Microsoft 365 安全审计固定价格还是按小时计费？怎样在签约前把范围谈清楚

一句话结论： 买 Microsoft 365 安全审计，固定价格通常更稳妥，因为工作量由租户本身的规模决定，而不是由审计人员“发现了多少问题”决定。Brocent 按人数定价，一次性、不含税，1–10 个用户 450 美元起，76–150 个用户 2,900 美元，各档范围完全相同。按小时计费更适合“修复”，不适合“检查”。

如果你正在比较 Microsoft 365 安全审计的固定价格和按小时计费的报价，大概已经发现这些数字很难放在一起比。有的服务商报日费，有的只写“起价”而没有范围，还有的方案书大半篇幅在介绍自己的方法论。本文要做的，是把这些报价变成你能真正比较的东西。

这是一篇采购指南，不是价目表。完整价格请看 Microsoft 365 安全审计定价页，决定价格高低的因素可以参考另一篇Microsoft 365 安全审计费用指南。这里只回答一个更窄的问题：价格应该怎样设计结构，签字之前又必须确认哪些事项？

Microsoft 365 安全审计到底买到了什么？

租户安全审计，是对你的 Microsoft 365 环境配置做一次性检查。审计人员读取 Entra ID、Defender、Purview、Exchange Online、SharePoint 和 Teams 的设置，对照公开的基线，把每一处差距连同建议和工作量估算写成报告。它不会读取你的邮件和文件内容，也不是渗透测试。

比起工时，交付物更重要。你买的是一份可以照着行动、必要时也能在回答保险公司或客户的问卷、Cyber Essentials 问题集时用作证据的报告。如果报价只写工时、不写交付物，你就无从判断这些工时换来了什么。

这就是第一条界定规则：为产出定价，而不是为投入定价。 请问清楚报告包含什么内容、对照哪一套基线，建议是否附带工作量估算和优先级排序。

安全审计应该选固定价格还是按小时计费？

对审计本身，大多数情况下固定价格更好；对审计之后的整改，往往并非如此。两者容易混淆，是因为同一家服务商可能两种模式都提供。

固定价格与按小时计费的比较

• 可预测性： 固定价格在开工前就确定。按小时计费在最后一张发票出来之前都只是估算，而审计恰恰是“发现的比预想的多”很容易成为加价理由的那类工作。
• 激励： 固定价格下，审计方的动力是高效交付约定的报告。按小时计费时，认真的审计员和拖沓的审计员在发票上可能看不出区别，你也很难判断自己请到的是哪一种。
• 范围控制： 固定价格迫使双方把范围写下来。按小时计费则容易让范围保持模糊，起初显得灵活，直到你们开始争论某个领域是否“包含在内”。
• 适合未知情况： 工作确实无法事先界定时，按小时更合适，例如迁移失败后梳理租户，或调查疑似入侵。普通租户的配置审计不属于这种问题。
• 适合整改： 整改取决于发现了什么、涉及多少设备或用户，以及你的变更流程允许什么，很难事先固定，所以通常按单项工作另行报价。

多数买家最终想要的模式是：审计用固定价格，整改另行报价，这样每个决定都可以在拿到上一步结果后再做。

Brocent 为什么按人数给 Microsoft 365 审计定价？

因为人数才是真正推动工作量的因素。8 个用户的租户和 120 个用户的租户，对照的是同一套控制项，但后者有更多账号、邮箱、站点、访客和登录记录需要读取和核对。用户数是一个合理的代理指标，而且在联系任何人之前你就能数出来。

价格档位是公开的。一次性的 Microsoft 365 CIS 基准审计：1–10 个用户 450 美元，11–25 个用户 990 美元，26–75 个用户 1,800 美元，76–150 个用户 2,900 美元，均以美元计价、不含税。超过 150 个用户的租户另行报价。各档范围相同：覆盖 CIS Microsoft 365 基准第 1 级和第 2 级，包括需要人工判断的控制项，涉及 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams。你还会得到针对网络保险问卷和 Cyber Essentials 常见问题的证据材料、带工作量估算的优先级路线图、一次说明会议，以及在授予只读访问权限后 5–7 个工作日内交付的报告。

价格与租户“有多糟”无关。审计人员找到三个问题还是三十个问题，价格都是你拿到的那一个。

接受任何报价之前，应当确认哪些事项？

无论采用哪种计价模式，下面这些问题能把含糊的报价变成可比较的报价。请用书面形式向每家服务商提出同样的问题。

1. 对照哪套基线？ “最佳实践”不是基线。请问清楚审计对照哪一份基准、哪几个级别，是否包含人工控制项。有些自动化工具会跳过无法通过接口读取的控制项。
2. 涉及哪些产品？ 只覆盖身份而不含 Exchange、SharePoint 或 Teams 的检查，与全部覆盖的检查是两种不同的产品。
3. 如何授权访问？ 最安全的做法是只读应用，由全局管理员同意一次，事后你可以移除。请问它能读取什么。范围得当的审计读取的是配置，而不是邮件或文件内容。
4. 有几个租户、多少用户？ 如果你有多个租户或大量访客账号，请在报价前说明，我们会以书面确认范围。
5. 周期多长？ 请对方给出从“授予访问权限”起算的工作日数，而不是从“签约”起算。
6. 报告之后怎么办？ 有没有说明会议？是否包含复测？如果你自己整改，复测要多少钱？
7. 整改由谁做，是否单独计价？ 一次便宜的审计如果只是昂贵整改合同的前奏，就并不便宜。

