美国 Microsoft 365 安全评估：SCuBA、范围与费用

简而言之： 对大多数美国公司来说，合适的做法是购买定价固定、只读的 Microsoft 365 安全评估，按 CIS Benchmark 和 CISA 的 SCuBA 基线两套标准检查您的租户。我们的收费从最多 10 个用户的 US$450 起，150 个用户最高 US$2,900，在获得访问权限后 5–7 个工作日交付报告。先运行 CISA 的免费工具，是成本最低的起步方式。

Microsoft 365 安全评估要回答一个简单的问题：您的租户配置是否安全，应该先修复什么？对美国公司而言，这个问题通常来自外部。网络保险续保时会问到 MFA 和管理员账户；大型企业客户会发来安全问卷；贷款机构、监管机构或董事会成员也会要求提供书面材料。

本指南说明 Microsoft 365 安全评估的收费、CISA SCuBA 基线是什么以及私营公司为何要关注、评估会检查哪些内容，以及最后应该收到什么。资料来源列于文末。

美国公司做 Microsoft 365 安全评估要多少钱？

市场上的选择从免费自助工具到按日计费的咨询项目都有，所以报价相差很大。我们只提供一款定价固定的产品，只按用户数量收费。以下为一次性收费，以美元计，不含税：

1–10 个用户： US$450
11–25 个用户： US$990
26–75 个用户： US$1,800
76–150 个用户： US$2,900
150 个用户以上： 经简短的范围沟通后报固定价

各档位的评估范围相同，没有按小时计的费率，所在地区也不影响价格。Microsoft 365 安全评估页面会列出最新价格和当前优惠。如想更全面了解各类审计的收费和成因，请阅读我们的 Microsoft 365 安全审计收费分析。

如何省钱： 在建立干净的基线之前，不要购买按月监控。先修复一次性评估发现的问题，再决定是否需要持续监控。对不少小型租户来说，每年重新评估一次可能已经足够。

CISA SCuBA 基线是什么？为何对政府以外的机构也重要？

SCuBA 是 Secure Cloud Business Applications 的缩写，是美国网络安全和基础设施安全局 (CISA) 的项目。它为 Microsoft 365 各项服务发布书面的安全配置基线，涵盖 Entra ID、Exchange Online、Defender、SharePoint 与 OneDrive、Teams、Power BI 和 Power Platform。CISA 同时发布 ScubaGear，这是一款免费、开源的 PowerShell 工具，可读取租户配置，并报告哪些地方符合基线。

2024 年 12 月 17 日，CISA 发布了 Binding Operational Directive 25-01。该指令要求联邦文职机构找出自身的云租户，部署 SCuBA 评估工具，并落实强制性的基线策略，期限至 2025 年 6 月。指令发布时，唯一已定稿的基线是 Microsoft 365 的基线。

这项指令对私营公司没有约束力，但仍有三个实际理由值得您关注：

它是公开、有版本管理的标准。 当客户问“您按什么标准评估？”，“CISA 的 SCuBA 基线”是对方可以自行查阅的答案。
它是为真实租户而写的。 这些基线针对每天使用 Microsoft 365 的机构制定，而不是理论上的实验环境。
它是有用的第二意见。 CISA 的基线与 CIS Microsoft 365 Foundations Benchmark 大部分重叠，但并非完全一致。两者出现分歧的地方，正好让您更了解自身的配置。

因此，我们的报告在 CIS Benchmark 结果之外，另附各项服务的 ScubaGear 结果。CIS 是评估的正式记录，SCuBA 是独立的交叉核对，Microsoft Secure Score 则保留作趋势线。我们的对比文章 Microsoft Secure Score、CIS Benchmark 与 ScubaGear 的对比说明了各自适用于什么场景。

