用 Claude 把 Microsoft 365 安全审计报告变成整改路线图

简而言之： Claude 可以在几分钟内把一份 Microsoft 365 安全审计报告整理成整改路线图草稿：按风险和工作量分组、拆成几个阶段，每一项都有负责人和依赖关系。它只根据你提供的文字工作，不会连接你的租户，也不会核实任何一项设置。粘贴之前，先删去租户 ID、域名、用户名和 IP 地址；拿到的结果只是草稿，必须由一位具名的人来负责。

你刚收到一份 Microsoft 365 安全审计报告，里面列着几十项发现，每项都有严重程度、证据和建议。现在业务部门想知道接下来做什么、按什么顺序做、要花多少时间。本文写给 20 至 500 人企业的 IT 经理：你需要回答这些问题，并希望用 Claude 起草第一版答案。

本文介绍在 Claude 看到报告之前要删掉什么、一段可直接复制的提示词、如何检查返回的结果，以及 AI 起草的路线图在什么情况下就不够用了。

为什么审计报告常常被归档，而不是被执行？

大多数审计报告按审计师的工作方式组织，而不是按企业修复问题的方式组织。发现按领域排列（身份、邮件、共享、设备），每个领域内再按严重程度排列。这个顺序适合呈现证据，却不适合安排行动。

报告通常卡在三件事上：

• 没有顺序。 一项十分钟就能修好的严重发现，和一项需要更换许可证、再花一个月做用户沟通的严重发现排在一起。没有顺序，两项都会被搁置。
• 没有负责人。 报告说明要修什么，却很少说明由谁来修，因为审计师并不了解你的团队。
• 没有预算形态。 财务总监无法批准"42 项发现"，但可以批准"现在两周的配置工作、下季度一项许可证决定、明年预算里一个项目"。

整改路线图解决的正是这三件事。它不增加新发现，而是把现有发现重新排列成企业能够排期、能够拨款的工作。

Claude 能对审计报告做什么，不能做什么？

Claude 擅长这项工作中"重新组织"的部分：读长文档、把相关事项归组、发现两项发现可以用同一个改动解决，并用另一种结构重写同样的信息。它不是审计师，也看不到你的环境。

• 它只读你给它的内容。 粘贴发现内容，或在你的 Claude 方案允许上传文件时附上报告。Claude 只根据这些文字工作。
• 它不会访问你的租户。 在这个流程里，Claude 没有连接 Microsoft 365、Entra ID 或任何管理门户，无法确认某项发现是否仍然存在、修复是否生效，也无法确认设置是否与报告一致。
• 它可能出错。 它可能误读依赖关系、把应当分开的两项发现合并，或者对你的环境估错工作量。每一行都需要人来核对。
• 它不能替代证据。 如果报告要交给保险公司、审计师或客户，原始发现和证据仍然是正式记录。路线图是计划，不是证明。

如果你的公司为了其他工作已经把 Claude 连接到 Microsoft 365，请把两件事分开。把审计报告变成计划不需要任何连接器；给 AI 工具超出任务所需的权限，本身就是审计会指出的问题。我们关于将 Claude 安全连接到 Microsoft 365的指南讨论了这个问题。

把报告交给 Claude 之前，应该删去什么？

审计报告就是一张标明你弱点的地图。任何内容离开你的控制之前，先去掉可能帮助攻击者的信息，以及能识别具体人员的信息。

删除或替换

• 租户标识。 租户 ID（一串 GUID）、租户的 onmicrosoft.com 名称以及所有自定义域名。用 TENANT、DOMAIN-1 之类的占位符替换。
• 人员信息。 用户主体名称、显示名称和电子邮件地址，尤其是管理员账户和严重发现中提到的账户。用角色替换：ADMIN-1、FINANCE-USER-2。
• 网络和应用细节。 公网 IP 地址、命名位置、应用（客户端）ID、服务主体名称，以及获得授权的第三方应用名称。
• 证据摘录。 截图、登录日志行和导出的设置。Claude 需要的是发现和建议，不是原始证据。
• 与客户相关的一切。 会暴露客户、交易或案件的站点名称或文件路径。

