Cyber Essentials Plus 与 Microsoft 365：技术验证到底测什么、怎样准备

一句话结论： Cyber Essentials Plus 在 Cyber Essentials 自评之上加了一次实地或远程的技术审计。对一个 Microsoft 365 加 Intune 的环境，评估员会扫描你的公网 IP、随机抽取一部分设备和服务器，检查上面每个软件是否仍受厂商支持、高危和严重补丁是否在 14 天内装好、恶意软件防护是否真的在工作，并现场观察用户登录云服务时是否弹出多因素认证。按 v3.3 要求（"Danzell" 问卷，2026 年 4 月 27 日起），云服务在可用的情况下没有启用 MFA 会被直接判定不通过。准备工作的重点是证据：能覆盖整个环境的报表，而不只是评估员碰巧抽到的那几台设备。

如果你的组织已经拿到 Cyber Essentials，再往前一步做 Cyber Essentials Plus（Microsoft 365 环境），看起来只是小事：还是那五项技术控制。真正变化的是由谁来检查。基础证书依靠的是由高层签字确认的问卷答案；Plus 则让评估员直接面对你的真实设备和真实的登录提示，而那些从来没有写进文档的缺口，往往就在这里暴露。

本文只讲 Microsoft 365 / Intune 环境下的技术验证：测什么、2026 年 4 月的变化意味着什么、哪些 Microsoft 365 报表可以作为证据、以及最常见的失分点。五项控制本身以及它们在 Microsoft 365 中的对应关系，请先阅读我们的 Cyber Essentials 与 Microsoft 365 控制项指南；本文接着它的"Cyber Essentials 与 Plus 的区别"一节往下讲。

先把一点说清楚：Brocent 不是 Cyber Essentials 认证机构，不颁发也不评审证书。在英国，认证由 NCSC 的方案交付合作方 IASME 及其授权的认证机构和评估员负责。我们做的是在评估员到来之前，帮助你准备和整理证据。

Cyber Essentials Plus 是什么？与 Cyber Essentials 有何不同？

Cyber Essentials 是英国政府支持、由国家网络安全中心（NCSC）主管的认证方案，规定了五项技术控制：防火墙、安全配置、安全更新管理、用户访问控制和恶意软件防护。基础证书是一种经审核的自我评估：回答问卷、由高层签字、评估员审核答案。

Cyber Essentials Plus 沿用相同的要求，但增加一次技术审计。按 IASME 的说法，审计可以现场或远程进行，包括对申报范围内基础设施的漏洞扫描，以及对抽样设备的实际检查。IASME 的两条规定直接影响时间安排：

• 先后顺序： Plus 审计必须在最近一次 Cyber Essentials 认证后的三个月内完成（两者也可以同时进行）。
• 同一范围： 评估员抽样的范围就是你在自评中申报的范围。纸面上划得宽的范围，就是评估员要从中抽样的范围。

目前新评估适用的要求文件是 NCSC 发布的 Cyber Essentials: Requirements for IT Infrastructure v3.3，配套的 IASME 问卷名为 "Danzell"。IASME 说明它适用于 2026 年 4 月 27 日起创建的评估账户；更早按 v3.2（"Willow"）创建的账户继续沿用旧版本。方案大约每年更新一次，开始准备当天请再到 NCSC 的 Cyber Essentials 资料页确认最新版本。

Cyber Essentials Plus 评估员实际测试哪些内容？

根据 IASME 的指引和 NCSC 的测试规范，技术验证大致分为五项检查。下面的表述是我们的归纳；评估员依据的是现行测试规范，审计前应完整阅读那份文件。

检查一：外部漏洞扫描

评估员使用 IASME 认可的扫描厂商工具，扫描你的每一个公网 IP。在以云为主的 Microsoft 365 环境里，这份清单通常很短：办公室路由器或防火墙、VPN 网关、以及任何自行架设的系统。出问题的往往是被遗忘的东西：防火墙上开着的远程管理界面、为某个供应商转发的旧远程桌面端口、几年前发布到互联网上的 NAS。

