网络保险问卷：Microsoft 365 证据清单

一句话结论： 网络保险问卷里关于 Microsoft 365 的问题大多是“是/否”，但一个站得住脚的“是”，背后要有带日期的导出文件。本文逐项说明常见问题查的是什么、答案在 Microsoft 365 的哪个位置，以及哪些常见缺口会让“是”变成诚实的“否”。

网络保险问卷看上去只是一张表格，实际上是在要求你证明：几项关键控制在整个租户里都已启用，而不只是填表人自己的账号上启用。如果公司使用 Microsoft 365，几乎每个答案都能在几个管理门户里核对。问题在于，门户显示的是“今天的配置”，而签字的投保申请涵盖的是整个保险期间。带日期的证据，正是用来填补这个差距的。

本文写给中小企业的 IT 负责人，以及拿到续保表格的财务或运营负责人。先说明一点：每家保险公司和经纪人都有自己的表格，接受什么证据由他们自己决定。本文不能告诉你保险公司会接受什么，只能帮你在签字之前先把自己的情况理清楚。

网络保险问卷到底在问什么？

核保人想知道出险的可能性有多大、损失会有多严重。Coalition 这家网络保险公司公开列出的核心要求包括多因素认证（MFA）、员工培训、备份、身份与访问管理和数据分类，同时提到 EDR 或杀毒软件以及事件响应计划（2026 年 10 月 27 日查阅）。英国国家网络安全中心（NCSC）的网络保险指南（2020 年 8 月 6 日发布，2026 年 10 月 27 日查阅）建议投保方保留准确的安全文档，以便每年重新评估保单；并建议把备份与网络隔离，或放在专为此设计的云服务中。

要避免的错误，是凭记忆或凭当初的设计来作答。问题不是“我们本来打算启用 MFA 吗”，而是“今天，所有能访问邮箱、远程接入和管理员角色的账号是否都强制了 MFA，我们能拿出证据吗”。

保险公司常问哪些 Microsoft 365 问题？

下面的问题，反映了公开的保险指南和常见投保表格中反复出现的主题。各家措辞不同，请以你手上的表格为准。每个问题我们都说明四件事：它查什么、答案在哪里、什么证据有帮助、常见缺口是什么。

邮箱和远程访问是否强制了 MFA？

它真正在查什么： 只靠一个被盗的密码，能否读取邮件或进入你的系统。保险公司关心的是覆盖范围，而不是“某处有 MFA”。
在 Microsoft 365 的哪里： Microsoft Entra 管理中心，Entra ID、条件访问、策略。再看 Entra ID、身份验证方法、活动，其中“注册”选项卡和用户注册详细信息报告会显示哪些用户具备 MFA 能力（微软文档，2026 年 6 月更新，2026 年 10 月 27 日查阅）。
什么证据有帮助： 一份带日期的条件访问策略清单，写明每条策略的状态（开启、仅报告或关闭）、适用的用户和应用范围，以及排除项；再加一份带日期的用户注册详细信息导出，筛出不具备 MFA 能力的用户。
常见缺口： 策略要求 MFA，但仍处于“仅报告”模式。微软文档明确说明，仅报告模式的策略只做评估，不会强制执行（2026 年 6 月更新，2026 年 10 月 27 日查阅），用户既不会被要求验证，也不会被拦截。另一个常见缺口是“所有用户”策略的排除组越来越大，悄悄把高管、共享邮箱或“临时”账号都包了进去。

“具备 MFA 能力”不等于“被要求使用 MFA”。用户可以已经注册了 MFA，但如果没有任何强制策略覆盖他，登录时照样不会被询问。请把策略清单和注册报告放在一起看。

