英国企业 Microsoft 365 安全评估：固定价格、范围与 Cyber Essentials 对应

重点速览： 在英国使用 Microsoft 365 的企业，通常只需要一次定价固定、只读的租户安全评估：对照 CIS Benchmark 逐项检查，并把发现映射到 Cyber Essentials。我们的收费为 10 名用户以内 US$450，76–150 名用户 US$2,900，获得访问权限后 5–7 个工作日交付书面报告。想省钱，最有效的做法是在预约 Cyber Essentials 之前，先修复会直接导致不合格的项目。

如果你在英国经营一家使用 Microsoft 365 的公司，安全评估通常因三个原因而被提起：客户或公共部门要求取得 Cyber Essentials；保险公司的投保表格询问你如何保护账号；或者管理层想知道 Outlook、SharePoint 和 Teams 里的个人数据是否真的安全。这三个问题其实由同一项工作回答：检查租户的配置，对照公认的基准评分，再给出修复计划。

本文说明这项工作的收费、涵盖范围、与 Cyber Essentials 及 UK GDPR 的对应关系，以及如何避免多花冤枉钱。凡引用标准之处，来源链接都列在文末。

英国的 Microsoft 365 安全评估收费多少？

我们按用户人数为单一产品定价。费用在开工前确定，且各国一致，所以利兹的公司与新加坡的公司，同样人数付同样的价钱。所有金额均为一次性、以美元计价、不含税：

• 1–10 名用户： US$450
• 11–25 名用户： US$990
• 26–75 名用户： US$1,800
• 76–150 名用户： US$2,900
• 150 名用户以上： 简短的范围沟通后，报固定价格

不按日计费，也没有“工作天数待议”。每个档位的范围完全相同：10 人的小事务所与 150 人的公司接受同样的检查，只是报告篇幅较短。目前的优惠、可选的每月监控方案以及较大租户的方案，都在 英国 Microsoft 365 安全评估 价格页，价格以该页为准。

我们只公布一份美元价目表。如需其他货币的报价，请告知，我们会说明可以用哪些货币开票。

如何省钱： 如果你的人数接近档位分界线，索取报价时请直接告诉我们。我们会在开工前确认档位和固定费用，最后不会有意外。

评估涵盖什么，不涵盖什么？

Microsoft 365 评估是配置审查，不是网络扫描。你没有需要探测的服务器，所以范围就是租户的设置，以及谁能接触到其中的数据。每个档位都检查三个范畴。

身份：谁能登录，如何登录

• 所有用户的 MFA 覆盖情况，包括应急（“break-glass”）账号和服务账号
• Conditional Access 策略，以及被排除在策略之外的人员
• 特权角色，以及管理员是否使用防钓鱼的登录方式
• 可绕过 MFA 的旧式验证和 SMTP AUTH
• 用户已授权的第三方应用，以及这些应用可以读取什么
• 访客账号，以及它们是否会到期

电子邮件：Exchange Online 与 Defender for Office 365

• 每个域名的 SPF、DKIM 和 DMARC，包括你已不再使用的域名
• 自动转发到外部地址，以及隐藏邮件的收件箱规则
• 反钓鱼、反垃圾邮件、Safe Links 和 Safe Attachments 策略
• 邮箱审计，以及统一审计日志的保留时间

文件与协作：SharePoint、OneDrive 与 Teams

• 外部共享，以及任何人皆可访问的匿名“Anyone”链接
• 针对个人数据的敏感度标签、保留策略和数据防泄漏
• Teams 外部访问和第三方应用
• 在没有应用保护的情况下访问邮件和文件的个人手机与笔记本电脑

不包括的内容：实施修复（拿到报告后，我们另以固定价格报价）、Microsoft 365 备份、渗透测试、钓鱼演练、办公室防火墙等内部部署设备，以及查看任何人的邮件或文件。评估只读取设置和元数据。

评估如何对应 Cyber Essentials v3.3？

Cyber Essentials 是由 NCSC 运作、IASME 担任交付伙伴的英国政府支持计划。IT 基础设施要求第 3.3 版配合“Danzell”题库，适用于 2026 年 4 月下旬起的新评估。对使用 Microsoft 365 的公司而言，其中三点最重要：

