Microsoft 365 安全评估报告应该包含什么？以我们的示例报告逐节解读

一句话结论： 一份好的 Microsoft 365 安全评估报告，应有非技术负责人也能据此决策的摘要、清晰的范围与方法、说明“看到了什么、为什么重要、怎么修、怎么撤销”的发现项，以及分阶段的优先级路线图。Brocent 公开了一份以虚构客户制作的示例报告，你可以在采购前拿它来对照任何服务商的报告。

搜索 Microsoft 365 安全评估报告的人，多半只想知道一件事：最后到底会交给我什么？服务商往往大谈流程，却很少展示成果。这让人很难分辨一份有用的报告和一份冗长的设置导出文件。

我们公开了一份针对虚构公司的 Microsoft 365 安全审计示例报告（英文页），本文逐节解读它。文中引用的内容全部为虚构，用来展示结构和深度：客户、域名、用户和每个数字都是编造的，不包含任何真实租户数据。如果你还在挑选服务商，这份解读也可以当作检查清单；真实服务的费用请见 Microsoft 365 安全审计定价页。

Microsoft 365 安全评估报告应该包含什么？

至少包含六项：

1. 一页以内的执行摘要。
2. 范围与方法的说明，包括所用框架及版本。
3. 带严重程度、工作量和建议顺序的发现项清单。
4. 每个发现项都有足够细节，不用猜就能修复。
5. 可以交给第三方的证据。
6. 分阶段的整改路线图。

示例报告共 27 页，正是这个结构。下文按顺序展开。

报告的开头是什么样？

开头几页是文件控制：编号、版本、保密级别、数据采集、核实和出具的日期，以及编制人和复核人。这听起来官僚，却能回答日后很重要的问题。保险公司问配置是什么时候读取的，或者有人问你手里的是不是最终版本，答案就在第二页。

注意两个细节。第一，“数据采集”和“发现项核实”之间有时间差。示例中标为“已核实”的发现项，在采集两天后、出具前又从租户重新读取了一遍，这样可以避免审计期间设置发生变化。第二，保密声明。一份列出你弱点的报告，应当说明谁可以查看。

执行摘要是什么样子？

一页，写给批准工作、但不看管理后台的人。示例中包含：

• 一个带等级的整体安全评分， 并排列出 CIS 基准通过率、Microsoft Secure Score 和 MFA 覆盖率。
• 按严重程度统计的发现数量， 一眼看出是以严重问题为主，还是以日常整理为主。
• 用平实语言写的五大风险， 每项附一句“为什么重要”，并指向对应发现项。
• 做得好的地方， 这点很容易被省略，却很重要，它告诉你哪些东西不要动。
• 一项待决事项， 示例中是一个短期的第一阶段工作，用来关闭严重项。

检验执行摘要的标准是：读完之后，负责人能否说出自己被要求批准什么。如果摘要只是一段强调网络安全重要性的文字，它就没有发挥作用。

范围与方法应该怎样表述？

直接了当，列出范围内和范围外两份清单。示例中，范围内有 Entra ID、Exchange Online、Defender、SharePoint 与 OneDrive、Teams、Purview、Secure Score 以及 Intune 摘要；范围外有邮箱与文档内容、渗透测试、钓鱼演练、Microsoft 365 以外的第三方应用和物理安全。

它还写明了访问方式：由全局管理员同意的只读审计应用，租户中不留顾问的账号和密码。谨慎的 IT 负责人或董事，往往最先找的就是这句话。

接着，框架版本单独列表。示例引用了 CIS Microsoft 365 Foundations Benchmark v7.0.0 的第 1 级和第 2 级、CISA SCuBA 基线、带日期的 Microsoft Secure Score 以及 Cyber Essentials v3.3。版本号不是装饰。只写“符合 CIS”而没有版本的报告，既无法复现，也无法与明年的结果比较。

最后，用三套量表说明后面所有内容的读法：严重程度及对应的修复时限，工作量从不到半天到三天以上，置信度——从租户读取并核实、与客户确认，或在没有接口可读时人工复核。人工控制项恰恰是纯自动化扫描会漏掉的，所以报告应当说明哪些发现来自人工查看界面。

安全态势概览展示什么？

在细节之前，先给出结果汇总。示例中，CIS 结果按章节拆分，涵盖管理中心、Defender、Purview、Intune、Entra、Exchange、SharePoint、Teams 和 Fabric，并给出通过、未通过、人工复核和不适用的数量。旁边是按类别与同类组织对比的 Secure Score，以及 SCuBA 基线按产品的结果。

三个独立视角胜过一个，因为它们会有益地互相“不一致”。同一个租户在 Secure Score 和 CIS 控制项上的表现可能不同，因为 Secure Score 并未衡量基准中的所有内容。三者并列，就能看出哪里是扎实的，哪里取决于你用哪把尺子。

一个好的发现项是什么样？

这部分决定报告能不能用。示例中每个发现项都是版式一致的卡片：

• 标题、严重程度、工作量、阶段和置信度， 便于排序和规划。
• 框架标签， 显示对应的 CIS 建议、SCuBA 策略、Cyber Essentials 要求和 Secure Score 动作。短横线表示没有直接对应。
• 观察， 具体看到了什么，写出名称和设置，而不是泛泛而谈。
• 影响， 从攻击者实际路径的角度说明为什么重要。
• 整改， 按实施顺序编号的步骤。
• 回滚， 万一出问题，如何撤销改动。
• 用户影响， 员工会注意到什么。
• 证据引用， 指向附录中的导出文件。

