网络保险 MFA 要求：Microsoft 365 怎样如实回答

一句话结论： 网络保险问卷问“是否全面启用 MFA”，通常是指每一个用户、每一个管理员、每一个远程入口和每一个邮箱都要有多因素认证，例外要写明而不是藏起来。在 Microsoft 365 里，证明方式是一份带日期的注册方法报告，加上强制执行它的条件访问策略导出。本文只讲 MFA 这一题：覆盖哪些账户、哪些方式算数、例外怎样写、附什么证据。

大多数网络保险 MFA 要求出现在续保表格上只有一两行：“是否对所有用户强制执行多因素认证，包括远程访问和电子邮件？”以及越来越常见的“是否对所有特权账户强制执行 MFA？”问题很短，但要诚实地回答“是”，背后的工作并不少。一个事后被发现其实是“大部分是”的“是”，正是理赔时会被反复追问的那种。

本文只停留在这一题上。整份问卷怎样答，见我们的保险公司要看的 Microsoft 365 证据指南；香港企业续保时的实际经历，见香港续保视角。这里我们把 MFA 这一行拆开：所谓“全面”是指什么、哪些验证方式算数、例外怎样声明才不会被当作“否”、以及可以从 Microsoft 365 租户导出哪些设计用作证据的材料。

我们主要面向英国和澳大利亚的企业来写，因为向我们咨询这个问题的人大多在那里；不过租户设置在哪里都是一样的。

网络保险问卷里的“全面启用 MFA”是什么意思？

保险公司很少定义这个词，所以最稳妥的理解是最宽的那种。实际上问卷问的是六组登录场景，一个完整的回答要覆盖全部六组：

所有用户。 每一个可以登录 Microsoft 365 的持牌账户，不只是办公室员工。兼职、有账户的外包人员、“只用 Teams”的财务助理都算。
所有管理员。 在 Entra ID 中持有特权角色的每一个账户：全局管理员、Exchange 管理员、SharePoint 管理员、用户管理员、安全管理员等等。表格上这常是单独一行。
远程访问。 任何能从外部进入公司系统的入口：VPN、远程桌面网关、发布的应用。对云优先的公司来说这主要就是 Microsoft 365 本身，但如果 VPN 设备还在，它也在范围内。
电子邮件和网页邮箱。 网页版 Outlook、手机邮件，以及任何能读取邮箱的协议。单独点名它的原因是，IMAP、POP、SMTP AUTH 这类旧协议除非被阻止，否则可以完全绕过 MFA。
特权账户和服务账户。 启用了登录的共享邮箱、“扫描仪”账户、集成账户、旧的本地同步账户。保险公司知道 MFA 往往在这些地方悄悄失效。
第三方应用。 使用 Microsoft 365 身份（单点登录）的云应用会继承你的 MFA 策略；有独立登录的应用则不会，有些表格也会问到这些。

六组都能答“是”，你就是全面启用了 MFA。四组答“是”、两组答“否，原因是……”，你仍然可以诚实地描述，这就是下文例外部分要讲的。

在 Microsoft 365 租户里，MFA 实际覆盖哪些账户？

诚实的答案取决于 MFA 是怎样打开的，因为两种受支持的机制行为不同。操作步骤见我们的在 Microsoft 365 中启用 MFA 的分步指南；这里说的是每种机制对问卷意味着什么。

安全默认值是一个租户范围的总开关。打开后，每个用户都必须注册 MFA，管理员始终被要求验证，旧式身份验证被阻止，Azure 管理门户要求 MFA。没有任何排除项。对问卷来说这很方便：答案是“是，租户策略对所有用户强制执行”，证据是该设置的截图加注册报告。