检查二：随机抽样设备和服务器

评估员会抽取有代表性的终端设备样本（IASME 称通常约为 10%），以及所有互联网网关和所有向未认证互联网用户提供服务的服务器。对每台抽到的设备，通过带凭据的漏洞扫描或人工检查确认：

• 所有已安装软件都仍受厂商支持。 一个过期的浏览器扩展、一个旧版 PDF 阅读器、一个没人记得装过的运行库，都算。
• 高危和严重安全更新在发布后 14 天内已安装，这是 Cyber Essentials 安全更新管理的要求。

检查三：恶意软件防护

测试规范包含对抽样设备恶意软件防护是否真正生效的检查，例如 Microsoft Defender 防病毒是否在运行、是否为最新，以及能否处理通过邮件和网页投递的测试文件。

检查四：云服务 MFA

这是 Microsoft 365 环境里最关键的一项。评估员会在不受信任的设备或浏览器隐私窗口中，观察用户用组织账户登录每一个云服务，确认会出现多因素认证。已发布的 Cyber Essentials Plus 测试规范（v3.2）写明：每个云服务至少抽一个普通用户和一个管理员；共用同一身份提供方的服务，只需对该身份提供方测试一次。截至本文撰写时，我们没有找到专门针对 v3.3 的测试规范，评估前请确认是否已有新版。如果你所有的 SaaS 应用都通过 Microsoft Entra ID 登录，就是一次测试，结果覆盖全部应用。

检查五：账户分离与管理权限

评估员会检查用户日常工作时没有使用管理员权限，管理员账户只用于管理，而不是收发邮件和上网。在 Windows 终端上，这意味着查看抽样设备的本地管理员组；在 Microsoft 365 里，则是查看谁持有全局管理员和其他特权角色。

2026 年 4 月（v3.3，"Danzell"）对 Plus 有哪些变化？

对准备 Plus 的 Microsoft 365 组织来说，2026 年 4 月的更新有三点最重要，均见于 IASME 的公告和 NCSC 的 v3.3 要求。

• 云服务缺少 MFA 直接不通过。 IASME 明确，只要云服务提供 MFA（无论是随订阅附带还是需要另购），就必须启用；没有启用的组织将被直接判定不通过。"大部分员工已经有 MFA"不再是可以接受的部分答案。
• 云服务不能排除在范围之外。 v3.3 增加了云服务的定义，并将其纳入范围。Microsoft 365、财务系统、人事系统、CRM 都在内。
• 抽样不通过会触发更大范围的复测。 首次随机抽样不通过时，需要整改，评估员会复测原有样本，同时再抽一批新的随机样本。IASME 解释了原因：有些组织只给被抽中的设备打了补丁。IASME 的认证机构附则还写明：使用 Danzell 问卷的 Plus 评估若因软件未打补丁而不通过，与之关联的 Cyber Essentials 证书将被撤销。

第三点把准备工作变成了覆盖整个环境的工作。过去，修好评估员在十台笔记本上发现的问题可能就够了；现在修复必须在整个范围内真实生效，因为下一批抽到的会是另外十台。

这些测试在 Microsoft 365 和 Intune 里对应什么？

每一项测试在 Microsoft 365 管理工具里都有对应的位置。这也是我们准备证据时查看的地方，评估员的发现通常也能追溯到这里。

• 云服务 MFA → Microsoft Entra ID。 要求所有用户、所有云应用使用 MFA 的条件访问策略（规模很小的租户可用安全默认值）；显示谁真正注册了认证方式的注册报告；以及显示 MFA 已满足的登录日志。注意仍被允许的旧式认证、没有书面例外说明的紧急访问账户，以及不经 Entra、用自身账号密码登录的第三方 SaaS。
• 14 天内打补丁 → Intune 与 Windows Update for Business。 更新通道和功能/质量更新策略，以及显示哪些设备落后的 Windows 更新报表。第三方应用是常见缺口：Windows 更新按时，同一台电脑上的浏览器、Java 运行库或 PDF 阅读器却落后几个月。
• 受支持的软件 → Intune 已发现应用。 已发现应用清单是在评估员扫描之前找出过期软件最快的办法。
• 恶意软件防护 → Microsoft Defender。 Intune 终端安全中的防病毒策略，以及显示每台已注册设备实时保护开启、特征库最新的设备健康报表。
• 账户分离 → Entra 角色与 Intune 本地管理员策略。 列出每个特权角色及其负责人、管理员使用独立的管理账户，以及控制 Windows 设备本地管理员组的 Intune 策略。
• 安全配置 → Intune 合规与配置策略。 设备合规策略（加密、防火墙、最低系统版本）以及显示哪些设备达标的合规报表。