评估会检查什么？

您可能听过 Office 365 安全审计这个说法。Office 365 是同一套邮件、文件和协作服务的旧名称，所以工作内容是一样的。每个档位都检查三个范围。

Entra ID 中的身份

每位用户的 MFA 覆盖情况，包括紧急（“break-glass”）账户和服务账户
条件访问策略，以及哪些人被排除在外
特权角色，以及管理员是否采用防钓鱼的登录方式
可绕过 MFA 的旧式身份验证和 SMTP AUTH
用户已授权的第三方应用及其所持权限
访客账户及其到期安排

Exchange Online 和 Defender for Office 365 中的邮件

每个域名（包括闲置域名）的 SPF、DKIM 和 DMARC
自动转发到外部地址的设置，以及可疑的收件箱规则
防钓鱼、防垃圾邮件、Safe Links 和 Safe Attachments 策略
邮箱审计和审计日志保留期

SharePoint、OneDrive 和 Teams 中的文件与协作

外部共享设置和匿名的“任何人”链接
敏感度标签、保留策略和数据防泄露
Teams 的外部访问和第三方应用
个人手机和笔记本电脑在没有应用保护的情况下访问公司数据

评估不包括修复问题、Microsoft 365 备份、渗透测试、钓鱼模拟、防火墙或本地设备。我们绝不会打开邮件或文件。

最后会收到什么？

报告必须让 IT 以外的人也能据此行动才有用。我们的报告包括：

书面报告： 分级的发现项、每项的证据，以及修复所需的工作量
CIS 结果： 按章节列出 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 结果，包括没有脚本可以检查的人工控制项
ScubaGear 结果： 按服务列出对照 CISA 基线的通过、失败和警告项
保险公司证据包： MFA、特权账户、邮件验证、终端防护和日志保留期，每项均附有注明日期的导出记录
修复计划： 分阶段并排好优先级，成本低而影响大的项目排在最前
Excel 工作簿： 所有控制项集中在一张工作表，方便您自行跟进
讲解会议： 逐项讲解发现，并说明修复的先后顺序

在购买前，您可以阅读完整的评估报告样本，样本为英文，使用虚构客户。

美国公司如何使用这份报告？

网络保险申请

保险公司会问到邮件和远程访问的 MFA、特权账户、邮件安全、终端防护和备份。证据包为每个答案提供注明日期的导出记录。每家保险公司各有规定，我们无法保证某一家会接受什么。我们的指南 Microsoft 365 的网络保险 MFA 要求说明了“全面启用 MFA”在实际上通常指什么。

客户安全问卷

当大型企业客户问您的租户如何配置时，发现项登记册和工作簿就是佐证记录。您可以凭证据作答，而不是凭记忆。

受监管行业

部分美国规则直接涉及 Microsoft 365。例如 FTC Safeguards Rule 适用于许多非银行金融业务，如抵押贷款经纪和报税代理。它要求任何访问客户信息的人都要使用多重身份验证，并要求书面的风险评估，以及持续监控，或每年一次渗透测试加每六个月一次漏洞评估。持有不足 5,000 名消费者信息的机构可豁免其中部分要求（包括书面风险评估和上述测试），但多重身份验证不在豁免之列。医疗机构则适用 HIPAA Security Rule。Microsoft 365 评估可为这些义务中涉及云配置的部分提供证据，但本身不会使您达到合规，也不构成法律意见。

自行运行 ScubaGear，还是购买评估？

ScubaGear 免费而且好用。如果您有熟悉 PowerShell 的工程师，运行它是合理的第一步。两者的取舍如下：

自行运行工具与固定价格评估

自行运行 ScubaGear： 无需现金支出；需要工程师投入时间；只提供对照单一基线的原始通过/失败输出；没有人工控制项；也不判断哪些问题对您的业务重要。
固定价格评估： 按人数确定的费用；CIS 与 SCuBA 结果并列；人工控制项由专人检查；发现项分级并排好修复顺序；证据整理好可供保险公司和客户使用。
按日计费的咨询服务： 费用没有上限；适合有多个租户、需要访谈，或评估属于更大型鉴证项目的情况。

如何省钱： 如果您先运行 ScubaGear 并修复明显的失败项，付费评估就可以把时间花在较难处理的项目上，您的报告发现项也会较少。