肯特郡 Microsoft 365 安全审计：英国东南部企业的租户审计包含什么

先说结论： 肯特郡企业的 Microsoft 365 安全审计，是对贵公司租户配置做一次性审查，依据 CIS Microsoft 365 Benchmark 的 Level 1 与 Level 2，并包含需要人工判断的手动控制项。Brocent 以远程方式交付，按用户人数固定报价：1–10 位用户 US$450，76–150 位用户 US$2,900。获得只读权限后 5–7 个工作日出具报告。

如果您在肯特郡或英国东南部经营一家企业，正在搜索 Microsoft 365 安全审计，您多半想弄清三件事：有人能不能看一眼我的租户，告诉我问题在哪？要花多少钱？结果能不能用于网络保险续保、客户的供应商问卷，或者 Cyber Essentials 申请？

本文面向中小企业，说明租户审计包含什么、审计人员不在您办公室时如何交付、您需要做什么、要多久、费用多少，也会直接说明审计不能做什么。完整价目见 Microsoft 365 安全审计定价页，文末会再次提到。

什么是 Microsoft 365 安全审计，哪些肯特郡企业需要？

Microsoft 365 安全审计，是核对租户“实际配置”与“您以为的配置”之间差距的结构化审查。审计人员读取 Entra ID、Exchange Online、SharePoint、Teams、Defender 和 Purview 中的设置，对照公开基准，把每一处差距连同建议与工作量估算写下来。

它不是渗透测试，也不是对笔记本电脑的漏洞扫描。它只看一样东西：存放您的邮件、文件、聊天记录和身份的云端租户。对多数小企业来说，这个租户是最有价值的资产，因为其他系统都通过它登录。

来咨询的企业往往有几个共同点：用户从几人长到几十人；租户当年搭得很快，之后没人复查；然后出现了触发事件：

• 网络保险续保表格询问多因素认证、管理员账户和邮件防护；
• 较大的客户发来供应商安全问卷；
• 公司打算申请 Cyber Essentials，想知道 Microsoft 365 配置处于什么状态；
• 有员工账户被盗用或险些被盗用，负责人想知道会不会再发生。

遇到其中任何一种情况，审计都是合理的第一步，因为它给出一份按先后顺序排好的整改清单。若想了解身份方面的细节，可参阅Entra ID 安全审计专题文章。

审计人员不在肯特郡，审计还能做好吗？

可以，原因值得说清楚。Brocent 以远程方式交付审计。我们不声称在肯特郡或英国其他地方设有办公室或驻场团队，也不需要：租户审计通过 Microsoft 自己的接口读取配置，在哪里做都是同样的工作。

Brocent 如何服务英国客户——合同由哪家主体签署、现场上门如何通过经审核的本地工程师按公开派单费率安排——见 英国 IT 支持页面（英文页）；审计定价页的英国与澳大利亚专节（英文页）说明了 Cyber Essentials 就绪对照表和按客户时区安排说明会议的做法：Microsoft 365 安全审计定价。

关键在于访问权限和责任，具体做法如下：

• 只读权限。 贵公司的 Global Administrator（全局管理员）一次性同意一个只读的 Microsoft Graph 应用，约需 15 分钟。该应用读取配置，不读取邮件或文档内容。
• 可随时撤销。 随时可在 Entra ID 中移除该应用以撤回授权，之后不会有任何程序继续运行。
• 无需在设备上安装任何东西。 租户审计不会向笔记本电脑或手机部署软件。
• 汇报电话会议。 报告完成后，我们通过视频会议逐项讲解并回答问题，时间按您所在时区安排。

远程的代价也要直说：我们不会走进办公室查看实体安全，这本来也不在租户审计范围内。如果您需要有人到机房现场检查，这不是这项服务。

Microsoft 365 安全审计包含哪些内容？

各价格档位的审计范围相同。Brocent 依据 CIS Microsoft 365 Benchmark 的 Level 1 和 Level 2 进行审计，并包含手动控制项，也就是脚本读不出来、必须由人判断的那部分。

覆盖的领域有：

• Entra ID： 多因素认证覆盖率、条件访问策略、旧式身份验证、管理员角色及持有人数、来宾账户、紧急访问（break-glass）账户，以及应用授权设置。
• Exchange Online： 邮件流规则、外部转发、反钓鱼与反恶意软件策略、SPF/DKIM/DMARC 记录，以及共享邮箱的登录设置。
• Defender： 已启用的防护、已有许可但未配置的防护，以及告警与报告设置。
• Purview： 审计日志设置与保留期；在已有许可的情况下，包括敏感度标签和数据丢失防护。
• SharePoint 与 OneDrive： 外部共享设置、匿名链接和默认权限。
• Teams： 外部访问、来宾策略，以及影响谁能加入会议和共享内容的会议设置。