管理员和特权账号有没有单独保护？

它真正在查什么： 能改动一切的账号是不是最难被接管的，数量是不是太多。
在 Microsoft 365 的哪里： Entra ID、角色和管理员，查看角色持有人；条件访问中针对目录角色的策略；若许可证包含，则用 Privileged Identity Management 查看“符合条件”与“永久”分配。
什么证据有帮助： 一份带日期的角色分配导出（谁拥有全局管理员及其他特权角色）、全局管理员的数量，以及每位管理员使用的 MFA 方法。更有力的证据是管理员使用独立的、不带邮箱的管理账号，并采用通行密钥等抗钓鱼方法。
常见缺口： 应急（break-glass）账号。微软建议设置两个或以上应急访问账号（2026 年 6 月更新，2026 年 10 月 27 日查阅），从会阻止或限制登录的条件访问策略中排除，使用通行密钥或证书保护，并对其登录设置告警。有些租户一个都没有，或者只有一个靠密码、没有 MFA、使用时也没有告警的账号。“所有管理员是否强制了 MFA”的诚实答案，应该是“是，但以下账号除外，其控制方式如下”。请把例外写清楚。

微软自己的强制 MFA 规则（2026 年 10 月更新，2026 年 10 月 27 日查阅）涵盖 Azure、Entra、Intune 和 Microsoft 365 管理门户，应急账号也包括在内。这是针对管理门户的规则，并不能取代针对邮箱和应用的策略。

是否已阻止旧式身份验证？

它真正在查什么： 攻击者能否借助无法弹出 MFA 提示的旧协议（如 POP、IMAP 或旧版 SMTP 客户端）绕过 MFA。
在 Microsoft 365 的哪里： Entra ID、监视和运行状况、登录日志，按“客户端应用”筛选，交互式和非交互式两个选项卡都要看。微软在用条件访问阻止旧式身份验证（2026 年 3 月更新，2026 年 10 月 27 日查阅）中有说明。相关的邮件流设置在 Exchange 管理中心。
什么证据有帮助： 阻止旧式客户端应用的条件访问策略（状态为“开启”），加上一份带日期、覆盖最近 30 天的登录日志导出，显示没有成功的旧式登录（或列出剩余的登录及原因）。
常见缺口： SMTP AUTH。微软表示，大多数协议的基本身份验证已在所有租户中禁用（2026 年 7 月更新，2026 年 10 月 27 日查阅），但 SMTP AUTH 仍然可用，微软另行公布了它的基本身份验证退役时间表。打印机、扫描仪和业务系统常常依赖它。如果它仍处于启用状态，就要知道哪些设备在用、为什么用。回答“没有旧式身份验证”之前请先核查。

SPF、DKIM、DMARC 是否已配置，外部转发是否受控？

它真正在查什么： 别人能否发出看似来自你域名的邮件，以及被入侵的邮箱能否悄悄把邮件复制出公司。
在 Microsoft 365 的哪里： SPF 和 DMARC 是域名托管商处的 DNS 记录；DKIM 签名按域名在 Microsoft Defender 门户中启用；外部转发由 Defender 的出站垃圾邮件策略控制，并可在 Exchange 管理中心的“自动转发邮件”报告中查看。
什么证据有帮助： 每个发信域名 SPF 与 DMARC 记录的带日期 DNS 查询结果、显示 DKIM 已启用的带日期截图或导出，以及显示自动转发为“关闭”的出站垃圾邮件策略。微软文档说明了 DMARC 的配置方法，以及从 p=none 到 p=quarantine 再到 p=reject 的推进过程（2026 年 7 月更新，2026 年 10 月 27 日查阅），也说明了自动外部转发的控制方式（2026 年 8 月更新，2026 年 10 月 27 日查阅）。
常见缺口： DMARC 记录虽然存在，却一直停在 p=none，只监控、不保护。还有闲置或旧域名完全没有 DMARC 记录，以及未用于发信的 *.onmicrosoft.com 域名，微软指出它也需要自己的记录。关于转发，默认值是“自动 - 系统控制”，微软说明其行为取决于组织的创建时间，所以应明确设置，不要想当然。