固定价格通常不包含什么？

把边界说清楚很有必要，因为意外往往就出在这里。

整改。 发现差距和修复差距是两项不同的工作。在 Brocent，审计和整改是分开的。加固工作按单项报价，因为它取决于发现的问题和你的环境。你可以拿着路线图自己做、交给其他服务商，或者请我们来做。

设备审计。 Intune 和终端设备检查是与租户配置审计不同的另一份报告。如果你也想检查设备，请明确提出，不要默认它包含在租户审计里。

复测。 整改之后的再次审计，在由 Brocent 完成整改时包含在内；如果是内部自行整改，则按对应档位的价格收费。这条规则公平，但请确认你接触的每家服务商都有明确的规则。

认证。 审计既不授予也不保证 Cyber Essentials 或任何其他认证，也没有谁能替保险公司承诺它会接受什么。我们的报告旨在作为你 Microsoft 365 配置的证据使用，保险公司或评估员如何判定，由他们决定。

超大或特殊租户。 超过 150 个用户时由报价取代公开档位，多租户环境则单独评估范围。这很正常，不必起疑，只要报价附带同样书面的范围说明。

什么情况下按小时计费才是正确选择？

在以下几种情形中，按小时或工时加材料计费是合适的工具：

• 你已经知道问题所在，需要专家来修复，例如合并之后整理条件访问策略。
• 你在调查正在发生的事情，例如可疑登录或没人认识的邮箱规则，范围会随着了解的深入而变化。
• 你想要按持续周期获得顾问建议，而不是一份交付物。

这些场景里你买的是时间和判断，价目表是诚实的做法。错误在于把这种模式用在有边界、可重复的检查上，然后对没有上限的总价感到意外。

固定价格与持续服务选项怎么比较？

如果你的租户经常变化，一次审计只是一张快照。员工入职离职，新应用被接入，设置慢慢漂移。Brocent 还提供按用户每月 6–10 美元的持续选项，包含每季度一次复审，让基线被重新检查，而不是被想当然。

两者的选择很简单。一次性审计适合某个时间点的需求，例如续保、问卷或首次建立基线；持续选项适合没人有时间一直盯着的租户。如果小团队不需要周期性复查，一次性固定价格更合适。

一个合理的采购流程是什么样的？

1. 统计已分配许可的用户数，并记下额外的租户或大量访客账号。
2. 想清楚触发审计的原因：续保、客户问卷、Cyber Essentials、安全事件，或者一般性检查。
3. 以书面形式把上面七个界定问题抛给每家服务商。
4. 先比较交付物，再比较价格。
5. 确定谁来做整改，并单独报价。
6. 与全局管理员安排一次性授权。我们的审计大约只需 15 分钟。

常见问题

固定价格的 Microsoft 365 安全审计比按小时计费便宜吗？

不一定更便宜，但更可预测。更大的好处是你在开工前就知道总价。

Brocent 的 Microsoft 365 安全审计多少钱？

价格取决于人数，一次性、以美元计价、不含税：1–10 个用户 450 美元，11–25 个用户 990 美元，26–75 个用户 1,800 美元，76–150 个用户 2,900 美元。超过 150 个用户另行报价。当前价目请见定价页。

发现很多问题，价格会变吗？

不会。审计价格对应档位固定，与租户实际情况无关。修复问题是另一项工作，按单项报价。

审计需要多长时间？

授予只读访问权限后 5–7 个工作日交付报告。全局管理员授权大约需要 15 分钟。

包含复测吗？

由 Brocent 完成整改时，整改后的复测包含在内；内部自行整改后，按对应档位价格收费。

审计会读取我们的邮件和文件吗？

不会。只读的 Microsoft Graph 应用读取的是配置，从不读取邮件或文件内容。审计结束后，你可以在 Entra ID 中移除该应用。

审计对网络保险或 Cyber Essentials 有帮助吗？

报告旨在为网络保险问卷和 Cyber Essentials 常见问题提供证据。它不授予也不保证认证，保险公司是否接受由其自行决定。相关背景可参阅我们的网络保险要求指南。

下一步

先算出你的人数，把上面七个界定问题写下来，发给候选名单上的每家服务商。如果其中有 Brocent，Microsoft 365 安全审计定价页会显示适合你规模的档位，示例报告（英文页）可以让你在决定前先看到交付物的样子。如果想先聊聊，请联系我们，告诉我们大致人数和触发审计的原因，我们会说明适用的档位以及需要准备什么。