• 云服务一律在范围内。 NCSC 文件把 Microsoft 365 列为软件即服务的例子。你不能把它排除在外，用户访问控制（包括 MFA）始终是你的责任，而不是 Microsoft 的。
• 云服务未启用 MFA，即自动不合格。 IASME 明确指出，如果云服务提供 MFA 而你没有启用，评估即告失败。
• 14 天内打补丁，同样是自动不合格项。 操作系统和应用程序的高风险或严重更新，必须在发布后 14 天内安装。

我们的报告包含一份 Cyber Essentials 就绪度表格，从 Microsoft 365 的角度检视五项控制。内容涵盖云服务 MFA、管理员账号、闲置账号、安全配置、恶意软件防护和更新设置，并标出每一项会导致评估不合格的问题。防火墙大多不属于 Microsoft 365 审查范围，所以表格会说明哪些证据需要从其他地方取得。

两点提醒。报告只是你评估所用的证据，认证机构有自己的决定，我们不为你认证。此外，租户审查不会检查每一部笔记本电脑。逐项控制的细节，请阅读我们的 Microsoft 365 与 Cyber Essentials 指南。如果你要申请 Plus 级别（由评估员抽样测试你的设备），预约前请先看 Cyber Essentials Plus 技术验证会测试什么。

如何省钱： 先修复自动不合格的项目。在典型的小型租户中，这些通常是少数没有启用 MFA 的账号、一个仍然开着的旧式协议，以及没有截止期限的更新环。评估失败后重新申请，比提早一周找出问题更耗时间。

UK GDPR 有什么要求，评估能帮上什么？

UK GDPR 要求安全措施与你处理数据的风险相称。第 32 条列出各项措施，其中一项是“定期测试、评估和评价技术及组织措施有效性的流程”。ICO 的指引用更浅白的话表达同一意思：根据自身风险，用合适的方法定期测试你的措施。它并未规定具体的测试方式或频率。

对大多数英国中小型企业而言，个人数据实际就存放在 Microsoft 365 里：OneDrive 里的简历、SharePoint 里的客户文件、Outlook 里的薪酬附件。一份注明日期、已评级的设置审查，是“定期测试和评估”记录中实用的一环。如果某项发现涉及个人数据，我们的报告会注明并评级。典型例子有：

• 存放客户或人事文件的文件夹设有匿名共享链接
• 邮箱规则把邮件转发到个人地址
• 没有针对护照号码或国民保险号码的数据防泄漏策略
• 审计日志保留期太短，无法在事后调查数据泄露

评估不是法律意见，也不能取代数据保护影响评估。它显示你的租户设置允许什么；这对你的合规义务意味着什么，由你的数据保护负责人判断。

保险公司或客户的安全问卷会要求什么？

英国的网络保险投保表格和客户安全问卷，问的通常是同一份简短清单：是否人人启用 MFA、管理员账号如何保护、电子邮件是否经过身份验证、设备是否受保护并已打补丁，以及日志保留多久。如果每个“是”都能指向一份注明日期的导出记录，回答起来更容易，也更难被质疑。

我们的报告附有专为这些问题准备的证据包。每个答案都对应一份从你的租户导出的记录，并注明导出日期。各家保险公司规则不同，我们不能承诺某一家会接受什么；我们能做的是确保你的答案属实，并有可出示的凭证。我们的文章 每个保险问题背后的 Microsoft 365 证据 逐题说明。

评估如何进行？访问权限、时间表与交付物

整个项目都是远程进行，总结会议安排在英国办公时间。

1. 我们确认你的人数档位和固定费用，通常在一个工作日内完成。
2. 你的一位 Global Administrator 批准我们的只读审计应用，大约需要 15 分钟。我们不会在你的租户里创建任何 Brocent 账号或密码。
3. 自动化检查在数分钟内跑完；随后由工程师逐项处理脚本无法读取的手动控制项。
4. 获得访问权限后 5–7 个工作日，你会收到书面报告。
5. 总结会议逐一讲解发现，以及建议的修复顺序。

评估结束当天，你就可以在 Entra ID 中移除该应用。如果想确切了解它申请了哪些权限，请阅读 只读 Microsoft 365 审计应用申请什么权限，为什么。

