香港 IT 安全审计：范围、费用与交付物

简短回答：香港企业做 IT 安全审计，是对系统、账号、设备和流程的实际配置做一次有证据支持的结构化审查，对照既定基线检查，最后交付一份按风险排序的书面报告和整改路线图。它不同于漏洞扫描（自动化、范围窄）、渗透测试（尝试攻入系统）和一般的 IT 评估（范围更宽、证据要求较低）。费用主要取决于人数、场所数量、审计范围，以及你能提供多少证据。对 IT 用户少于 20 人的小企业，Brocent 在服务页公布了固定范围的基础审计价格；规模更大或需要定期审计的项目则按范围报价。你需要哪一种，取决于是谁在要求：保险公司、做尽职调查的客户，还是私隐检查。

什么是 IT 安全审计？它和人们常说的其他服务有什么区别？

下面四个词在销售沟通中常被混用。比较报价之前先分清楚，因为针对其中一项的报价，并不能拿来和另一项的报价对比。

IT 安全审计：对照基线检查控制措施的结构化审查。涵盖身份与认证、访问权限、终端、资产、补丁、备份、软件管控、移动设备，也常包括邮件和网络设置。产出是一份按风险排序的书面报告和路线图。主要工作是配置与证据的审查，加上访谈。
漏洞扫描：用自动化工具列出所能触及系统上的已知弱点。快而便宜，但不会检查离职流程是否有效，也不会检查备份能否还原。两者的区别见漏洞管理与渗透测试的区别。
渗透测试：由人在约定范围内尝试攻入，并报告哪些方法奏效。它测试攻击者能走多远；审计则检查控制措施一开始是否到位。同样的对比放在 Microsoft 365 一个平台上，请读渗透测试与 Microsoft 365 安全审计的区别。
IT 评估：最宽泛也最轻量的说法。可能涵盖架构、成本、风险和策略，不一定有证据支撑。有些服务商把“评估”和“审计”混着用，请问清楚各自收集什么证据。

一个实用的检验：如果报价没有写明会收集哪些证据（导出的清单、截图、扫描结果、访谈），你买到的就是一份意见，而不是审计。

安全审计到底检查什么？

范围各有不同，但香港中小企业的基础审计通常涵盖下列领域，以下内容依据 Brocent 中小企业项目审计的公开范围。

用户账号与认证：账号清单、入职与离职、休眠账号、多因素认证、特权账号和服务账号、条件访问。
访问权限：基于角色的访问控制、文件共享与协作平台权限、群组成员、访客与外部用户访问、关键职能的职责分离。
终端安全：终端防护部署与状态、设备合规策略、杀毒软件更新状态、防火墙设置。
IT 资产管理：硬件、软件和云许可证清单、归属、生命周期、处置流程。
补丁与漏洞：操作系统和应用补丁状态、扫描与整改流程、补丁策略。
备份与恢复：覆盖范围、频率、保留期、还原测试，以及不可变或隔离副本等勒索软件抗御能力。
软件管控：审批流程、影子 IT、许可证合规。
移动设备安全：公司设备和私人设备的策略、远程擦除、加密、密码要求。
常作为附加项：网络与 Wi-Fi 安全、邮件认证（SPF、DKIM、DMARC）、日志与监控、实体访问、安全意识培训、事件响应计划，以及对照 PDPO 或 ISO 27001 等框架的差距分析。

如果你使用 Microsoft 365，身份、访问、邮件和终端这几个领域会与 Microsoft 365 安全审计重叠。那是另一条产品线，有自己的费用和示例报告，本文不重复，请看 Microsoft 365 安全审计费用和报告示例解读。

最后能拿到什么？交付物示例

签约之前先要求看交付物。一份有用的审计会交付：

1. 一份书面报告。发现按风险排序，每项附上证据、涉及的系统和建议做法。Brocent 的中小企业审计会附带一份按优先级排序的路线图。

2. 一次汇报会议，与你的 IT 团队和管理层一起，把发现讲清楚，而不是只交一份文件。

3. 一份整改清单，可以分派给负责人并订下日期。

4. 可重复使用的证据。很多买家之后要回答问卷。记录了检查内容和时间的报告，比一句口头的“没问题”有用得多。

规模更大的项目会增加定期报告。Brocent 的审计目录按审计类型设定频率：例如信息安全审计每季度一次，渗透测试每半年或每年一次，日志与活动审计每月一次。对中小企业，更常见的做法是先做一次基础审计，之后每年复查一次。

香港做 IT 安全审计费用多少？

没有统一价格，凡是对所有企业只报一个数字的文章都要小心。影响价格的因素：

IT 用户和设备数量。账号和终端越多，需要盘点和抽样的就越多。
场所和系统数量。每多一个办公室、机房或云租户，都会增加调研和访谈。
范围。基础范围比加上网络审查、邮件安全、事件响应审查和框架差距分析的范围便宜。
证据是否齐备。如果能很快导出用户清单、设备清单和策略设置，审计会更快；如果信息都在员工脑子里，审计师就得自己重建。
测试深度。工具扫描、访谈和任何渗透测试都会增加工作量。
整改协助。只做审计，还是审计加上动手修复。

作为小企业的参考，Brocent 的“IT 评估与审计”页面为 IT 用户少于 20 人的机构公布了三档固定价格：基础审计涵盖上述八个基线领域；综合审计在此之上加入 Microsoft 365 Secure Score 审查、邮件安全、基础网络与 Wi-Fi 审查、事件响应计划审查，以及 PDPO 或 ISO 27001 差距分析；高级档另含审计后的顾问时间。页面上的工作量估算为 50 至 80 小时的资深顾问和支持人员时间，包括扫描、访谈和撰写报告。本文撰写时（2026 年 11 月），基础审计起价为 3,800 美元。这是在 Brocent 各市场统一显示的参考价格，最终报价可能因市场而异；如价格有变，请以专业服务定价页的现行数字为准。企业级和定期项目另行报价。

