CIS Microsoft 365 Foundations Benchmark v7.0.0 改了什么？对一次安全审计意味着什么

一句话结论： CIS Microsoft 365 Foundations Benchmark 是大多数独立租户审计所依据的公开检查清单。7.0.0 版于 2026 年 5 月发布，Brocent 的一次性 Microsoft 365 安全审计按 Level 1 和 Level 2 两级测量，公开示例共评估了 118 项控制。本文解释这个基准是什么、改了什么、怎样读通过率，以及买之前该问服务商哪一个问题。

如果你收到的租户审查报价单上写着"依据 CIS Microsoft 365 基准 v7 测量"，这篇文章告诉你这句话让服务商承诺了什么。基准本身是一份写给管理员的长文档，面向买家的解释要么跳过细节，要么默认你已经有一支安全团队。这一篇是写给中小企业的负责人、财务主管或 IT 经理的：你要决定一次审计值不值得花钱，以及拿到报告后怎样判断它。

下文凡提到 Brocent 自己的审计，依据的都是公开的示例报告（英文页，使用一家虚构的 14 人公司）和 Microsoft 365 安全审计定价页。文中没有任何客户数据。

CIS Microsoft 365 Foundations Benchmark 是什么？

Center for Internet Security（CIS）为操作系统、云平台和应用程序发布配置基准。Microsoft 365 Foundations Benchmark 针对的是一个 Microsoft 365 租户：Entra ID、Exchange Online、SharePoint 与 OneDrive、Teams、Defender、Purview 以及 Intune 管理中心。每一条建议都点名一个设置、说明它应有的取值、解释原因，并给出检查和修复的步骤。

它之所以适合做审计的标尺而不只是加固指南，有三个原因：

• 独立于 Microsoft。 Secure Score 是 Microsoft 对你租户的看法，而且偏向 Microsoft 有授权可卖的功能。CIS 基准由从业者社区维护，不会因为授权套餐变化而变化。
• 带版本号。 每条建议有稳定的编号，整份文档有版本号，所以同一租户相隔一年的两次审计可以逐项对比。
• 区分自动检查项和人工检查项。 有的设置可以用脚本读出来，有的则需要人去看管理员名单、条件访问策略或共享设置后作出判断。基准给每一项都做了标注，审计报告因此可以诚实地写明哪些是验证过的、哪些是人工审阅的。

如果你想了解 Secure Score、CIS 基准和 CISA 的 ScubaGear 三者有什么不同，我们另有一篇 Secure Score、CIS 基准与 ScubaGear 对比。本文只讲基准本身。

Level 1 和 Level 2 有什么区别？

基准里每条建议都归入一个配置级别。

• Level 1 是基线。这些设置能降低风险，又基本不影响大家的日常工作：阻止旧式身份验证、要求管理员使用 MFA、开启统一审计日志、不让匿名共享链接永久有效。小企业把基础做完以后，Level 1 应该几乎全部通过。
• Level 2 是纵深防御。这些设置提供更多保护，但可能牺牲一点便利，或者需要更高的授权：特权角色使用抗钓鱼的身份验证、更严格的条件访问、Purview 数据丢失防护策略、更紧的外部共享。部分 Level 2 项目只有在 Business Premium、E3 或 E5 上才能做到。

审计覆盖到哪一级为什么重要？因为一份只测 Level 1 的报告可以看起来非常漂亮，而租户里仍然留着攻击者在钓到第一个密码之后会用到的每一个 Level 2 缺口。示例报告两级都测，并给每项控制标注适用的授权配置，所以一个 Business Premium 租户不会因为某项只有 E5 才能做的控制而被判失败。当服务商说"与 CIS 对齐"时，要问清是不是只测 Level 1。

7.0.0 版改了什么？

CIS 于 2026 年 5 月发布了 Microsoft 365 Foundations Benchmark 7.0.0 版，收录在 CIS 2026 年 6 月的基准更新通告中，我们在肯特郡审计页引用过这一出处。