我们的 Intune 设备审计 一文对这些 Intune 报表有更详细的说明，Intune 审计示例报告（英文）则展示了它们最终呈现的格式。

Plus 审计前应准备哪些证据？

评估员只测样本，但 2026 年 4 月的复测规则意味着你需要掌握整个环境的状态。一份有用的证据文件夹，可以在审计前两周准备，包含：

1. 范围说明，与自评一致：哪些办公室、哪些设备、哪些云服务，以及任何排除项的理由（云服务不能排除）。
2. 设备清单，从 Intune 导出，含系统版本、最后签到时间和合规状态，并与资产清单核对，让不在 Intune 里的设备也可见。
3. MFA 覆盖导出： 条件访问策略、注册报告，以及每个被排除在 MFA 之外的账户及其理由。
4. 补丁状态，涵盖操作系统和第三方应用，列出所有超出 14 天窗口的项目及处理计划。
5. 特权访问清单： Microsoft 365 和终端上每个具有管理角色的账户，以及每位管理员日常使用的独立账户。
6. 恶意软件防护状态，来自 Defender，覆盖范围内每台设备。
7. 外部暴露面： 公网 IP 清单，以及每个 IP 暴露了什么。

这些都不是 Plus 证书。它们的作用是让你在评估员之前就知道样本能否通过。

Plus 准备的三种做法

我们接触到的英国组织，大致有三种准备方式。三种都合理，区别在于把多少风险留到审计当天。

• 直接约评估员： 准备工作最少，审计本身就成了发现问题的过程。在复测规则下，样本不通过意味着要在整个环境内整改，再接受第二次抽样，时间紧迫，证书也受影响。
• 内部预检： 由自己的 IT 团队跑上面的报表。当团队对 Entra、Intune 和补丁全程负责时效果很好；常见弱点是第三方应用补丁，以及不经 Entra 登录的云应用。
• 独立的 Microsoft 365 预评估： 由日常团队以外的人对照 v3.3 控制项审查租户和设备，交回带日期的证据和整改清单。这需要预先投入，也不能替代评估员或给出任何认证；它的价值在于趁还有时间时，在整个环境里补上缺口。

Brocent 能做什么、不能做什么

我们的 Microsoft 365 安全审计 是对租户和 Intune 管理设备的一次性固定价格审查，按人数定价：10 人以内 450 美元起，固定价格档位最高覆盖 150 人，报告在 5–7 个工作日内交付。报告包含 Microsoft 365 视角的 Cyber Essentials v3.3 就绪度表（云服务 MFA、管理员账户、旧式认证和安全配置），每一行都指向一份带日期的导出文件。

需要说清楚的是：这是准备阶段的证据，设计用于在 Cyber Essentials 评估中作为证据使用。它不是 Cyber Essentials Plus 审计，不证明任何认证结果，认证机构和评估员会在审计当天自行判断。它也只覆盖 Microsoft 365 和 Intune 视角；办公室互联网出口的外部漏洞扫描，以及不在 Intune 管理下的设备，需要另行检查。

对于英国客户，合同由 Brocent 香港公司或新加坡总部签订，英国境内的现场工作由我们协调的、经审核的本地工程师完成；具体交付内容见我们的 英国 IT 支持页面（英文）。如果你不确定预评估对你的环境是否值得，可以先 咨询顾问 再决定。