DMARC 处于 p=none 是通往强制执行的合理阶段。如实说明现在的位置，以及计划何时改为 quarantine 或 reject。

每台设备是否都有终端防护或 EDR？

它真正在查什么： 点了恶意链接的笔记本，是否有东西能拦截或至少发现攻击，以及你能否说清楚覆盖了多少台设备。
在 Microsoft 365 的哪里： Microsoft Defender 门户（设备清单、入网状态）和 Intune 管理中心的“设备”（合规状态，以及哪些设备根本没被管理）。
什么证据有帮助： 一份带日期的导出，列出每台设备的操作系统、防护状态和最后一次签到时间，并与员工人数对照。
常见缺口： 不知道有哪些设备。“100% 终端覆盖”这个答案，一遇到清单里 90 天没签到的设备、读公司邮件的个人笔记本，或从未注册的 Mac 就站不住了。如果个人设备访问公司邮箱，请如实说明并描述控制方式，例如应用保护策略或仅限浏览器访问。

如果你要从零搭建设备管理，可参考我们的 Microsoft Intune 定价页面。

系统是否及时打补丁？

它真正在查什么： 你所控制的设备和软件，已知漏洞多快被修复。
在 Microsoft 365 的哪里： Intune 更新环和 Windows Update for Business 报告；已授权时可用 Defender 漏洞管理。
什么证据有帮助： 一份带日期的每设备更新合规导出，以及规定安装期限的策略。
常见缺口： 有补丁策略，却无法证明设备遵守。关机的、不在网络上的或未注册的设备，永远不会显示为“失败”。服务器和第三方软件不在 Intune 范围内，所以要按整个环境来回答。

是否有备份，包括 Microsoft 365 数据？

它真正在查什么： 遭遇勒索软件或误删时能否不付赎金就恢复，以及备份是否能在同一次攻击中幸存。
在 Microsoft 365 的哪里： 保留策略和回收站不是备份。微软的服务协议（2026 年 10 月 27 日查阅）要求客户自行备份自己的内容和数据。邮箱、SharePoint、OneDrive 和 Teams 的备份，通常是另行购买并配置的服务。
什么证据有帮助： 备份作业报告（显示每个工作负载最近一次成功运行）、带日期和结果的恢复测试，以及副本存放位置和谁能删除它们。
常见缺口： 因为文件同步到了 OneDrive 就回答“是”。同步会像复制好文件一样忠实地复制删除和被加密的文件。另一个缺口是备份与租户共用管理员身份，攻击者拿下租户后连备份也能一起删掉。

NCSC 的检验标准，即备份与网络隔离或存放在专用服务中，是合理的。我们的云端管理型备份服务可以覆盖这一块。

有没有日志，保留多久？

它真正在查什么： 出事后，你能否查清发生了什么、影响多大。
在 Microsoft 365 的哪里： Microsoft Purview 的“审核”（统一审核日志）；Entra 登录日志和审核日志；Defender 的警报和事件。
什么证据有帮助： 显示审核已开启的截图或导出、你实际拥有的保留期，以及一次能返回结果的示例搜索。微软的 Purview 审核文档（2026 年 5 月更新，2026 年 10 月 27 日查阅）写明，Audit（标准版）保留 180 天；Audit（高级版）对 Entra、Exchange、SharePoint 和 OneDrive 的记录最长保留一年。
常见缺口： 表格要求的保留期比租户实际的 180 天更长。请定期把日志导出到独立存储，或调整许可证，不要直接打勾了事。

有没有做钓鱼意识培训？

它真正在查什么： 员工会不会上报可疑邮件，而不是点击它。
在 Microsoft 365 的哪里： 若已授权，Defender 门户中的攻击模拟训练；否则看培训供应商的记录。
什么证据有帮助： 按员工列出的带日期完成报告，以及最近一次模拟的日期。
常见缺口： 只在入职时培训过一次，没有记录；外包人员和新员工没有任何记录。