你会收到：

• 一份书面报告，包含已评级的发现、各项证据以及修复所需的工作量
• 按章节列出的 CIS Microsoft 365 Foundations Benchmark Level 1 和 Level 2 结果，包括手动控制项
• 按服务列出的 CISA ScubaGear 基准结果，作为独立的交叉验证
• 你的 Microsoft Secure Score，用作趋势线而非最终结论
• Cyber Essentials 就绪度表格和保险证据包
• 分阶段的修复计划，以及列出每项控制的 Excel 工作簿

购买前，你可以先阅读完整的 评估报告样本，样本为英文，使用虚构客户。

合同：博迅 11 个本地法人实体中，任何一个都可以作为合同方，具体在方案中确认。博迅 2007 年在北京成立，总部设于新加坡，为 100+ 个国家和地区的客户提供服务。如果你在英国还需要现场协助，请参阅我们的 英国 IT 支持 页面。

评估、Cyber Essentials Plus 还是渗透测试：先做哪一个？

英国企业常常在同一个月内被推荐这三项服务。它们回答的是不同的问题。

哪一个能回答你的问题？

• Microsoft 365 安全评估： 对照公开基准，检查你的租户如何配置。回答“我们的云设置安全吗，先修什么？”定价固定，远程进行，数天内出报告。
• Cyber Essentials： 以自我评估问卷为基础、由认证机构核查的证书。回答“我们能否向客户或招标方证明已达到基本控制要求？”
• Cyber Essentials Plus： 控制项相同，另由评估员对抽样设备进行实际测试。回答“这些控制在我们的设备上真的有效吗？”
• 渗透测试： 测试人员尝试入侵。回答“攻击者可以利用我们现有的弱点做什么？”它需要明确的目标，费用通常更高。

对大多数英国小型公司而言，合理的顺序是：评估、修复、Cyber Essentials，若合同要求再做 Plus。基础打好之后，渗透测试才更有意义。我们的 Microsoft 365 安全审计与渗透测试比较 说明了各自适合在什么情况下购买。

资料来源

• NCSC，Cyber Essentials：IT 基础设施要求 v3.3（2026 年 4 月）：ncsc.gov.uk
• NCSC，Cyber Essentials 概览：ncsc.gov.uk/cyberessentials/overview
• IASME，2026 年 4 月 Cyber Essentials 变更：iasme.co.uk
• UK GDPR 第 32 条，处理的安全性：legislation.gov.uk
• ICO，数据安全指南：ico.org.uk
• CIS Microsoft 365 Foundations Benchmark：cisecurity.org

常见问题

英国的 Microsoft 365 安全评估收费多少？

按用户人数收取一次性固定费用，以美元计价、不含税：1–10 名用户 US$450，11–25 名 US$990，26–75 名 US$1,800，76–150 名 US$2,900。150 名用户以上报固定价格。不按日计费，价格也不因国家而异。

Microsoft 365 安全审计与评估有分别吗？

在这里没有。审计、评估和审查指的是同一项服务：对照 CIS Benchmark 和 CISA 基准，只读审查你的租户，以一份报告和修复计划交付，收取一笔固定费用。

做了评估就能取得 Cyber Essentials 吗？

没有任何评估能作此承诺，因为最终由认证机构决定。报告会把发现映射到 Microsoft 365 租户能够提供证据的 Cyber Essentials 要求，并标出自动不合格项，让你在申请前先修复。

涵盖 UK GDPR 吗？

涵盖决定个人数据是否受保护的 Microsoft 365 设置，例如共享、转发、数据防泄漏、标签、保留和访问权限。它不是法律意见，也不是数据保护影响评估。

需要到我们办公室吗？

不需要。评估完全远程进行。Global Administrator 只需一次性批准只读应用，总结会议安排在英国办公时间以电话进行。

你们会阅读我们的电子邮件或文件吗？

不会。评估只读取配置和元数据，从不读取邮件或文件内容，也不会与我们共用任何账号或密码。

需要多长时间？

管理员批准访问约需 15 分钟，之后 5–7 个工作日交付书面报告，并安排总结会议。

你们能修复评估发现的问题吗？

可以，如果你希望由我们处理。报告出具后，我们另以固定价格报价；由博迅实施修复时，包含一次重新评估。

下一步：统计你已授权且活跃的用户数，然后在 Microsoft 365 安全评估 页面索取报价。我们会在一个工作日内确认档位和固定费用。