条件访问是 Microsoft Entra ID P1 提供的策略引擎，Microsoft 365 商业高级版已包含。它可以对所有人、对管理员、对特定应用或对高风险登录要求 MFA，也可以排除某些组。灵活正是它的价值，也正是问题所在：每一个排除项都是一个可能不经 MFA 就登录的账户，而问卷实际上就是在问这些。一套建好的基线，比如我们的条件访问基线指南里的六条策略，会包含“所有用户要求 MFA”、“管理员要求 MFA”和“阻止旧式身份验证”，每条只排除一个很小的、有名字的紧急访问组。

问卷真正要探的，是“我们打开了 MFA”和“每一个能登录的账户都确实被要求验证”之间的差距。这个差距通常在四个地方：

从未被要求注册的账户。 用户在策略范围内，但如果自策略生效后从未登录，就可能没有注册任何方法。注册报告会显示他们。
越长越大的排除组。 两年间陆续加入了一位董事、一位顾问和“IT 那位”的紧急访问排除组。
旧式身份验证仍被允许。 IMAP、POP、SMTP AUTH 和旧版 Office 客户端除非被策略阻止，否则只用密码就能认证。这是“是”其实是“否”的最常见原因。
启用了登录的共享邮箱和服务账户。 共享邮箱应当禁止登录；如果没有禁止，它就是一个有密码、通常没有 MFA 的用户账户。

保险公司会问哪些 MFA 方式？什么算抗钓鱼？

过去两年，问题已经从“你们有没有 MFA”变成“是哪一种”。有些表格会直接问管理员是否使用抗钓鱼 MFA，有些会问是否还在用短信。Microsoft 365 支持多种方式，它们并不等价。

短信和语音电话 vs 验证器应用 vs 抗钓鱼方式

短信和语音电话。 验证码发到手机号。人人能用、无需应用，也是最弱的选项：SIM 卡劫持和实时转发验证码的钓鱼页面都能破解它。许多问卷现在会问这是否是唯一在用的方式，理想的答案是“不是，而且管理员已禁用”。
验证器应用推送加数字匹配。 用户批准提示并输入屏幕上显示的数字。微软已对推送通知强制要求数字匹配，堵住了“误点批准”的问题。能抵御提示轰炸，但仍可能被代理整个登录过程的高仿钓鱼页骗过。这是普通用户的合理默认。
抗钓鱼方式：通行密钥（FIDO2）、Windows Hello 企业版和基于证书的身份验证。 凭据与真实登录页绑定，代理页无法重放。这就是表格上“抗钓鱼 MFA”的含义，也是越来越多问卷至少对全局管理员的期望。条件访问提供“身份验证强度”控制，可以对指定组强制要求它。
临时访问通行证及其他恢复方式。 适合入职和恢复，不能用来回答“你们的用户用什么 MFA”。

对中小型租户，一个站得住脚的状态是：所有用户使用带数字匹配的验证器应用；通过身份验证强度策略对特权角色要求抗钓鱼方式；短信和语音禁用，或仅限于一个有记录的后备组。如果你还没到这一步，就写明现在在哪里、计划何时改。保险公司可以为一个计划承保，但无法为一句日后被证明不实的陈述承保。

MFA 例外应该怎样写，才不会被当作“否”？

几乎每个真实租户都有例外，问卷通常会给一个自由填写框。错误做法是把框留空然后勾“是”。更好的模式是勾“是，附以下已记录的例外”，然后逐条列出三项信息：是什么、为什么不适用 MFA、有什么补偿控制覆盖它。

