Microsoft 365 安全审计要多少钱？2026 年价格指南

先说结论： Microsoft 365 安全审计费用差距很大：自助扫描工具免费，顾问按天计费约 750 至 2,000 英镑，公开的固定价一次性审计大约从 450 美元到 7,000 欧元不等，主要取决于人数、范围和深度。Brocent 的完整 CIS 审计按用户数定价，450 至 2,900 美元。

在搜索 Microsoft 365 安全审计费用 时，你多半发现各家说法对不上：有的说免费，有的报 7,000 欧元，有的只给日费。它们并不矛盾，只是把四种不同的东西叫成了同一个名字。

这篇文章把这四种东西分开，说明每个价位实际买到什么，解释哪些因素会让报价上下浮动，然后完整公开我们自己的价目表，包括不包含什么。其他服务商的价格均来自其公开网页，读取日期为 2026 年 10 月 27 日，之后可能变动。

Microsoft 365 安全审计要多少钱？

先把范围一次列出来，细节在后面。

• 免费： Microsoft、CISA、CoreView 提供的自助扫描工具。代价是你自己的时间和技术能力。
• 按用户或按席位计费，多为询价制： 面向 MSP 的持续监控平台，通常卖给服务商，而不是直接卖给最终客户。
• 一次性约 450 美元到 7,000 欧元： 固定价审计，由人工检查租户并交付报告。价差主要来自范围和深度。
• 每天 750 至 2,000 英镑： 顾问日费，审计内容由你和顾问商定。

对于只有一个租户的中小企业，一次像样的一次性审计，预算大致在几百到几千美元，而不是几万美元。多租户集团，或包含访谈和本地 Active Directory 审查的项目，则是另一类项目，按另一套标准定价。

Microsoft 365 安全评估有哪几种，各自多少钱？

免费自助扫描工具能得到什么？

值得了解的有三个。

• Microsoft Secure Score（安全分数） 内置于 Defender 门户，按微软自己的推荐操作给租户打分。微软明确说明，它并不是衡量你被攻破概率的绝对指标。
• CISA ScubaGear 是免费开源的 PowerShell 工具，按 CISA 的 SCuBA 基线检查 Entra ID、Exchange Online、SharePoint、Teams、Power BI 和 Power Platform。
• CoreView 的 Microsoft 365 租户安全扫描器 于 2026 年 2 月发布，通过 PowerShell 运行，对照 CIS Microsoft 365 v6.0.0 指南检查，输出离线 HTML 报告。

这些都是好工具。但它们不会结合你的业务解读结果，查不了无法通过 API 读取的控制项，也不会告诉你在你的人员、许可证和风险承受度下该先修哪一项。如果你有愿意写 PowerShell 的内部工程师，用它们做第一步很合适。

按用户订阅的监控平台是做什么的？

Octiga、Syskit、Augmentt 属于持续盯着租户、发现配置漂移的平台，按用户或席位计费，通常由 MSP 转售。以 Augmentt 为例，其定价页说明最终价格取决于席位、租户数、模块和合约期限，需要询价。其余几家我们没能核实到公开价目，所以不引用任何数字。

监控回答的是“和上个月相比有没有变化”，这与“这个租户今天配置得安不安全”是两个问题，只是常被一起采购。

固定价一次性审计的公开价格是多少？

有几家公司公开了固定价。以下是我们在其官网上核实到的：

• Creative Data Concepts（美国）： Security Configuration Health Check，1,500 美元，一天，远程，48 小时内交付按优先级排序的发现报告。读取于 2026 年 10 月 27 日。
• IT Partner（通过 o365hq）： Microsoft 365 Security Audit 基础版，每个项目 525 美元，三天，含发现报告、整改计划和汇报，不含整改实施。读取于 2026 年 10 月 27 日。
• VidraSec（欧洲）： Microsoft 365 Audit，7,000 欧元起，含报告共 3 至 5 天，附现场答疑，可选复测。读取于 2026 年 10 月 27 日。

三家的价差超过十倍。差别主要在时间和深度：低端是一到三天的配置检查，高端是三到五天的白盒审计，覆盖 Exchange Online、Teams、SharePoint、Defender for Office 365、管理员角色和条件访问，另有现场答疑和可选复测。

顾问日费适用于什么情况？

如果报价是“按人天计”，就要看日费。以英国政府 G-Cloud 框架为例，Transparity 的 Microsoft 365 Security Assessment 列表显示英国日费从初级架构师的 750 英镑到最资深岗位的 2,000 英镑，安全架构师为 995 至 1,500 英镑（读取于 2026 年 10 月 27 日）。按天计费的审计可以做得很好，但天数谈定之前你不知道总价。

