香港 Microsoft 365 安全审计：范围、价格与周期

一句话结论： 香港 Microsoft 365 安全审计是一次性的只读审查，对照 CIS Microsoft 365 基准检查您租户的配置，由 Brocent 从观塘办公室交付，价格按人数固定：1–10 人 US$450，最高 76–150 人 US$2,900。您的全局管理员授权一次，报告和工作簿在 5–7 个工作日后送达。

搜索香港 Microsoft 365 安全审计的人，通常处于两种情况之一。要么是公司外部有人问了一个您暂时答不上来的问题，例如保险公司、客户的采购部门或审计师；要么是发生了某件事，让您开始怀疑每天早上大家登录的那个租户，是否真的像您以为的那样设置妥当。两种情况下，您需要的都是一家能看一眼租户、直白地告诉您哪里有问题、并在您承诺之前给出价格的香港 IT 公司。

本文说明香港企业如何购买这样一项服务：向本地 IT 公司采购一次性的 Microsoft 365 租户安全审计，范围、周期和价格全部公开。本文也会说明这项审计不是什么，免得有人需要的是渗透测试或持续监控，却买了一次租户审查。完整价目表和常见问题在 Microsoft 365 安全审计定价页；本文是写给香港采购方的操作指南。

香港哪些企业会要求做 Microsoft 365 安全审计？

联系我们的公司有一个一致的规律，而且与行业关系不大，与触发事件有关。

持牌金融机构。 持有证监会牌照的资产管理公司、经纪行和企业融资精品行，被合规部门或外部审计师要求证明电邮、文件和身份受到保护。这三样东西都在 Microsoft 365 里。
保险经纪与代理。 网络保险续保表格寄到，上面问多重身份验证、管理员账户和邮件过滤，办公室里没有人知道现状的答案。
非政府组织和协会。 资助方的尽职调查问卷问会员、捐赠者或受助人数据如何管控。租户是多年前由一位早已离职的人设置的。我们的香港非营利机构复合案例描述了这类审查通常会发现什么。
贸易与采购公司。 一封以假乱真的电邮让供应商货款打到了错误的银行账户，或者差一点就打过去了，老板想知道邮箱是不是问题所在。
海外集团的区域办公室。 总部希望在收购、合并或部署 Copilot 之前，对香港租户或共享租户中的香港部分有一个独立的判断。

这些买家的共同点是：他们不需要一套安全计划。他们需要的是一份关于某个具体系统的、按顺序排列的问题清单，由一个不靠卖许可证赚钱的人来写，并且在已知的天数内、以已知的价格拿到。

香港 Microsoft 365 安全审计到底检查什么？

每个价格档的范围完全相同，并且写在我们公开的示例报告里。Brocent 对照 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 审计租户，包括自动化扫描器会跳过的人工控制项，并将发现项与 Microsoft Secure Score 和 ScubaGear 基线做交叉对照。审查的区域包括：

Entra ID。 用户与来宾、MFA 注册情况及使用的方法、Conditional Access 策略、特权角色与 Privileged Identity Management、应用注册与同意设置、登录风险。
Exchange Online。 邮件流规则、外部转发、SMTP AUTH、邮箱审计、反钓鱼策略，以及每个已接受域名的 SPF、DKIM 和 DMARC。
Microsoft Defender。 Defender for Office 365 和 Defender for Business 的门户配置：哪些已授权、哪些已启用、哪些还停留在默认值。
SharePoint Online 与 OneDrive。 租户和站点的共享设置、链接默认值、来宾过期策略，以及敏感站点的处理方式。
Microsoft Teams。 外部访问、来宾访问和会议策略。
Microsoft Purview。 数据丢失防护、保留策略、敏感度标签和审计日志保留期。
Secure Score 与 ScubaGear。 两套结果都会收录，让您看到各框架在哪些地方一致、哪些地方需要人工判断。
Intune。 在本报告中只做摘要；完整的设备发现项属于单独的 Intune 设备审计。

明确列为范围之外并写进报告的内容：邮箱和文档的内容（审计只读取配置和元数据）、渗透测试和钓鱼演练、Microsoft 365 以外的第三方 SaaS 应用（但其在 Entra ID 中的 OAuth 授权除外），以及物理安全和本地网络安全。

如果想在购买前先看看交付物长什么样，Microsoft 365 安全审计示例报告（英文页）以一家虚构的 14 人公司为例，展示了每一个章节：执行摘要、态势总览、附带观察、影响、整改和回退步骤的发现项，以及分阶段路线图。同样这十二个区域的自查版本在我们的 Microsoft 365 安全审计清单里，在委托任何服务之前先过一遍是明智的做法。

香港的 Microsoft 365 安全审计需要多长时间？

公开的周期是 5–7 个工作日，从授予只读访问权限的那一刻起算。每位客户的步骤相同：

一次简短的范围确认电话。 十五到二十分钟，确认人数档位、已接受域名的数量、是否在用 Intune，以及报告交给谁。
只读授权。 您的一位全局管理员批准一个只读的 Microsoft Graph 应用。大约十五分钟，任何设备上都不安装东西，您的租户里也不会创建任何 Brocent 账户或密码。随时可以通过移除该应用撤销授权。
采集与核实。 配置先自动读取，再在第二个日期重新读取一遍，报告因此能写明每个数值是在哪一天核实的。没有任何 API 暴露的设置，由我们与您的 IT 联系人通过屏幕共享在管理门户中一起查看。
报告与工作簿。 您会收到注明日期的 PDF 报告和一份 Excel 工作簿，列出每个发现项及其严重程度、工作量估计、阶段和证据引用。
讲解会议。 我们按优先级逐项讲解发现项，可以通过视频会议，也可以在我们观塘的办公室进行，并回答问题。讲解会议不附带任何义务。

