Cyber Essentials 与 Microsoft 365 设置指南

一句话版本： Cyber Essentials v3.3（Danzell 题库）自 2026 年 4 月 27 日起适用于所有新的英国评估。Microsoft 365 租户里常见的失分点是 MFA 没有全覆盖、个人设备不受管、补丁拖延。五项控制措施都能对应到 Entra ID、Intune 和 Defender 的具体设置，下文逐项说明。

Cyber Essentials 是英国政府支持的基础网络安全认证。如果你的公司给英国客户供货，或者想进入英国公共部门的供应链，迟早会被问到这张证书。公司用 Microsoft 365 的话，五项控制措施大部分都落在管理中心里能直接查看的设置上。但这个计划在 2026 年做了修改，其中几处几乎没有商量余地。本文按问卷的顺序逐项讲，并说明每一项在 Business Premium、Entra ID、Intune 和 Defender 里对应什么。

我们在 2026 年 10 月 27 日查阅了一手资料：NCSC《Requirements for IT Infrastructure v3.3》（2026 年 4 月）、NCSC Cyber Essentials 概览，以及 IASME 的2026 年 4 月更新公告。下文凡是我们自己的解读而不是原文，都会注明。

为什么香港、新加坡、日本的公司也要关心英国的 Cyber Essentials？

因为英国的客户、公共机构和部分保险公司会把它写进供应商要求。你的办公室在哪里并不重要：只要你给英国客户处理数据或提供服务，评估时你的 Microsoft 365 租户就和英国本地公司一样被检查。具体要不要，请以招标文件或合同条款为准。我们没有发现统一的"境外公司豁免"。

目前有效的版本是哪一个？

目前有效的是 Requirements for IT Infrastructure v3.3。NCSC 的资源页面标明它自 2026 年 4 月 27 日起生效，截至 2026 年 10 月 27 日，我们没有找到更新的版本。配套的评估问卷是 IASME 在 2026 年 2 月发布的"Danzell"题库。

新评估： 4 月底之后创建的评估账号按 v3.3 和 Danzell 题库评估。IASME 不同页面的写法略有出入（2025 年 11 月的公告写 4 月 27 日，2026 年 2 月的公告写 4 月 26 日之后创建），可以理解为 4 月底为分界。
旧账号： 根据 IASME，在此日期之前创建评估账号的申请人，最多有六个月时间按旧版本完成。
谁管什么： NCSC 制定技术要求，IASME 是交付伙伴，并授权认证机构（Certification Body）给你的答卷评分。

v3.3 改了什么？MFA"自动不合格"是怎么回事？

NCSC 文件新增了"云服务"的正式定义，在无密码认证中加入 FIDO2，明确写出云服务不能排除在范围之外，并加强了对备份的强调。IASME 的公告则说明了对评估结果的影响，以下几点与 Microsoft 365 租户最相关：

云服务只要提供 MFA，就必须开启。 IASME 的说法是：如果某个云服务提供 MFA，无论免费、已包含还是另外收费，而你没有启用，评估会自动不合格。要求文件里的原话更短：访问云服务的认证必须始终使用 MFA。
两条补丁题是自动不合格题。 A6.4 问的是操作系统以及路由器、防火墙固件的高风险或严重安全更新，是否在发布后 14 天内安装；A6.5 对应用程序（含相关文件和扩展）提同样的问题。
董事声明更宽。 董事或董事会成员现在要确认，公司有责任在整个认证有效期内持续满足所有控制措施，而不只是评估当天。
云服务永远在范围内。 NCSC 文件把 Microsoft 365 列为 SaaS 的例子，不能把它剔除。

对 Microsoft 365 公司来说，范围怎么划？

很多申请栽在范围上，因为有人想把范围缩小。v3.3 的规则相当直接。

云服务在范围内吗？

在。数据或服务托管在云服务上，就必须纳入范围，不能排除。对 Microsoft 365 这类 SaaS，文件明确说你仍然要负责安全配置。文件中"谁来落实哪项控制"的表格显示，对 SaaS 来说，防火墙、安全更新、恶意软件防护通常由云服务商负责，安全配置由双方分担，而用户访问控制（包括 MFA）始终是你自己的事。

员工的个人手机和电脑算不算？

访问公司数据或服务的个人设备在范围内。例外是：只用于原生语音通话、原生短信或运行 MFA 验证 App 的设备不在范围内。所以，只装了验证 App 的个人手机不用管；但登录了公司账号的 Outlook 或 Teams 的个人手机，就在范围内。

在家办公的设备（公司的或自带的）都在范围内；你提供给员工的路由器也在范围内，其他家用路由器则不在，所以设备本身的软件防火墙很重要。文件另有一张表（Table 2），列出不属于你的设备在员工、志愿者、承包商、MSP 管理员等不同角色下是否在范围内，决定之前请先读它。把终端用户设备排除在外的范围是不被接受的。

管理员账号和外包的 IT 服务商呢？

你组织拥有的所有账号都在范围内，即使是供应商或管理服务商（MSP）用来支持你的账号。如果有 MSP 代管你的环境，你必须能确认并在答卷中证明这些控制措施已经落实。