有没有事件响应计划？

它真正在查什么： 凌晨两点出事时，大家是否知道该打给谁、先做什么。
在 Microsoft 365 的哪里： 主要是一份文档，由 Defender 警报策略（谁会被通知）和 Purview 审核（如何调查）提供支持。
什么证据有帮助： 带日期并有负责人的计划、包含保险公司事故热线的联系人清单，以及最近一次演练的日期。
常见缺口： 计划只存在于某个人的脑子里，或联系人清单上还写着已经离职的人。

截图还是带日期的导出：哪种算证据？

保险公司要求的证明各不相同，很多在出险之前根本不要求。但提前准备更强的那一种成本很低，也能让你的答案更站得住脚。

带日期的截图与带日期的导出对比

带日期的截图： 快速、易读。但只显示某一天的一个视图，也容易被裁剪，或者截错租户。适合“DKIM 已启用”“审核已开启”这类设置。
带日期的导出（CSV、JSON 或带时间戳的 PowerShell 输出）： 显示所有记录，而不只是第一页，所以能暴露被裁剪的截图隐藏的排除项。适合 MFA 注册、角色分配、设备清单和登录日志。
客户签署的声明： 不属于以上两种。这是你自己出具的书面声明，说明答案属实，很多保险公司无论还要什么都会要这一份。它的可信度取决于背后的导出文件。

请保留文件名、日期、租户名称和导出人。无法确定日期的导出，并不比记忆强多少。

续保前的 Microsoft 365 检查清单

建议在续保日期前四到六周开始，这样有时间修复问题，而不只是报告问题。

条件访问： 导出策略清单。确认所有 MFA 和阻止旧式认证的策略都是“开启”，而不是“仅报告”。逐个审查排除组，并写出每个成员。
MFA 覆盖： 导出用户注册详细信息。逐一跟进不具备 MFA 能力的用户。
管理员： 导出角色分配。把全局管理员减到你能说明理由的数量。确认应急账号存在、按设计被排除、有保护且有监控。
旧式身份验证： 按旧式客户端应用筛选 30 天登录日志。找出并处理仍在使用 SMTP AUTH 的对象。
邮件安全： 查询你拥有的每个域名的 SPF 和 DMARC。确认 DKIM 已开启。把自动外部转发设为“关闭”，或记录原因。
设备： 导出 Intune 和 Defender 设备列表。处理未管理和长期不活跃的设备，并写明个人设备如何处理。
补丁： 导出更新合规情况，并记下策略规定的期限。
备份： 记录每个工作负载最近一次成功的作业，并做一次带日期的恢复测试。
日志： 确认审核已开启，并写下实际保留期。
人员与流程： 为培训记录和事件响应计划标注日期。
签字： 签表格的人先读完这些导出。

Brocent 能做什么，不能做什么？

Brocent 是总部在香港的管理型IT外包服务商，服务亚太、英国和欧洲以及中东客户。我们的 CIS 基准审核以只读权限读取你的 Microsoft 365 租户，并对照 CIS Microsoft 365 Benchmark 第 1 级和第 2 级进行检查，包括安全评分无法检查的手动控制项。报告中有一个保险公司证据章节，回答上述问题，并为每一项指向一份带日期的导出：每位用户的 MFA 覆盖、含排除项的条件访问清单，以及 SPF、DKIM 和 DMARC 记录。

报告是为用作证据而设计的。它不会让你“符合”任何标准，接受什么由各家保险公司自行决定。很多保险公司还要求客户签署声明，我们可以起草一份供你审阅，是否属实由你判断，再由你决定是否签署。

公布价格为一次性收费，按员工人数分档，以美元计价，不含税：

1 至 10 个用户： US$450
11 至 25 个用户： US$990
26 至 75 个用户： US$1,800
76 至 150 个用户： US$2,900
150 个用户以上： 报价

每个档位的范围相同。你授予只读访问权限后，报告在 5 至 7 个工作日内交付。详情请见 Microsoft 365 安全审核定价页面，也可以在示例报告（英文，虚构客户，含保险公司证据包）中查看。如果你需要的是持续协助而不是一次性报告，请了解我们的管理型IT外包服务与安全服务，或联系我们聊聊你的续保安排。