoft 365 設定：外部分享、轉寄、資料防洩漏、敏感度標籤、保留和存取控制。發現涉及個人資料時，報告會明確指出。我們不會打開您的文件，這也不是法律意見或資料保護影響評估。
審計與 Cyber Essentials 是甚麼關係？
報告把發現對照到 Microsoft 365 租戶能夠佐證的 Cyber Essentials 要求領域，並標出評估時會不通過的項目，例如未啟用 MFA 的雲端帳戶。防火牆大多不在範圍內。修復後，同樣的證據有助於填寫問卷；最終由認證機構判斷。
需要管理員密碼，或存取我們的郵件和文件嗎？
不需要。全局管理員一次性批准只讀應用，不與我們共享任何帳戶或密碼。審計讀取配置和元數據，絕不讀取郵件或文件內容，審計結束後您可以移除該應用。
Microsoft 365 安全審計需要多久？
授權同意約 15 分鐘。取得存取權限後 5–7 個工作天出具報告，並安排講解會議。審計為遠程進行，無需上門。
最後我會收到甚麼？
書面報告（含分級發現與證據）、按章節的 CIS 結果、ScubaGear 結果、Cyber Essentials 就緒對照表、保險證據包、分階段修復計劃，以及包含全部控制項的 Excel 工作簿。您可以在範例審計報告頁面閱讀完整樣本。
審計價格不包含哪些內容？
不包含執行修復、Microsoft 365 備份、滲透測試與釣魚演練，以及 Microsoft 365 以外的內容（如防火牆）。修復在審計後按固定費用報價。由 Brocent 執行修復時，含一次複審。
更多關於審計的問題：常見問題 · 網絡安全 → · 想先看看審計報告是什麼樣子？閱讀範例審計報告（英文）。
指南與資源
Microsoft 365 安全審計指南
Microsoft 365 保安審計清單：租戶裡要逐項檢查的 12 個區域
可以自己動手的 Microsoft 365 保安審計清單：12 個租戶區域、每項設定在哪個管理中心、什麼算達標、對應 CIS 基準的哪一部分。
閱讀指南 →什麼是 Microsoft 365 保安審計？檢查甚麼、幾耐出報告、幾多錢
Microsoft 365 保安審計是對租戶配置的一次性檢查：對照 CIS 基準，涵蓋 Entra ID、Exchange、SharePoint、Teams，5–7 個工作日出報告，按人數定價。
閱讀指南 →Microsoft 365 保安審計收費多少？2026 年價格指南
Microsoft 365 保安審計收費一文睇清：免費掃描工具、按用戶計費的監控平台、固定價一次性審計（Brocent 由 450 美元起）與顧問日薪。附報價比較方法。
閱讀指南 →Microsoft 365 保安評估報告應該包含什麼？以我們的示例報告逐節解讀
Microsoft 365 與 Exchange Online 保安評估報告應包含哪些內容？逐節解讀 Brocent 示例報告，並附採購檢查清單。
閱讀指南 →Microsoft 365 MFA 缺口報告：審計交付物如何列出 Entra 中沒有 MFA 的用戶
Microsoft 365 MFA 缺口報告包含什麼：逐帳戶註冊狀態、抗釣魚方法、例外帳戶、條件訪問覆蓋範圍，以及保險公司和審核方要看的證據形式。
閱讀指南 →Intune 設備審計：檢查什麼、交付什麼、和買 Intune 許可證有什麼不同
Intune 設備審計檢查註冊覆蓋、合規策略、加密、Defender、更新、個人手機應用保護和管理員權限，報告包含什麼，以及它為什麼不是一張許可證。
閱讀指南 →CIS Microsoft 365 Foundations Benchmark v7.0.0 改了什麼？對一次保安審計意味著什麼
CIS Microsoft 365 基準 v7.0.0 是什麼、Level 1 與 Level 2 的區別、相對 v6 改了什麼，以及怎樣讀懂審計報告裡按章節的通過率。
閱讀指南 →條件訪問基礎策略：小型 Microsoft 365 租戶最先要建的六條策略
小型 Microsoft 365 租戶最先該建的六條條件訪問策略：對象、條件、授予控制項、排除帳戶，以及用僅報告模式安全上線的步驟。
閱讀指南 →Microsoft 365 如何開啟 MFA：安全預設值、條件訪問，以及找出尚未註冊的用戶
用安全預設值或條件訪問為全員開啟 Microsoft 365 MFA，分階段推行，並用 PowerShell 匯出尚未註冊 MFA 的用戶。
閱讀指南 →微軟安全評分、CIS Microsoft 365 基準與 CISA ScubaGear：哪一個能證明你的租戶是安全的？
比較微軟安全評分、CIS基準與ScubaGear：各自量度甚麼、哪些可自動檢查、誰認可作為證據，以及不同情況該用哪一個。
閱讀指南 →網絡保險 MFA 要求：Microsoft 365 租戶裡「全面啓用 MFA」到底指什麼
網絡保險問卷裡的 MFA 要求到底覆蓋哪些帳戶？哪些驗證方式算數、例外怎樣寫才不會被當作「否」、從 Microsoft 365 導出哪些證據，本文只講這一題。
閱讀指南 →香港 Microsoft 365 保安審計：本地企業的審計範圍、週期與固定價格
由觀塘的香港 IT 公司提供的一次性 Microsoft 365 租戶保安審計：檢查範圍、按人數的固定價格（US$450 起）、讀取授權後 5–7 個工作日出報告。
閱讀指南 →
需要完整的管理型IT外判方案，而不只是這一項安全附加服務？管理型IT外判服務提供真實的分地區定價。
查看管理型IT服務價格 →這項人工交付服務背後的自動化掃描引擎，也可作為 BCS 平台內的獨立模組使用。 了解 BCS IT 安全審計模組 →