就此而言，香港公众假期不算工作日，而且计时从授权开始，不是从范围确认电话开始，所以需要在董事会会议或续保截止日前拿到报告的公司，应该提前整整两周授予访问权限。

费用多少？为什么按人数定价？

价格固定且公开，只取决于租户中持牌用户的数量：

1–10 人： US$450
11–25 人： US$990
26–75 人： US$1,800
76–150 人： US$2,900
150 人以上： 范围确认电话后报价

人数是工作量最诚实的代理指标。一个 120 人的租户有更多管理员要审查、更多来宾、更多 Conditional Access 例外、更多带有各自共享设置的 SharePoint 站点，以及更多需要逐条阅读规则的邮箱。小租户的范围不会缩水，缩水的只是要看的东西的数量。

价格以美元标示，因为 Brocent 在所服务的每个市场都以此定价。如果您需要由我们的香港实体开具港币发票，或者对财务部门偏好的结算方式有疑问，请在范围确认电话上问顾问，不要自行换算。

有两样东西刻意不包含在固定价格里。第一是整改：审计会告诉您修什么、怎么修，并附回退步骤，但修复本身是另一项工作，在您决定要处理哪些发现项之后按租户单独报价。第二是任何形式的持续监控。一次性审计是租户在某个日期的一张照片。之后要不要有人持续盯着，是报告帮助您做的决定，不是替您做的决定。我们的配套文章如何界定 Microsoft 365 安全审计的范围而不留意外解释了我们为什么这样定价，而不是按小时计费。

这项审计不是什么

香港的买家经常把"安全审计"、"IT 审计"和"渗透测试"混用，要求提供证据的人有时也一样。购买之前，先弄清楚对方要的到底是哪一种。

Microsoft 365 安全审计与其他选项的比较

Microsoft 365 安全审计对照公开基准读取一个云租户的配置，并报告差距。它不会尝试入侵。当问题是"我们的 Microsoft 365 设置得安全吗"时，它是正确答案。
渗透测试在约定的范围和时间内尝试利用系统的漏洞，通常针对网页应用、对外服务或内部网络。当客户、监管机构或保险公司明确要求做渗透测试时，它才是正确答案；香港市场里这个词的含义与租户审查相去甚远。
漏洞扫描寻找服务器、防火墙和设备上的已知弱点。它完全不会告诉您谁可以不经 MFA 登录您的电邮。
更全面的 IT 评估与审计覆盖整个 IT 环境：网络、服务器、终端、备份、流程，Microsoft 365 租户只是其中一个组成部分。如果租户只是问题的一部分，Brocent 的 IT 评估与审计服务才是正确的起点。
托管安全监控是持续和周期性的。它是您在审计之后，如果发现项和您的风险承受度都说应该买时才买的东西。

如果保险公司或客户要求提供"一份安全审计"，而您不确定他们指的是以上哪一种，把问题的原文发给我们。在界定范围之前把这点弄清楚不花一分钱，还能避免买错东西。

这对《个人资料（私隐）条例》和问卷有什么帮助？

香港的 Microsoft 365 租户通常都存有个人资料：员工记录、客户联系方式，在某些行业还有敏感得多的材料。《个人资料（私隐）条例》要求资料使用者采取切实可行的步骤保护这些资料。对存放这些资料的系统的配置做一次注明日期的独立审查，附上发现项和证据，是能够证明已采取这些步骤的合理组成部分。

报告的设计目的就是在这类对话中用作证据：面对您自己的合规部门、保险公司的问卷、客户的供应商安全审查或外部审计师。它帮助您履行《个人资料（私隐）条例》下的义务，并回答别人向您提出的问题。它不认证任何事情，我们也不会说任何监管机构、保险公司或认证计划接受它，因为那是他们的决定，不是我们的。我们可以说的是，工作簿列出了每一项控制、读到的数值、来源证据文件和日期，而这正是审阅者形成自己判断所需要的东西。

拿到报告之后会怎样？

大多数香港公司会做以下三件事之一，报告的写法对三种都有支持。

自行修复严重和高风险发现项。 每个发现项都附带编号的整改步骤、回退方法，以及员工会察觉到什么的说明。一位称职的内部管理员或您现有的 IT 供应商可以逐项处理。工作簿就是跟踪表。
委托 Brocent 做加固。 在您选定要处理的发现项之后按项目报价，因为工作量完全取决于发现了什么。报告中的阶段计划就是自然的工作范围。
把租户纳入管理型IT外包服务方案。 如果审查显示没有人日常负责这个租户，持续的归属权就是解决办法：把 MFA 和 Conditional Access 作为策略强制执行、入职离职当天处理、监视配置漂移、按计划复查态势。Brocent 面向香港的管理型IT服务方案按用户定价并公开，报价器显示您这个人数的香港价格，响应目标在 SLA 页面。

三种做法都不是预设的。相当一部分客户做完审计，与现有供应商一起修掉最重要的几项，一年后再回来做第二次审查。这是一个完全合理的结果。

为什么要向香港的 IT 公司购买？

读取一个云租户并不需要工程师身在香港，我们也以同样的方式远程为其他市场的客户交付这项审计。本地供应商增加的是实际的便利。

讲解会议可以在您的办公室或我们的办公室进行，用粤语、普通话或英语。顾问明白证监会持牌机构的合规主任或香港保险公司的续保表格到底在问什么。发票和合同可以通过我们的香港实体办理。如果审计之后需要做加固，或者需要现场处理设备，上门的是同一支团队，从观塘出发覆盖九龙、港岛和新界。Brocent 自 2007 年起在亚洲运营，集团总部设于新加坡，香港办公室位于观塘骏业街 62 号京贸中心，有人常驻。香港 IT 支持页面介绍了我们在本地提供的其他服务。