保留

• 发现标题、严重程度和所属领域。
• 建议内容。
• 工作量或许可证说明（如果报告中有）。
• 阶段编号或参考编号，方便把路线图对应回报告。

确认你使用的是哪个 Claude 方案

数据处理方式取决于方案。Anthropic 表示，除非客户选择加入（例如通过其开发合作伙伴计划），它不会用其商业产品（Claude for Work 的 Team 和 Enterprise 方案以及 API）中的内容训练模型。在面向个人的 Free、Pro 和 Max 方案中，是否用于模型训练取决于用户选择的隐私设置。请阅读 Anthropic 针对你实际使用方案的最新隐私文档，并遵守公司的 AI 政策。如果公司还没有 AI 政策，应先补上；我们的 AI 支持服务帮助企业制定政策、决定员工可以使用哪些工具，我们的 AI 工具价格页列出了主要 AI 助手的参考价格。

怎样把发现整理成企业能拨款的路线图？

写提示词之前，先确定你想要的结构。适合中小企业的路线图通常分四个阶段。

按风险和修复成本排序，而不是按报告中的顺序

每项发现打两个分：被利用后有多严重，以及关闭它要多少工作量。有用的顺序是高风险、低工作量优先，因为每小时降低的风险最多。接着是高风险、高工作量，作为项目来规划。低风险、低工作量用来填补空档。低风险、高工作量往往可以延后，但要把理由写下来。

拆成预算能跟得上的阶段

• 第 0 阶段：稳定（未来两周）。 只需配置、且已有许可证即可解决的严重发现：多因素认证缺口、旧式身份验证、匿名共享链接、外部邮件转发。
• 第 1 阶段：加固（下一季度）。 需要规划或用户沟通的高风险发现：抗钓鱼登录方式、独立管理员账户、应用授权管控、DMARC 强制执行、设备和应用保护。
• 第 2 阶段：治理（下一个预算周期）。 需要许可证决定、政策或项目的发现：数据防泄漏、敏感度标签、保留策略、更长的日志保留期。
• 第 3 阶段：持续（长期）。 定期复查、访问审查，以及对照原始发现的复核。

博迅自己的样本报告就采用这种阶段结构。你可以在线阅读 Microsoft 365 安全审计样本报告（英文），看看由审计师撰写的分阶段修复计划是什么样子；样本使用一家虚构的 14 人企业，含 3 项严重发现和 7 项高风险发现。

可直接复制的提示词

把脱敏后的发现内容粘贴在这段提示词之后，并按你团队的情况调整各阶段时长。

• 角色与来源 ——"你在协助一位 IT 经理规划整改。只使用下面列出的发现，不要添加清单以外的发现。"
• 评分 ——"为每项发现给出风险（严重、高、中、低，以报告为准）和工作量（小：半天以内；中：最多三天；大：更多），并注明工作量是否为你的估计。"
• 依赖关系 ——"标出任何需要先修复另一项才能处理的发现，以及任何需要报告中指出缺少的许可证的发现。"
• 归组 ——"把可以用同一个改动关闭的发现归为一组，并说明是哪几项。"
• 阶段 ——"把每项发现放入第 0 阶段（两周，仅配置）、第 1 阶段（一个季度）、第 2 阶段（下一个预算周期）或第 3 阶段（长期），并用一句话说明理由。"
• 负责人栏 ——"增加一栏负责人，填写最适合做这项工作的角色，例如 IT 主管、Microsoft 365 管理员、人力资源、管理合伙人。不要编造姓名。"
• 用户影响 ——"注明用户会察觉到的变化，以便提前沟通。"
• 规则 ——"保留报告中的参考编号。如有不清楚之处，在最后列为问题，不要猜测。"

要求按阶段分组输出列表。如果需要电子表格，可以让 Claude 输出每行一项发现、包含上述各栏的版本，在发出之前先核对。

示例：三项严重发现的重新排序

以三项在很多 Microsoft 365 审计中都会以某种形式出现的发现为例，博迅的样本报告中也有：两个账户可以不经多因素认证登录，其中一个是全局管理员；旧式身份验证没有被阻止，整个租户启用了 SMTP AUTH；允许"任何人"匿名共享链接，而且这是一个面向客户站点的默认设置。

在报告中，它们分属身份、邮件和共享三个领域。按上面的提示词，Claude 通常会对它们做三件有用的事：

• 把三项都放进第 0 阶段。 它们都是严重发现，而且都能用企业已有许可证内的配置关闭。
• 找出依赖关系。 阻止旧式身份验证可能会让一台旧扫描仪，或一个用 SMTP AUTH 发邮件的业务应用失效。路线图应该把"盘点会发送邮件的设备和应用"列为阻止之前的步骤，而不是之后。
• 标出用户影响。 为剩下两个账户启用多因素认证，以及更改默认共享链接，都会改变员工看到的内容。两者都需要在变更之前给员工发一段简短通知，而不是等服务台被电话淹没之后。