四种方式如何对比？

• 免费扫描工具： 不花现金，但需要自己的工程师，得到的是原始输出，没有针对你业务的优先级。适合想快速看一眼的技术团队。
• 按用户监控： 按用户或席位持续付费，通常经 MSP 购买。适合在有了良好基线之后发现配置漂移，不能替代包含人工控制项的完整审查。
• 固定价一次性审计： 金额确定，因服务商和深度不同，约 450 美元到 7,000 欧元。适合需要在确定日期拿到报告和路线图的场景。
• 按天计费的顾问服务： 每天 750 至 2,000 英镑，总价不封顶。适合复杂租户、多租户集团，或属于更大鉴证项目的审计。

哪些因素决定 Microsoft 365 安全评估费用？

两份报价相差十倍时，原因几乎总是下面这几项中的一项或几项。

用户数。 用户越多，需要检查的 MFA 覆盖、管理员权限、访客账号和长期未登录账号就越多。有的服务商按人数分档，有的按人天。

许可证。 Business Premium、E3、E5 开放的控制项不同。条件访问、Defender for Endpoint、Purview、Entra ID Protection 只存在于部分套餐。E5 租户要查的更多，基础套餐上的一些缺口其实是许可证缺口。Secure Score 不管你有没有许可证都会显示产品的建议，所以懂许可证的审查人员很有价值。

租户数量。 有多个租户的集团通常每个租户都要单独审查，再加一个跨租户视图。不要默认一个价格覆盖全部租户。

人工控制项。 CIS Microsoft 365 Benchmark 中有些控制项没有 API 能干净地读出，必须有人打开各个管理中心去看。自动扫描器会跳过这些。包含它们的审计耗时更长、费用更高，但只有这样才能说审查的是整个基准，而不是其中能自动测量的那一部分。

Intune 与设备。 设备合规、加密、注册和更新策略是第二层。有的审计包含设备，有的单独销售。我们另有单独的 Intune 设备审计（英文页面）。

给保险公司和 Cyber Essentials 用的证据。 如果你要回答网络保险问卷，或带日期导出的 Cyber Essentials 问题，报告就得按这个用途组织。这会增加工作量，请确认是否已包含。

整改。 几乎所有固定价审计都不包含修复。补上缺口是第二个项目，另行报价。报价偏低时，先看它是不是止于报告。

如何比较 Microsoft 365 审计报价？

便宜不一定差，但必须在同一口径下比较。向每家服务商问同样的问题。

1. 用哪个基准、哪个级别？ 只做 CIS Level 1，还是 Level 1 加 Level 2？还是供应商自己的清单？
2. 是否包含人工控制项？ 如果答案是“我们跑一个脚本”，你买到的就是一份扫描器报告。
3. 按租户还是按集团？ 确认价格覆盖几个租户。
4. 报告里有什么？ 应有严重程度、受影响对象、整改步骤、按优先级排序的路线图和工作量估算。
5. 有没有答疑？ 只有书面报告没有沟通，就得你自己解读发现项。
6. 需要什么访问权限？ 由全局管理员一次性批准只读访问，比要你交出管理员密码好得多。
7. 哪些不包含？ 整改、复测、设备审计和保险公司所需证据是常见的除外项。
8. 何时交付报告？ 除了价格，也比较周期。
9. 价格是否注明币种和税？ 避免意外。

固定价更容易做预算，前提是范围写成了书面。一份好的 Microsoft 365 固定价审计 报价读起来像一份简短的规格书，而不是一个标题数字。

Brocent 的 Microsoft 365 安全审计怎么收费？

我们公开价格。Brocent 的 CIS Benchmark Audit 是一次性服务，按人数定价，以美元计，不含税。

Brocent CIS Microsoft 365 基准审计价目表

• 1 至 10 个用户： 450 美元
• 11 至 25 个用户： 990 美元
• 26 至 75 个用户： 1,800 美元
• 76 至 150 个用户： 2,900 美元
• 超过 150 个用户： 单独报价

每个档位的范围相同，只有人数影响价格。

每个档位都包含什么？

• 完整的 CIS Microsoft 365 Benchmark 审计，Level 1 和 Level 2，包括自动工具无法检查的人工控制项。
• 旨在用作回答常见网络保险问卷和 Cyber Essentials 问题的证据。我们不能承诺任何保险公司一定接受，因为每家保险公司自行决定。
• 带工作量估算、按优先级排序的路线图。
• 授予只读访问后 5 至 7 个工作日交付报告。
• 一次答疑沟通。