以示例中的第一个发现项为例：一条要求所有用户启用 MFA 的策略，排除了一个组，而该组里有一个管理员应急账号和一个扫描仪账号。卡片写明是哪个组、哪些账号（其中一个是未登记任何 MFA 方法的管理员）、攻击者可以拿它做什么、四个修复步骤、如何撤销，以及改打印机配置要花多久。读者不需要再打电话追问，就能直接行动。

回滚和用户影响这两个框，是多数报告会省掉的，却正是让忙碌的 IT 负责人愿意在周二改动生产设置的原因。

Exchange Online 的发现项如何处理？

与其他部分一样，但邮件相关的发现值得单独提，因为小企业的多数安全事件始于邮件。示例中，Exchange Online 的发现包括：一条转发到外部的邮箱规则、仅处于监控模式的 DMARC 策略、没有覆盖任何用户的反钓鱼仿冒保护，以及未启用外部发件人标记。SMTP AUTH 和旧式身份验证出现在身份部分，因为它们会绕过条件访问。

这些都是 Exchange Online 安全评估应当包含的条目。如果某家服务商的示例或报告里没有邮件流、转发、身份验证记录和审核日志方面的发现，那无论标题怎么写，它都不是 Exchange 评估。

证据包是什么，给谁用？

示例中有一节重述了网络保险续保问卷常问的问题（是否对所有用户和管理员强制 MFA、是否禁用旧式身份验证、SPF、DKIM 和 DMARC 是否到位、日志保留多久），并给出现有证据能支持的答案，以及背后导出文件的引用。

有一点必须说明：这是证据，不是批准。我们的报告旨在作为证据使用，保险公司或 Cyber Essentials 评估员是否接受，完全由他们决定。同一节对缺口也很坦诚：凡是超出审计范围的事项，就如实写明，而不去声称覆盖。关于保险方面的更多内容，请参阅我们的网络保险要求指南。

整改路线图应当做什么？

把发现项变成有时间的计划。示例把工作分成四个阶段：前两周处理严重项，到第 60 天做加固，到第 120 天做治理，然后进入季度循环。每个阶段列出涵盖的发现项、以天计的工作量估算（持续的季度阶段除外）和成功标准，例如没有未启用 MFA 的账号，或七天内没有旧式身份验证登录。

工作量估算让路线图可以编预算。一份有五十个发现项却没有工作量的清单，没办法变成项目计划。

附录里应该有什么？

支撑发现项的原始材料：带状态和排除项的条件访问策略、特权角色分配、按域名列出的邮件身份验证记录、经过化名处理的 MFA 覆盖情况、证据索引、术语表，以及方法和免责声明页。示例还附带一份工作簿，方便对发现项做筛选和分派。有了附录，另一位工程师才能核对报告所言是否属实。

怎样评判任何一份安全评估报告？

无论报告出自谁手，都可以用下面的清单快速筛查：

• 范围是否写明， 并有范围外清单？
• 是否写明框架版本？
• 每个发现项是否说明了看到了什么， 而不只是该做什么？
• 是否有修复步骤、回滚和用户影响？
• 是否有工作量估算和优先级顺序？
• 是否清楚哪些结果经过核实、哪些来自人工复核？
• 别人能否凭导出的证据复核？
• 是否避免夸大， 也就是声称合规、认证或保险公司认可？

一份报告如果有两项以上不合格，它更接近扫描导出，而不是评估。

常见问题

Microsoft 365 安全审计报告里有什么？

执行摘要、范围与方法、态势概览、带严重程度、工作量、修复步骤和回滚的单项发现、针对常见保险与 Cyber Essentials 问题的证据、分阶段路线图，以及附有支撑导出文件的附录。

报告一般有多长？

Brocent 的示例针对一家小型虚构公司，共 27 页，另附一份工作簿。篇幅取决于租户，但主体应当是发现项，而不是前言。

示例报告是真实客户数据吗？

不是。示例中的客户、域名、用户、设备和每个数字都是虚构的，用来展示结构和深度，不包含任何真实租户数据。

多久能拿到报告？

在授予只读访问权限后 5–7 个工作日交付。授权步骤由全局管理员完成，大约需要 15 分钟。

报告会读取我们的邮件或文档吗？

不会。审计通过只读的 Microsoft Graph 应用读取配置，从不读取邮件或文档内容。之后你可以在 Entra ID 中移除该应用。

审计要多少钱？

一次性、不含税、以美元计价，按人数定档：1–10 个用户 450 美元，76–150 个用户 2,900 美元，超过 150 个用户另行报价。各档范围相同。价目请见定价页，比较报价的方法请参阅固定价格还是按小时计费。

报告能保证通过 Cyber Essentials 或保险审批吗？

不能。它旨在作为证据使用，并列出需要修改的事项。认证与保险的决定权在评估员和保险公司。

下一步

打开示例报告（英文页），读一遍执行摘要和一张发现项卡片，然后问问你正在考虑的服务商能否拿出同等水平的成果。Microsoft 365 安全审计定价页会显示适合你人数的档位。如果想先聊聊，请联系我们，告诉我们大致人数和触发审计的原因，我们会说明适用的档位以及需要准备什么。