紧急访问（break-glass）账户。 两个纯云账户，从 MFA 策略中排除，以便 MFA 或条件访问出问题时能恢复租户。补偿控制：离线保存的超长密码、登录告警、不用于日常。这是标准且被广泛理解的例外，应当写明。
共享邮箱。 如果登录已禁用（这才是正确配置），它根本不是例外。直接写：“共享邮箱已禁用交互式登录，只能通过持牌且受 MFA 保护的用户账户访问”。
服务账户和集成账户。 通过邮件发送扫描件的多功能打印机、读取邮箱的本地应用。诚实的写法是协议加控制：“一个服务账户从固定内网 IP 使用 SMTP AUTH，条件访问已将其限制在该位置；已排期迁移到 OAuth”。微软已宣布将停用 SMTP AUTH 的基本身份验证，所以这个例外有自然的终止日期，表格里可以写上。
旧设备。 跑不了验证器应用的仓库电脑。要么换成设备绑定的方式（Windows Hello 企业版），要么记录设备、用户、它能访问的数据和更换日期。
来宾。 被邀请进 Teams 或 SharePoint 的外部用户。写明你的条件访问策略是否对来宾要求 MFA（应当要求），以及是否信任其所属租户的 MFA。

这样写出来的例外读起来是治理，而不是漏洞。看到“是”加一个空框的核保人只能猜；看到五条有名有控制有日期的例外，他可以给风险定价。

保险公司要什么证据？Microsoft 365 能导出什么？

表格本身是一份声明，证据在它背后；续保时、理赔时、或经纪人想把风险放到更好的市场时，都可能要求提供。下面每一项都可以从租户直接产出，不用额外购买，而且导出时租户会自动带上日期。

身份验证方法注册报告。 Entra ID 会报告哪些用户注册了哪些方法、谁具备 MFA 能力。导出为 CSV。这是 MFA 这一题最有用的一份文件，因为它按账户显示覆盖情况，而不只是策略意图。
条件访问策略导出。 每条策略的用户、排除项、云应用、条件和授予控制。排除项列表就是证明例外部分完整的依据。
旧式身份验证登录报告。 登录日志按旧式客户端应用筛选最近 30 天。空的才是你要的答案；不空则告诉你哪些设备还要处理，之后才能说“已阻止”。
特权角色成员。 每个管理员角色里的账户清单，以及各自使用的验证方式。对应“特权账户 MFA”那一行。
安全默认值或身份验证强度的截图。 设置页面，租户名称和日期可见。
一份简短的例外登记表。 上一节的五条，加上负责人和复核日期。

我们自己的 Microsoft 365 保安审计产出的正是这一套，并且写成非技术负责人也能读的形式；示例审计报告（英文页）展示了 MFA 发现项如何呈现：没有注册方法的账户数量、其中的管理员、仍然开放的旧协议、策略排除项，每一项都附修复和回退步骤。报告及其证据工作簿设计用作保险问卷的证据。它们不决定核保结果，我们也不会那样说。

诚实的“是”常见在哪些地方出错？

把 MFA 声明与租户实际核对时，下面这些是我们最常见到的发现。没有一项是罕见的。

按用户“启用”但未“强制”的 MFA。 旧的按用户 MFA 设置有“已启用”和“已强制”两种状态；“已启用”在用户完成注册前仍允许仅密码登录。如果多年前是这样设置的，部分账户可能仍停在这个状态。
一直停在仅报告模式的条件访问策略。 仅报告模式是测试策略的正确方法，但它什么都不强制。从创建那天起就一直停在仅报告模式的策略，对问卷而言等于不存在。
没人复核的排除组。 当初为两个紧急账户建的组，现在有九个成员。
旧式身份验证未阻止。 安全默认值会阻止它；条件访问只有在有策略明确阻止时才会阻止。没有那条策略，用密码走 IMAP 照样可以。
没有策略引擎的 Microsoft 365 商业基础版租户。 没有 Entra ID P1，选择只有安全默认值或什么都没有。由经销商开通后从未再看过的租户里，“什么都没有”出奇地常见。
管理员使用日常账户。 同一个账户读邮件、开附件，同时持有全局管理员角色。MFA 可能是开着的，但一次钓鱼的波及范围是整个租户。有些表格现在会直接问这一点。