• 新的编号体系。 我们读到的唯一一份公开摘要（见我们的Secure Score、CIS 基准与 ScubaGear 对比文）称新增 21 项建议、更新约 55 项，其余重新编号；这些数字我们没有对照 CIS 的变更日志核实。重新编号意味着一条按 v6 写的发现不能直接拿旧编号到 v7 报告里查。服务商要把你的新报告与旧报告对比时，必须做编号映射，一份合格的报告会写明这一点。
• 示例报告本身能看到的。 v7.0.0 报告把控制项分为九个章节，Purview、Intune 和 Fabric 与 Entra、Exchange、SharePoint、Teams、Defender 并列。我们没有读过 CIS 的变更日志，因此本文不对 v6 覆盖了什么、哪些指引被重写、哪些控制项被停用作任何断言；这些请查基准文档随附的变更日志。

对买家来说，实际影响很简单：一份 2026 年出具却仍引用第 6 版的报告，测的是一份已经和 Microsoft 管理中心对不上的清单。请服务商把版本号写进书面材料。

审计是怎样使用这个基准的？

审计不是把基准照本宣科。基准给审计人员提供设置清单和每项的目标值，审计在此之上再加四件事。

1. 只读方式拉取实际配置。 Brocent 的审计使用一个 Microsoft Graph 应用，由你的全局管理员授权一次。它读取设置和报表，不读邮件和文件内容，事后可在 Entra 中移除。
2. 机器能读的设置用自动检查。 产出通过或失败，并附上证据：策略导出、报表行、拉取日期。
3. 基准要求人工判断的地方做人工审阅。 谁持有全局管理员角色、是否仍需要；紧急访问账户是否真的受到保护；一条看起来正确的条件访问策略，是否有一个排除组悄悄覆盖了半家公司。这些是扫描器给不出的发现，示例报告把它们标为"人工"，而不是编造一个通过。
4. 严重程度、工作量和顺序。 基准不会告诉你三十个失败项先修哪一个，报告会，并给出分阶段计划。

如果你想在委托之前先自查，Microsoft 365 安全审计清单按报告呈现的顺序走完了十二个区域。

怎样读懂按章节的通过率？

示例报告在详细发现之前，用一张表汇总基准结果。按它的数字，共评估 118 项控制：72 项通过、31 项失败、9 项需人工审阅、6 项不适用。通过率等于通过除以通过、失败与人工之和，不适用项既不加分也不减分。该示例各章节如下。

• §1 Microsoft 365 管理中心： 9 通过、3 失败、1 人工，69%。主要是租户层面的卫生项，如未使用的授权和自助购买。
• §2 Microsoft Defender： 13 通过、4 失败、1 人工，72%。反钓鱼、安全链接与安全附件策略，以及预设策略是否从未离开默认值。
• §3 Microsoft Purview： 4 通过、5 失败、1 人工，40%。示例中得分最低的章节：审计日志保留、DLP 和敏感度标签是小租户最常从未碰过的控制。
• §4 Microsoft Intune 管理中心： 2 通过、2 失败，50%。这里设备合规项很少，因为设备状态属于单独的 Intune 设备审计。
• §5 Microsoft Entra 管理中心： 19 通过、9 失败、2 人工、1 不适用，63%。最大的章节，示例三项严重发现中的两项在这里：被排除在 MFA 之外的全局管理员应急账户（F-01），以及停留在仅报告模式的旧式身份验证阻断（F-03）；永久指派的管理员（F-04）是高风险发现。
• §6 Exchange 管理中心： 12 通过、4 失败、1 人工，71%。邮件流、转发、SMTP AUTH 和邮箱审计。
• §7 SharePoint 管理中心： 7 通过、3 失败、2 人工，58%。外部共享默认值和"任何人"链接。
• §8 Microsoft Teams 管理中心： 6 通过、1 失败、1 人工、1 不适用，75%。外部访问和会议策略。
• §9 Microsoft Fabric（Power BI）： 3 项不适用。示例公司不使用它，所以该章节按不适用报告，而不是算作通过。

从这张表能得出三条阅读规则。第一，总体 64%（报告首页的指标卡显示 61%，因为它把不适用项也算进了分母）没有分布形态重要：一家处理客户身份证件的公司 Purview 得分低，和一家不用 Fabric 的公司 Fabric 得分低，是两个完全不同的问题。第二，"人工"不是软性失败，它表示有人看过并记录了所见，详细发现会告诉你结论。第三，控制项少的章节会因一处变化而大幅波动，所以两次审计之间要比数量，不只比百分比。