CIS 会发布并更新基准，所以版本很重要。CIS 于 2026 年 5 月发布了 Microsoft 365 Foundations Benchmark 7.0.0 版（见 CIS 的 2026 年 6 月基准更新，2026 年 10 月 28 日查阅）。委托审计时，请问清所依据的版本，并要求报告中注明版本。

为什么手动控制项很重要？

自动化工具擅长读取某项设置并与目标值比较，但对下面这类问题就弱得多：紧急访问账户是否真的受到保护和监控？持有管理员角色的人是否仍然需要？一条看上去没问题的条件访问策略，是否给某个用户组或应用留下了缺口？这些需要人结合上下文来判断。

因此，只做自动化检查的审计可能交出一份整齐的报告，却漏掉最关键的发现。比较不同报价时，请问对方是否包含手动控制项。Brocent 的审计在每个档位都包含。

审计要多长时间？

获得只读权限后 5–7 个工作日交付报告。计时从全局管理员完成授权开始，而不是从下单开始，所以最快的做法是一开始就和管理员或 IT 联系人约好 15 分钟。

流程很简单：

• 第 0 天： 确定价格档位，由全局管理员授予只读权限。
• 之后 5–7 个工作日： 我们收集配置，对照基准（包括手动控制项）审查并撰写报告。
• 交付时： 您收到附有优先级路线图和工作量估算的报告，并安排一次汇报电话会议。

由于工作是远程完成、周期按工作日计算，肯特郡的企业不会比其他地区等得更久。如果租户情况特殊，比如有多个租户或刚做过迁移，请在一开始告知，以便如实确定档位和时间。

肯特郡企业做 Microsoft 365 安全审计要多少钱？

Brocent 一次性定价，以美元计价，不含税，按租户的用户人数划分：

• 1–10 位用户： US$450
• 11–25 位用户： US$990
• 26–75 位用户： US$1,800
• 76–150 位用户： US$2,900
• 超过 150 位用户： 单独报价

这是一次性费用。小档位的范围不会缩水：10 人的公司与 150 人的公司得到同样的 CIS Level 1 和 Level 2 审查（含手动控制项）、同样的路线图和同样的汇报电话。价格不同，是因为更大的租户有更多用户、更多用户组，要读取的内容更多。

我们没有把上述金额换算成英镑，因为汇率会变动，换算后的数字很快就会过时。请以购买当天的汇率为准。

如果想了解各种购买审计方式的差别，可阅读我们的费用指南：Microsoft 365 安全审计要多少钱？，其中比较了从自助扫描工具到按日计费顾问的整个范围。简单说，价格差异主要在于谁来做判断工作，以及检查租户的深度。

持续审计方案多少钱，什么时候值得选？

还有第二种购买方式。如果您不想把审计当作一次性事件，可以选择持续审计方案：每位用户每月 US$6–10，含每季度一次复审。它适合租户经常变动的企业，比如不断有新员工、新应用和新共享安排的成长型团队。

对稳定的 12 人公司，一次性审计通常就够了。对每月都在增加应用和用户的 60 人公司，每季度复查能避免配置在不知不觉中又回到原样。

审计对网络保险、供应商问卷和 Cyber Essentials 有帮助吗？

这是最常引发咨询的问题，值得认真回答。报告包含网络保险问卷常问的 Microsoft 365 相关问题的证据：是否强制多因素认证、管理员账户如何保护、是否有邮件过滤和邮件认证记录、日志是否开启。报告的设计目的是作为证据使用。它不是保险公司或评审机构出具的声明，我们也不会说任何保险公司或客户一定会接受它。承保方和客户自行决定接受什么，各家表格也不一样。

Cyber Essentials 的情况类似。该计划的要求文件 3.3 版规定，云服务的身份验证必须始终使用多因素认证；IASME 在其2026 年 4 月更新中说明，在可以启用多因素认证的云服务上没有启用，将直接判定不通过（2026 年 10 月 28 日查阅）。IASME 不同文章给出的 4 月下旬生效日期略有出入，请以其最新指引确认适用于您申请的具体日期。