这些都是设置，不是项目。难的是知道哪几条适用于你的租户，所以第一步是读一遍，而不是重建。

MFA 这一题与 Cyber Essentials 等认证方案有什么关系？

对英国读者来说有直接的重叠。Cyber Essentials 3.3 版把云服务上的 MFA 当作要求而非建议，云服务提供 MFA 却未开启会被判定为自动不通过；我们的Cyber Essentials 逐项设置指南讲了 Microsoft 365 这一侧。实际意义是，上面那套证据同时回答了保险公司和方案评估员，值得做一次并保持更新。

对澳大利亚读者来说，问卷往往参照 Essential Eight 成熟度模型，MFA 是八项策略之一，成熟度等级区分“远程用户 MFA”和“所有人使用抗钓鱼 MFA”。能让挑剔的保险公司满意的 Microsoft 365 配置，和达到较高成熟度等级的配置，是同一套配置。我们不针对任何方案做认证或评估；我们读取租户，告诉你它会呈现出什么。

如果你需要一家能产出证据包、并在你的工作时间里讲解的服务商，英国（英文页）和澳大利亚（英文页）页面说明了我们如何远程交付，审计页面也有针对英澳买家的说明。

常见问题

“所有用户的 MFA”包括来宾和外部用户吗？

如果表格写的是“所有用户”，通常包括。在 Entra ID 中，来宾是条件访问里可选的范围，你可以对他们要求 MFA；如果通过跨租户访问设置信任对方组织的 MFA，也可以接受对方的验证而不是再问一次。无论选哪种，都写进例外框。

基于短信的 MFA 保险公司还接受吗？

有的对普通用户接受、对管理员反对；有的会要求你说明是否还在用短信。我们无法告诉你某家保险公司会怎样处理，诚实的人都不能。我们能说的是，对特权角色禁用短信和语音、改为抗钓鱼方式，是一个很小的改动，却能让这个问题消失。

用 Microsoft 365 的说法，什么是抗钓鱼 MFA？

通行密钥（FIDO2 安全密钥或验证器应用中的设备绑定通行密钥）、Windows Hello 企业版和基于证书的身份验证。条件访问可以通过身份验证强度策略要求其中一种，通常先应用于管理员角色。

Microsoft 365 保安审计能证明我们全面启用了 MFA 吗？

它逐个账户地显示租户在读取日期的实际配置，包括排除项和仍然开放的旧协议。报告设计用作证据。它不是认证，核保人是否满意由他们决定，不由我们决定。

我们用的是 Microsoft 365 商业基础版，还能答“是”吗？

可以，打开安全默认值即可：它对所有用户强制 MFA 注册并阻止旧式身份验证，不需要订阅之外的许可。代价是无法排除任何对象，对小租户来说这往往反而是优点。如果需要排除项或对管理员强制抗钓鱼方式，就需要 Entra ID P1，商业高级版已包含。

Cyber Essentials 怎样看待 Microsoft 365 上的 MFA？

方案 3.3 版要求云服务凡提供 MFA 就必须启用，可用但未启用的 MFA 在该控制项上被视为自动不通过。审计不授予也不保证认证；它在评估员发现之前告诉你租户会在哪里不达标。

把证据凑齐要多久？

如果 MFA 已经通过条件访问强制执行，一个下午就够：导出注册报告、策略、旧式登录报告和角色成员，再写一份例外登记表。如果还没有，这些导出会告诉你先修什么；我们的审计在授予只读权限后 5 至 7 个工作日内以优先级清单的形式返回同样的发现，1 至 10 用户的租户起价 450 美元。

下一步

如果续保表格已经在你桌上，先从注册报告和条件访问导出开始，它们本身就能回答 MFA 这一行的大部分内容。如果你希望有人通读整个租户并替你写好证据包，Microsoft 365 保安审计按人数固定收费，远程交付，5 至 7 个工作日出报告。如果发现是 MFA 从来没有正确推开，我们的 MFA 解决方案团队做这件事，会计师事务所的推广案例展示了一家承受不起被锁定的公司如何分阶段推进。或者带着表格联系顾问。