访问权限是只读的。由全局管理员一次性批准我们的审计应用，大约 15 分钟。无需共享管理员密码，事后可在 Entra ID 中移除该应用。检查读取的是配置，不会打开或复制 SharePoint 或 OneDrive 中的文档。审计由我们的 FINOS IT 安全审计器生成，人工控制项由工程师完成。

输出的样子可以看我们的示例报告（英文页面）。这是一个虚构客户 Acme Capital，14 名员工，评级 C，得分 58/100，24 项发现。重点是结构：按领域分组的发现、严重程度、受影响对象和修复步骤。

哪些不包含？

• 整改与加固。 审计后另行报价。每项变更都需书面批准、经过测试，并且可回退。
• Intune 部署、数据保护和备份。 同样在审计后报价。
• 任何合规承诺。 审计找出缺口，但不会让你符合某项标准，也不保证保险公司的决定。

当前优惠请见价格页面。审计没有免费版本。

有持续管理的选项吗？

有。管理选项为每用户每月 6 至 10 美元，包含监控和每季度一次复审。适合想在两次审计之间发现配置漂移，又不想签订完整管理型 IT 外包合同的机构。需要更全面的支持，请看我们的管理型IT外包服务。

一次性审计还是持续监控，该选哪个？

对几乎所有人来说，一次性审计是正确的起点。它给你一条基线、一份排好序的修复清单和一份有日期的记录。只有基线值得守护时，监控才有价值。

在这些情况下选一次性审计：从未做过结构化审查，续保或问卷即将到来，或需要为整改做预算。

在这些情况下选持续监控：主要缺口已修复，配置经常变动，或有多名管理员、容易产生漂移。

常见做法是先后两者都做：一次审计，整改，然后每季度复审。

从询价到拿到报告，中间发生什么？

了解步骤有助于判断周期和价格是否合理。

1. 确定范围。 你告知用户数、许可证和租户数。好的服务商会在开工前以书面确认范围。
2. 授权。 全局管理员批准只读应用，我们这边约需 15 分钟。
3. 采集与审查。 自动检查读取配置，然后工程师逐项处理需要人工判断的控制项，例如只能在管理中心查看的设置。
4. 报告。 你收到按领域分组的发现，含严重程度、受影响对象、修复步骤和排序后的路线图。
5. 答疑。 通过一次沟通讲解优先级，商定先修什么。

如果报价省掉了答疑或人工审查，价格偏低可能是有原因的。

常见问题

Microsoft 365 安全审计要多少钱？

取决于你买的是什么。自助扫描工具免费。公开的固定价审计约 450 美元到 7,000 欧元。咨询公司每天收 750 至 2,000 英镑。对 150 人以内的公司，Brocent 的 CIS 审计为 450 至 2,900 美元，不含税。

Microsoft 365 安全评估费用按用户算还是按天算？

两种模式都有。按用户计价常见于监控服务和按人数分档的审计，按天计价常见于咨询服务。无论选哪种，都要确保书面范围写明基准、租户数量和除外项。

有 Secure Score 就够了吗，还需要 CIS Microsoft 365 基准审计吗？

Secure Score 是有用的指标，但它覆盖的是微软的推荐操作，而不是完整的 CIS 基准，也检查不了人工控制项。CIS Microsoft 365 基准审计更进一步，并结合你的环境做出判断。把 Secure Score 当作起点。

固定价 Microsoft 365 审计通常不包含什么？

通常是整改、复测，有时还有设备或数据保护审查。请仔细看报价。我们的整改在审计后单独报价。

审计能满足我的保险公司或 Cyber Essentials 吗？

我们不能这样承诺。每家保险公司和评估机构自行决定。我们的报告旨在用作常见问题的证据，每个答案都附带有日期的导出，但是否接受由对方决定。

你们需要我的管理员密码吗？

不需要。由全局管理员一次性批准只读应用。这些权限无法更改你的租户，也无法读取邮件或文档内容，你可以随时移除该应用。

审计需要多长时间？

扫描本身只需几分钟。报告在授予只读访问后 5 至 7 个工作日交付，随后进行答疑沟通。

为什么同样的审计，有的服务商更便宜？

通常是范围不同：控制项更少、没有人工检查、一天而不是几天，或报告深度不足。用上面的比较问题就能查清。

先补上明显的缺口

付费审计之前，先把一个下午就能自己修好的项目做完：给每个用户开启 MFA、设置基础的条件访问策略、按Secure Score 的建议逐项处理。这样审计的时间才花在门户里看不到的问题上。

想了解你的租户该花多少钱？

数一数你的用户数，查看价格页面；如果超过 150 个用户或有多个租户，请联系我们获取报价。