对使用 Microsoft 365 的企业来说，租户端的问题正是审计要检查的内容。审计提供关于 Microsoft 365 配置的证据，以及需要修改的清单。它不会授予 Cyber Essentials，也不保证您能通过。评审由认证机构进行，范围也不止 Microsoft 365，还包括设备、防火墙和补丁更新。

若想了解保险公司通常如何措辞，可看我们的网络保险要求与 IT 续保指南。该文是为香港企业撰写的，但其中有关 Microsoft 365 的问题大同小异。

最终能拿到什么？

无论是 8 位还是 140 位用户，交付物相同：

• 书面报告： 涵盖上述各领域，发现按风险排序。
• 带工作量估算的优先级路线图： 让您看清哪些改动十分钟就能完成，哪些需要立项。
• 常见问卷问题的证据： 取自租户，并按填表人容易找到对应设置的方式整理。
• 汇报电话会议： 逐项讲解发现，一起决定先做什么。

如果想在决定前先看报告长什么样，网站上有一份审计报告示例（英文页）。

报告之后会怎样？

由您决定。有些企业自己全部修复，因为路线图足够详细，内部人员或现有 IT 供应商可以直接照做。也有些企业请 Brocent 负责整改。复审条款很明确：由 Brocent 完成整改的，整改后复审已包含在内；由企业自行整改的，复审按所在档位的价格收费。

聘请任何服务商之前，应该问哪些问题？

无论选择 Brocent 还是别家，这些问题能把有用的审计和走过场的审计区分开来。我们自己也会这样问。

• 依据哪个基准、哪个版本？ 答案应当写明基准名称和版本。
• 是否包含手动控制项？ 如果回答是“我们跑一个扫描工具”，您买到的就是一份扫描报告。
• 需要什么权限，我能撤销吗？ 只读、一次性授权、可撤销、不读取邮件和文档内容，是合理的答案。
• 价格是否固定，哪些不在价格内？ 请专门问复审和整改。
• 我具体会收到什么？ 带工作量估算的优先级路线图，比一串未通过的检查项更有用。
• 有人会给我讲解吗？ 汇报电话会议是报告转化为决策的地方。

常见问题

肯特郡的 Microsoft 365 安全审计要多少钱？

Brocent 的固定价格为：1–10 位用户 US$450，11–25 位 US$990，26–75 位 US$1,800，76–150 位 US$2,900，均为一次性、不含税。超过 150 位用户的租户单独报价。各档位范围相同。

审计需要多长时间？

获得只读权限后 5–7 个工作日交付报告。授予权限对全局管理员来说约需 15 分钟。

需要到肯特郡的办公室现场吗？

不需要。审计以远程方式交付，通过只读的 Microsoft Graph 应用读取配置，不读取邮件或文档内容，您可随时在 Entra ID 中移除该应用。

做了审计就能通过 Cyber Essentials 吗？

没有任何审计能做出这种承诺。我们的报告设计用于作为 Microsoft 365 配置的证据，并列出需要修改的地方，例如对云服务强制多因素认证。Cyber Essentials 另行评审，范围还包括设备、防火墙和更新。

我的网络保险公司会接受这份报告吗？

我们无法回答，任何人也无法替保险公司作答。报告包含网络保险问卷常问的 Microsoft 365 问题的证据，但具体保险公司需要什么由其自行决定，请先看清贵公司的表格要求。

这与 Microsoft Secure Score 有什么区别？

Secure Score 是 Microsoft 依据自家建议操作给出的内置评分。本审计依据 CIS Microsoft 365 Benchmark 的 Level 1 和 Level 2，包含需要人工判断的手动控制项，并附带优先级路线图和汇报电话会议。

你们能修复发现的问题吗？

可以，如果您需要。整改与审计分开。由 Brocent 完成整改的，整改后复审已包含；企业自行整改的，复审按档位价格收费。

有持续性的方案吗？

有。持续审计方案为每位用户每月 US$6–10，含每季度一次复审，适合经常变动的租户。

肯特郡企业的下一步

先确认两个数字：租户有多少用户，以及谁是全局管理员。有了这两项，就可以在定价页选定档位，约好 15 分钟的授权，之后 5–7 个工作日内收到报告。

如果想先聊一聊，请联系我们，告知大致人数以及触发需求的原因，无论是保险续保、客户问卷还是 Cyber Essentials，我们会告诉您适用的档位和需要准备的事项。