Claude 无法告诉你那台扫描仪是否存在、那个全局管理员账户是由人还是脚本在使用、或者是否有客户依赖匿名链接。这些问题要交给了解环境的人。路线图的价值在于让这些问题在变更之前就浮现出来，而不是替你回答它们。

AI 起草的路线图与托付服务商的整改服务对比

两者都从同一份报告出发，区别在于计划写好之后由谁承担工作。

• AI 起草的路线图（你加上 Claude） ——规划这一步快速且成本低，擅长结构、归组和措辞。工作量估计比较笼统。没有人对结果负责，也没有机制检查修复是否生效；一旦开始动手，除非有人持续维护，路线图很快就会过时。
• 由服务商负责的整改（服务商承担修复） ——服务商针对你的实际环境制定计划，在变更管控下实施改动，逐项验证修复，并对照原始发现报告进度。费用更高、需要签合同，但每一行都有人负责。博迅的管理型IT安全服务涵盖这部分工作，包括附有预算估算的优先级整改计划。
• 常见的折中做法 ——许多企业用 Claude 起草路线图，自己完成第 0 阶段，然后在第 1、第 2 阶段引入服务商，因为从那时起，许可证决定和用户变更管理开始变得重要。

做对这件事：每一行都必须有人负责

没有负责人的路线图，只是一份更长的报告。交给业务部门之前，先做四件事。

• 每一行都写上具体的人。 把 Claude 建议的角色换成姓名和日期。
• 按你的环境核对每个工作量估计。 Claude 的估计是通用的，你的租户有自己的历史。
• 保留与证据的对应关系。 每一行路线图都应带上报告的参考编号；当审计师或保险方问 F-01 是否已关闭时，你能拿出修复前后的对比。
• 复核，而不是假设。 第 0 阶段完成后，在管理门户里或通过重新扫描逐项确认设置。计划写着"已完成"、租户却显示相反，是最糟的结果。

如果你还没有做过 Microsoft 365 审计，先从报告本身开始。博迅的 Microsoft 365 安全审计按 CIS Microsoft 365 基准检查整个租户，并附有优先级整改路线图，报告的设计目的就是可作为证据使用。如果你已经有一份任何服务商出具的报告，希望有人协助把它变成实际工作，欢迎联系我们的团队。

常见问题

Claude 能直接读取 PDF 格式的审计报告吗？

在支持上传文件的 Claude 方案中，你可以附上 PDF，Claude 会读取其中的文字。请查看 Anthropic 最新文档，了解你所用方案支持的文件类型和大小限制。先对报告脱敏；如果报告很长，只粘贴发现表往往更清楚。

Claude 会连接我的 Microsoft 365 租户去核实发现吗？

在这个流程中不会。Claude 只读取你提供的文字，无法确认某项发现是否仍然存在、修复是否生效。确认这些需要管理员、管理门户或重新扫描。

没有服务商报价，怎么估算工作量？

如果报告本身有工作量说明，就用报告的。否则让 Claude 给出小、中、大的估计并说明理由，再请管理租户的人逐项调整。把 Claude 的数字当作起点，而不是报价。

如果两项发现的优先级互相冲突怎么办？

让 Claude 把冲突列出来，而不是替你解决。常见的情况是一项严重的身份类修复会让一个旧应用失效。通常的做法是先处理依赖，但最终决定应由了解哪个应用对业务重要的人来做。

董事会应该看原始发现，还是看路线图？

通常看路线图，再加一页摘要：总体评分、严重项、第 0 阶段关闭什么、哪些需要预算决定。完整的发现清单留给审计委员会或任何要求查看证据的人。

路线图应该多久复查一次？

每个阶段结束时复查一次；遇到会改变风险的情况也要复查，例如新许可证、并购或安全事件。对这一规模的企业，每月简短检查一次未完成事项通常就足够。

把审计报告粘贴进 AI 工具安全吗？

只有在脱敏之后，并且只能粘贴到公司已批准用于机密资料的工具和方案中。未脱敏的审计报告清楚列出了你最薄弱的地方。请先删去租户标识、人员、网络细节和证据。