比较任何两份报价时，请把它们按同一份清单对齐：涵盖的用户数、场所、范围内的领域、收集的证据、交付物，以及是否包含整改。

你需要哪一种审计？按触发原因来选

先弄清楚是谁在要求，以及为什么。

保险公司在续保时的问卷。保险公司要看特定控制措施的证据，如多因素认证、备份测试和终端防护。一份记录每项控制的基础审计报告最合适。如果你的环境是 Microsoft 365，请先读香港网络保险续保的要求。
客户或供应商做尽职调查。他们发来安全问卷，或要求提供近期评估。同样适合做基础审计，报告（去除敏感细节后）可以拿来分享。
私隐检查。如果你关心的是香港《个人资料（私隐）条例》（PDPO），审计范围就要包含数据处理、保留、访问控制和外包，并且常常要把 PDPO 差距分析作为附加项。审计可以为私隐检查提供依据，但不能取代法律意见。
受监管机构的期望。持牌金融机构可能被监管机构或客户要求做特定测试。选范围之前，先确认你自己的监管机构有什么期望；可参考金管局对支付公司渗透测试的要求这个例子。
事故或险情之后。审计告诉你控制措施的缺口在哪里，但不是事件响应。如果已经出事，先处理事件。
你根本不清楚自己的基线。基础审计是最省钱的摸底方式。

怎样准备，才能花得少、查得多？

1. 指定一位负责人，能回答问题并授予访问权限。

2. 收集现有的清单：用户清单、设备清单、软件和许可证清单、网络图、备份计划。

3. 写下你的制度，哪怕只是非正式的：入职、调岗、离职的步骤，密码规则，软件如何审批。

4. 决定审计师需要的只读访问权限，并书面约定哪些会碰、哪些不会碰。

5. 开工前约定时间表和汇报会议。

6. 清楚你对照的是什么：既定基线、保险公司的清单，或某个框架。没有对照标准，发现就只是意见。

核心项目之外还有哪些审计？

核心项目是为中小型团队设定的范围。对规模更大或监管要求更高的机构，Brocent 公布的审计目录列出 7 个类别共 17 项审计服务，每项都写明了频率、交付物和适用行业。

以安全类为例：信息安全审计按季度进行，涵盖终端防护、远程访问与 VPN、多因素认证覆盖率，以及密码和共用账号的管理；渗透测试与漏洞评估为每半年或每年一次；日志与活动审计按月进行，适合需要持续了解谁访问或转移了数据的机构；数据保护与隐私审计列为每半年一次，涵盖数据分类、加密策略、对外共享与公开链接权限，以及备份与恢复。

每项服务都以书面报告收尾，合规类审计还会附上差距分析和整改路线图。你不需要全部都做。实际的问题是哪种周期与你的风险相匹配：多数规模较小的团队先做核心审计，再针对第一份报告中缺口最多的领域增加定期审计。完整目录见IT 评估与审计服务页面。由于每一项都写明了交付物，你可以在确定范围之前，先对照保险公司、客户或监管机构的要求，看看自己会拿到什么。

怎样选择服务商？

像对待任何安全采购一样严格。问清楚实际由谁执行工作、他们持有什么认证；索要一份已去除敏感信息的示例报告；确认范围已经书面写明；确认对方没有会影响独立判断的商业利益（例如既审计你的环境、又向你销售同一环境的服务）；并确保合约涵盖保密，以及你的数据如何处理。需要更完整的清单，可以读如何选择香港的网络安全服务商，其中讲了合约条款、需要警惕的信号和费用预期。

常见问题

IT 安全审计和渗透测试是一回事吗？

不是。审计用证据和访谈检查控制措施是否到位、配置是否正确；渗透测试是在约定范围内尝试攻入。两者回答的是不同的问题，常常一起购买。

审计要多久？

取决于规模和范围。Brocent 的中小企业审计估算为 50 至 80 小时的顾问和支持人员工作量，落到日历上要看你提供证据和访问权限的速度。

应该多久审计一次？

先做一次基线审计，之后至少每年一次，或在重大变更之后。Brocent 的目录对特定审计类型建议更高的频率，例如信息安全每季度一次，敏感环境的日志审查每月一次。

审计能满足保险公司吗？

它提供保险公司所问控制措施的证据，但每家保险公司的要求各不相同。请先读问卷，确认审计范围涵盖其中每一项控制。

我还需要单独的 Microsoft 365 审计吗？

Microsoft 365 的身份、访问、邮件和终端设置已在上述基线领域内，但 Brocent 也提供有自己定价的专门 Microsoft 365 安全审计。请选定一个范围，避免同样的检查付两次钱。

审计会把问题修好吗？

本身不会。报告会给发现排序并给出路线图。修复要么由你的团队负责，要么作为可选附加项，例如高级档里审计后的顾问时间。

这是 PDPO 的法律意见吗？

不是。审计可以显示个人资料如何处理、控制在哪里薄弱，但 PDPO 下的法律义务应向律师确认。

下一步

先弄清楚是谁在要求、为什么要求，列出必须纳入范围的领域，然后向每家服务商索要已去除敏感信息的示例报告，并按同一份清单报价。想了解 Brocent 的范围和档次，可以阅读 IT 评估与审计服务页和专业服务定价，也可以联系 Brocent 顾问，说明你需要通过的问卷或检查。如果是 Microsoft 365 租户，请看Microsoft 365 安全审计价格。如需持续防护，请看网络安全服务。