控制措施一：防火墙，和 Microsoft 365 有什么关系？

要求是每台在范围内的设备都有正确配置的防火墙，可以是边界防火墙，也可以是设备上的软件防火墙。对云服务，文件说可以通过数据流策略达到同样目的，SaaS 通常由服务商落实。

对 Microsoft 365 公司，实际要检查的设置是：

Windows 笔记本： 所有网络配置文件的 Microsoft Defender 防火墙都开启。在 Intune 中，在"终结点安全"下建立防火墙策略并分配给全部 Windows 设备。
Mac： 启用 macOS 内置防火墙，通过 Intune 配置文件推送。
办公室路由器或防火墙： 修改默认管理员密码，默认阻止未经认证的入站连接，每条入站规则都有书面的业务理由，管理界面不要在没有 MFA 或 IP 白名单的情况下暴露到互联网。这部分在 Microsoft 365 之外，但同在这份问卷里。

控制措施二：安全配置，哪些租户设置算数？

安全配置要去掉薄弱的默认值：多余账号、默认密码、不必要的软件、自动运行、没有锁屏的设备。文件要求定期删除或停用不必要的账号、更改默认密码、删除不必要的软件、关闭自动运行、访问前必须认证，并设置设备锁定。

对应到 Microsoft 365：

多余账号： 检查 Entra ID 中的离职员工、未使用的来宾账号和测试账号，逐个阻止登录，并为已停用账号回收许可证。
设备解锁： 文件要求设备使用前必须有凭据，并防暴力破解：建议 5 分钟内最多猜 10 次，或失败不超过 10 次就锁定；仅用于解锁的 PIN 或密码至少 6 位。在 Intune 中，由合规性策略以及 Windows Hello 企业版或设备锁定配置文件来设定 Windows 的这些值，iOS 和 Android 则用密码策略。
密码： 文件不建议强制定期更换和复杂度规则。仅靠密码时，要求至少 12 位，或者 8 位并配合常见密码黑名单。Entra ID 密码保护加上按长度要求的策略可以满足。

控制措施三：安全更新管理，Intune 怎么做到 14 天？

要求是：范围内所有软件必须有授权且仍受支持，停止支持后要移除，尽可能启用自动更新，严重或高风险的修复要在 14 天内安装。"高风险"指厂商标为 critical 或 high、CVSS v3 基础分 7 分以上，或厂商没有给出严重程度。文件还提醒：一个更新包里只要有一个严重或高风险修复，整个更新就要在 14 天内装上。

A6.4 和 A6.5 现在是自动不合格题，这一项值得比平时更认真。

Windows： 用 Intune 更新环（Windows Update for Business），把质量更新的截止期设在 14 天以内并留出余量，给关机的设备留出时间。可参考微软关于通过 Intune 使用 Windows Update for Business 的文档。
Windows 版本： Windows 10 在 2025 年 10 月结束支持（未加入扩展安全更新的设备）。不受支持的软件必须移除或移出范围。请逐台核对，不要只听用户说。
Mac、iPhone、Android： 通过 Intune 合规性策略设定最低系统版本，并用条件访问让不合规设备失去访问权限。
应用程序： Danzell 题目把应用及其扩展也算进去，浏览器、PDF 阅读器、Zoom、Java 等都包括。Microsoft 365 应用会自动更新，但第三方应用需要部署和更新渠道，很多租户在这里完全没有覆盖。

如果需要有人持续维护补丁节奏，可以看我们的补丁管理服务，Intune 方面见 Intune 定价页。

控制措施四：用户访问控制，Entra ID 里的 Cyber Essentials MFA 要求是什么？

这一项决定大多数评估结果。文件列出的义务包括：创建和批准账号的流程、唯一凭据、不再需要时删除账号、在可用时使用 MFA（对云服务必须始终使用）、管理活动使用单独账号，以及不再需要时撤销特殊权限。

MFA 应该怎么设置？

对所有用户、所有提供 MFA 的云服务都开启。Entra ID 里有两条路：

安全默认值（Security defaults）： 免费，新租户默认开启，要求所有用户注册 MFA。简单，但不能设置例外或设备条件。见微软安全默认值文档。
条件访问（Business Premium 提供）： 建立策略，要求所有用户访问所有云应用时使用 MFA，并且不留说不清理由的用户或应用排除项。见微软关于对所有用户要求 MFA 的说明。

NCSC 指出短信验证码较弱，但仍远胜于没有 MFA，并认可通行密钥和 FIDO2 密钥。覆盖面比验证方式更重要。

别忘了其他云服务。会计、CRM、文件共享、薪资系统同样存放公司数据，规则一样适用。其中任何一个可以开 MFA 却没开，在自动不合格规则下都有风险。

旧式认证怎么办？

POP、IMAP、SMTP 基本认证这类旧协议无法做 MFA。如果仍然允许，别人只凭一个密码就能绕过你的策略。请用条件访问阻止它们，见微软关于阻止旧式认证的说明。如果扫描仪或老旧业务系统需要 SMTP，应改为现代方式，而不是保留例外。