买之前该问服务商哪一个问题？

一个问题就能解决大部分疑虑：报告将依据 CIS Microsoft 365 Foundations Benchmark 的哪一个版本测量，封面上会不会写明版本？如果回答是"最新版"却没有数字，追问数字。如果 2026 年下半年回答是第 6 版，问为什么。如果回答是 7.0.0，再问 Level 1 和 Level 2 是否都在范围内、人工控制项如何报告。

其他问题是每位审计买家无论依据哪个基准都该问的：访问权限如何授予和移除、报告包含什么、需要多长时间、费用多少。Brocent 的答案是公开的：只读的 Graph 应用；报告与工作簿按可用作证据的方式设计；授权后 5 至 7 个工作日出报告；按人数固定价格，1 至 10 人 US$450 起，76 至 150 人 US$2,900，更大的租户另行报价。什么是 Microsoft 365 安全审计？一文从头到尾讲了流程。

Secure Score、CIS Level 1 还是 CIS Level 2：你需要哪一种度量？

• Microsoft Secure Score： 租户内置、持续更新，适合看趋势。它只看得到 Microsoft API 暴露的内容，按 Microsoft 的建议打分，看不到人工控制项，并且倾向于奖励有授权的功能。
• CIS Level 1： 独立的基线。适合从未被审查过、想要一份附证据的基础项清单的租户。Level 1 高分、Level 2 低分，对小企业来说是常见且诚实的结果。
• CIS Level 2： 完整画面，包括保险公司或大客户问卷常问到的控制项。适合受监管的公司、正在续保网络保险的公司，以及已经补上 Level 1 缺口的任何租户。

Brocent 的一次性审计同时测 Level 1 与 Level 2，并一并报告 Secure Score，所以一次委托就拿到三个数字，不必自己去对账。

常见问题

CIS Microsoft 365 Foundations Benchmark 文档需要付费获取吗？

不需要。在 CIS 网站注册后即可获取基准文档，不收费。花钱的是把 118 项控制逐一对照你的租户检查、判断人工项并附证据写出来所需的时间，这正是审计所出售的。

通过 CIS 基准等于取得某项认证或满足法规要求吗？

不等于，报告也绝不应该这样写。基准是配置标准，不是法律，也不是认证体系。依据它测量的审计报告按可用作证据的方式设计，供你回应保险公司、客户问卷或 Cyber Essentials 评估机构；它不认证、不满足、也不保证其中任何一方的结论。

Brocent 的审计使用哪个 CIS 版本？

CIS Microsoft 365 Foundations Benchmark 7.0.0 版，示例报告封面写明了版本，结果表给出了 118 项控制数。CIS 发布新版本后，报告会写明所依据的版本，使两份报告能够诚实地对比。

我们去年按第 6 版审计过，结果能对比吗？

部分能。因为 v7.0.0 重新编号了建议项，对比必须逐项进行而不能按编号，另有少数控制项被退役或新增。为你复审的服务商应当提供这份映射，而不是留给你自己去做。

只有 Business Premium 也需要 Level 2 吗？

许多 Level 2 控制在 Business Premium 上就能做到，它包含 Entra ID P1、Intune 和 Defender for Business。报告会标注每项控制适用的授权配置，确实需要 E5 的 Level 2 控制会显示为不适用，而不是失败。

审计需要多长时间、费用多少？

你的全局管理员授权只读应用后，5 至 7 个工作日出报告。价格按人数固定：1 至 10 人 US$450，11 至 25 人 US$990，26 至 75 人 US$1,800，76 至 150 人 US$2,900；150 人以上另行报价。

用扫描器能代替审计吗？

扫描器可以检查自动项，几分钟内给出通过或失败清单。它不能判断人工控制项，不能决定先修什么，也不能向非技术背景的负责人解释一项发现。示例报告中有 9 项控制需要人工审阅，而最严重的那条发现（F-01）取决于读一个排除组的成员名单，这正是通过/失败式扫描器不会做的判断。

下一步

想在决定之前先看看 v7.0.0 的结果是怎样呈现的，可以在线阅读示例 Microsoft 365 安全审计报告（英文页），填一个简短表单后可获取 PDF 和 Excel 工作簿。范围和按人数的固定价格见审计定价页；需要为你的租户报价，请联系顾问。