Microsoft 365 环境在 Plus 抽样中常见的失分点

从控制项本身看，评估员抽样 Microsoft 365 / Intune 环境时最可能发现的缺口是：

• 不经 Entra 的云服务。 某个 SaaS 工具仍用自己的账号密码登录，MFA 可用但没开。按 v3.3，仅此一项就直接不通过。
• 越来越大的 MFA 例外。 当初为迁移设立的条件访问排除组，至今还留着十几个用户。
• 第三方应用过期。 Windows 打了补丁，但抽到的笔记本上浏览器或运行库没有。
• 从未注册的设备。 董事用来收公司邮件的个人笔记本，或注册过一次、几个月没有签到的设备。
• 日常使用的管理员账户。 管理员用全局管理员账户收邮件、上网。
• 被遗忘的暴露面。 办公室防火墙上的端口转发或管理界面，出现在外部扫描结果里。

MFA 例外的问题，我们在 网络保险 MFA 要求 一文中有更深入的讨论；保险公司和 Cyber Essentials 问的是同一个问题，只是措辞不同。

常见问题

Microsoft 365 要通过 Cyber Essentials Plus，是否需要每个用户都启用 MFA？

按 v3.3，IASME 明确所有提供 MFA 的云服务都必须启用，否则直接不通过。评估员的测试对每个云服务（或共用登录的身份提供方）至少抽一个普通用户和一个管理员。实际上这意味着每个用户都要启用，因为你无法预知会抽到哪些账户，而申报覆盖的是全部账户。

Cyber Essentials Plus 是否要求使用 Intune？

不要求。Cyber Essentials 不指定任何产品。Intune 只是 Microsoft 365 组织通常获取设备安全配置、补丁、恶意软件防护和管理权限证据的地方。不受 Intune 管理的设备仍在范围内，需要用其他方式落实同样的控制。

Plus 测试中的"14 天内打补丁"是什么意思？

Cyber Essentials 要求高危和严重安全更新在发布后 14 天内安装。评估员会按这条规则检查每台抽样设备上的已安装软件，并确认所有软件仍受厂商支持。它适用于操作系统，也适用于应用程序、浏览器扩展和固件。

Microsoft 365 安全审计能代替 Cyber Essentials Plus 吗？

不能。只有授权认证机构在其评估员完成技术审计后，才能授予 Cyber Essentials Plus。我们这样的 Microsoft 365 安全审计属于准备阶段的证据，设计用于在评估中作为证据使用，并提前让你看到缺口。

设备抽样不通过会怎样？

按 2026 年 4 月的规则，你需要整改，评估员会复测原样本，并再抽一批新的随机设备。IASME 的认证机构附则写明，使用 Danzell 问卷的 Plus 评估若因软件未打补丁而不通过，与之关联的 Cyber Essentials 证书将被撤销，因此修复必须覆盖整个范围，而不只是被抽中的设备。

应该提前多久开始准备？

取决于缺口有多少。如果只发现少量 MFA 例外和一些过期应用，几天就能处理完；如果发现有设备不在 Intune 里，或某个云服务不支持 MFA，可能需要更长的变更周期。在 Plus 窗口前几周开始准备，并记住它必须在 Cyber Essentials 认证后三个月内完成，就能给两种情况都留出余地。

Brocent 能在英国提供现场支持吗？

可以，范围以我们的英国 IT 支持页面为准：英国客户与 Brocent 香港公司或新加坡总部签约，现场工作由我们协调的、经审核的本地工程师完成。Microsoft 365 安全审计本身以远程方式进行。

资料来源

本文涉及的要求和方案规则，取自 NCSC《Cyber Essentials: Requirements for IT Infrastructure v3.3》、NCSC Cyber Essentials Plus 测试规范（v3.2），以及 IASME 关于 2026 年 4 月变化和 Cyber Essentials 与 Plus 区别的公开说明，以 2026 年 10 月 31 日可查阅的版本为准。方案文件会更新，请以 ncsc.gov.uk 和 iasme.co.uk 上的现行版本为准。