管理员账号怎么处理？

文件要求管理工作使用单独账号，不收发邮件、不上网。在 Entra ID 里意味着：

管理员使用仅云端账号，没有邮箱，许可证只给角色所需的。
全局管理员数量要少；微软的角色最佳实践建议少于五人。
特权角色按需、限时分配（Privileged Identity Management 需要 Entra ID P2，Business Premium 不含，所以许多小型租户改为每月复核角色清单）。
每个管理员都使用抗钓鱼的 MFA。

控制措施五：恶意软件防护，Defender 够用吗？

范围内每台设备要有反恶意软件，或者应用程序白名单。使用反恶意软件时，文件要求按厂商建议更新、阻止恶意软件运行、阻止恶意代码执行，以及阻止连接恶意网站。

Business Premium 含的 Microsoft Defender for Business 覆盖 Windows、macOS、iOS 和 Android。在 Intune 里要检查：

实时保护和防篡改保护开启，特征库自动更新。
网页保护（SmartScreen 或网络保护）开启，阻止连接恶意网站。
Mac 和受管移动设备已接入 Defender，且没有冲突的第二套杀毒软件。

这项控制同样适用于范围内的手机；文件接受应用白名单（例如只允许官方商店里签名的应用）作为移动设备的做法。

Cyber Essentials 和 Cyber Essentials Plus 有什么区别？

Cyber Essentials 与 Cyber Essentials Plus 对比

方式： Cyber Essentials 是经外部评分的自我评估问卷；Plus 控制措施相同，另加动手的技术审计。
技术测试： Plus 由评估员抽测具有代表性的设备（服务器、台式机、笔记本、平板、手机），并做漏洞扫描，可现场或远程，确认软件受支持且关键补丁已安装。
时间： IASME 说明 Plus 必须在基础证书之后三个月内完成。
不通过： IASME 描述 Plus 有 30 天整改期。2026 年 4 月更新增加了复测时随机抽样设备，第二次失败会撤销 VSA 证书。
谁来做： 两者都由获 IASME 授权的认证机构评估，NCSC 说明 Plus 是增加独立系统测试的路径。

对 Cyber Essentials Plus 与 Microsoft 365，评估员看的是真实设备，策略没有落到每台笔记本就会被发现。预约测试之前先把设备修好。

Microsoft 365 租户里最常见的失分点

以下是我们会优先检查的问题，大致按"最容易让人不通过"的顺序，都直接来自 v3.3 原文。

MFA 排除项。 条件访问策略里一长串被排除的用户、群组或应用，常见于服务账号、仍可登录的共享邮箱，以及没人撤销的"临时"例外。
旧式认证没有关。 为打印机或旧程序保留 POP、IMAP 或 SMTP 基本认证。
不受支持的操作系统。 没有扩展支持的 Windows 10、无法升级到当前 macOS 的旧 Mac，或被遗忘的服务器。
不受管的个人设备。 员工用没有任何策略的个人手机和电脑收公司邮件，没有最低系统版本，也没有锁屏。它们在范围内。
管理员账号日常使用。 老板的日常邮箱账号同时是全局管理员。
有更新但没有期限。 更新是开着的，但没有更新环截止期，关机的笔记本落后几个月，第三方应用完全不更新。
微软之外的云应用。 Microsoft 365 开了 MFA，会计或 CRM 应用没开。

谁来颁发证书？Brocent 的位置在哪里？

证书由 IASME 认证机构颁发；我们负责准备你的租户和你的答案。认证机构由你选择，评估开始前和他们确认范围，由他们给问卷评分；做 Cyber Essentials Plus 时，技术审计也由他们进行。

Brocent 是总部在香港的管理型IT外包服务商，服务亚太、英国与欧洲、中东。我们提供 Microsoft 365 CIS Benchmark 审计，涵盖 Cyber Essentials 问卷会问到的 Microsoft 365 控制项，包括 MFA 覆盖率、管理员账号、设备合规和邮件安全。它的设计用途是作为证据，并支持你填写的答案。它不会让你获得认证，也不能代替评估。Cyber Essentials 还涵盖审计不到的内容，例如办公室路由器、防火墙规则以及 Microsoft 365 之外的服务器。

实际交付：

以只读方式对照 CIS Microsoft 365 Benchmark Level 1 和 Level 2 审计，包括人工检查的控制项。
带工作量估算的优先级路线图、一次复盘通话，以及针对 Cyber Essentials 和保险问卷的证据。
授予只读访问后 5 至 7 个工作日出具报告。

公开价格，一次性，按用户数计算（美元，不含税）：

1 至 10 名用户：US$450
11 至 25 名用户：US$990
26 至 75 名用户：US$1,800
76 至 150 名用户：US$2,900
超过 150 名用户：报价

修复审计发现的问题不含在审计费用内；你自己的 IT 团队可以按路线图处理，我们也可以为整改单独报价。详情见审计定价页。公开的示例报告（英文页面）使用虚构的 14 人英国公司 Acme Capital，其中包含 Cyber Essentials 就绪度部分；另有 Intune 设备审计示例。想讨论你的情况，请联系我们。