Microsoft 365 安全评估费用：香港中小企固定价格指南

先说结论：Microsoft 365 安全评估费用大致有三种收法：自行用工具扫描（只花时间）、按日计的顾问费（总数要等天数谈妥才知道）、以及按人数分级的固定价格审计。Brocent 的 Microsoft 365 CIS Benchmark 审计按用户人数一次性收费，1 至 10 人 450 美元、11 至 25 人 990 美元、26 至 75 人 1,800 美元、76 至 150 人 2,900 美元（不含税），超过 150 人另行报价。报告在获授予只读访问权后 5 至 7 个工作日交付。

香港中小企找人做 Microsoft 365 安全评估，多数不是因为闲著无事，而是有人问了：客户的安全问卷、保险公司续保表格、集团总部的审查，或者老板在新闻上看到同行的邮箱被入侵。问题随即变成很实际的一句：「做一次要多少钱，包括什么，谁可以批？」

本文由这几个问题出发，说明固定价格审计通常怎样界定范围、价格跟什么走、谁要签批，以及收到几份报价时怎样比较。价格以 Brocent 公布的美元价目表为准，不作港元换算。

Microsoft 365 安全评估要多少钱？

先看 Brocent 的价目。我们的 Microsoft 365 CIS Benchmark 审计是一次性收费、以美元计价、不含税，按用户人数分级：

1 至 10 位用户：450 美元
11 至 25 位用户：990 美元
26 至 75 位用户：1,800 美元
76 至 150 位用户：2,900 美元
超过 150 位用户：按租户情况报价

每一级的范围相同：CIS Microsoft 365 Benchmark 第一级和第二级（包括需要人手判断的控制项）；涵盖 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams；提供可用于常见网络保险问卷和 Cyber Essentials 问题的证据；附带按优先次序排列并估算工作量的改善路线图；以及一次讲解报告的视频或电话会议。完整的最新价目请以审计定价页为准。

人数愈多，租户里的用户、群组、装置和政策通常愈多，要审阅的设置也愈多，所以价格按人数分级。范围不会因为你选了较低的级别而缩减：十个人的公司和一百个人的公司，同样会按完整的基准审阅。

固定价格审计包括什么，不包括什么？

包括的是「看清楚现况并告诉你先做什么」：审阅租户设置、找出落差、按风险排序、估算每项改善的工作量，再讲解给你听。

不包括的是「替你改好」。修补和加固属另一项工作，按个别项目报价，所以本文不列加固价格。这样分开有一个好处：负责评估的一方没有诱因把问题夸大，你亦可以决定由内部、现有 IT 供应商或我们来做改善。

审计后再审计要另外收费吗？

如果改善工作由 Brocent 负责，改善后的再审计包括在内。如果改善由你们内部自行完成，再审计按当时的级别价格收费。这一点在比较报价时值得问清楚，所以要确认报价有没有写明复查的次数和范围。

有没有持续的选项？

有。除了一次性审计，我们亦提供持续监控选项：每位用户每月 6 至 10 美元，并包括每季一次再审计。适合租户经常有人事和政策变动、希望保持基准不退步的公司。对只需要为某次问卷或续保取得证据的小公司，一次性审计通常已经足够。

香港中小企的 Microsoft 365 安全评估由谁签批？

价格不高，但签批的人常常不止一位。一般来说：

董事或老板：决定要不要做，以及预算是否在授权范围内。固定价格让这一步容易，因为可以按公司人数直接对照。
财务或行政：关心发票币种和税项。我们的价目为美元、不含税、一次性，付款安排在报价时确认。
内部 IT 或现有 IT 供应商：要授予只读访问权，也会被问到「我们做得如何」。最好一开始就让他们参与，把审计当成第二对眼睛，而不是考核。
保险经纪、客户或集团总部：通常是提出要求的一方。事先问清楚他们想看什么形式的证据，可以避免做完才发现格式不合。

全局管理员需要做什么？

需要有人以全局管理员身份，一次性同意一个只读的 Microsoft Graph 应用程序，大约 15 分钟，之后可以随时在 Entra ID 里移除。这个应用程序读取的是设置，不会读取邮件或文件内容。如果你的公司由外部供应商管理租户，请先通知对方，免得被安全政策挡住。

怎样比较几份 Microsoft 365 安全评估报价？

香港市场上，同一个名称下面其实有几种截然不同的服务。收到报价时，可以先分清楚是哪一种。

自行扫描、按日顾问，还是固定价格审计？

自行扫描工具：费用是现金零元，但需要内部有人会跑 PowerShell 和判读结果。好处是快；限制是工具输出不会告诉你，以你的员工、许可证和风险而言先改哪一项，也无法检查没有介面可读的手动控制项。
按日计的顾问：弹性最高，但总价要等范围和天数谈妥才知道。适合范围很特别、牵涉多个租户或需要访谈的项目。
固定价格审计：事前知道总数、范围和交付时间，比较容易取得内部批准。限制是范围已定，超出范围的工作需要另外商量。

没有哪一种永远最好。公司只有一个租户、人数不多、需要为某个要求取得证据时，固定价格最容易批；若你的 IT 团队有余力，扫描工具可以作为前期准备。

报价要问的五个问题

范围是 CIS Benchmark 的哪一级？是否包括需要人手判断的控制项？
涵盖哪些服务（Entra ID、Exchange、SharePoint、Teams、Defender、Purview）？
报告何时交付？从哪一天起算？
改善后的再审计怎样收费？
报告是否可以直接用作问卷或续保的证据，还是只供内部参考？

留意第五点的措辞。我们说的是报告「设计为可用作证据」，而不是任何保险公司、核数师或机构「接受」或「认证」它。Cyber Essentials 方面，审计本身不会授予或保证认证结果。

一次评估要多长时间？需要准备什么？

报告在你授予只读访问权之后 5 至 7 个工作日交付，另有一次讲解会议。你需要准备的是：一位能授予同意的全局管理员、租户的基本背景（用户人数、主要使用的服务、是否有外部 IT 供应商），以及你要满足的具体要求（例如某份问卷）。事先把问卷交给我们，报告的证据部分就能对准你要回答的问题。

服务以远端方式提供。

这和其他文章怎样配合？

如果你想先了解价格的整体图像，包括免费工具和其他收费方式，可以看Microsoft 365 安全审计要多少钱。如果在固定价格与按时收费之间犹豫，固定价格还是按时收费有逐项比较。针对香港公司的范围和流程，见香港 Microsoft 365 安全审计。想预览报告的样子，可以读样本报告解读；保险续保方面则有香港网络保险续保的 IT 要求。审计涵盖的项目见服务页（英文页）。