Microsoft 365 安全审查、审计与评估的区别

简而言之： Microsoft 365 的安全审查、安全审计和安全评估，通常是同一件事：检查你的租户配置得如何。不同服务商之间真正的差别，在于用哪套基准、手动控制项有没有人逐项检查，以及你最终拿到什么证据。问清这三点，就不会为同一件事付两次钱。

你向三家服务商咨询 Microsoft 365 的信息安全服务。一家提供“安全审查”，一家提供“安全审计”，一家提供“安全评估”。这三个名称听起来像三种深度，很容易以为审查是轻量版、审计是重量版。实际上，它们往往是同一件工作换了个名字，有时“审查”甚至比“审计”更深入。

本文说明这三个词通常意味着什么、租户安全审查和身份安全审查各覆盖哪些范围、如何比较不同报价的范围和证据，以及哪些问题能让你看清自己究竟在买什么。

Microsoft 365 的安全审查、安全审计和安全评估是同一回事吗？

在实际操作中，大多数情况下是。三者通常都指同一项核心工作：有人读取你 Microsoft 365 租户的配置，对照某套基准，然后告诉你哪里有问题、应该先修什么。三者都不是渗透测试，也都不会阅读你的邮件。

在博迅，这三个名称指的是同一项服务：同一个范围，按员工人数定额收费。我们不会以较低价格出售轻量的“审查”，再以较高价格出售厚重的“审计”。所以下文是在描述这些词在市场上的惯常用法，方便你冷静地阅读其他服务商的方案。

这三个词通常各自意味着什么？

即使底层工作相似，这几个词带给人的期望也不同。

安全审查

“审查”通常表示由专家查看你的配置并提出建议。它可能依据公开的基准，也可能只是审查人员自己的清单。成果可以是一份简短的建议清单，也可以是完整的报告。审查的风险在于范围由审查人员自行决定，所以同一个租户的两次审查，覆盖的内容可能不同。

安全审计

“审计”通常表示对照某个指定标准逐项检查，并为每个结果提供证据。在 Microsoft 365 领域，这个标准最常见的是 CIS Microsoft 365 Foundations Benchmark。每个控制项会标记为通过、未通过或不适用，报告可以出示给第三方。这个词听起来严谨，但在这里并不是受监管的术语：这种“审计”不同于法定审计或财务审计，也不会因此获得任何认证。

安全评估

“评估”通常表示对风险作出判断。除了通过与否，它还会说明哪些发现对你的业务最重要，以及应按什么顺序修复。许多评估与审计使用同一套基准，再加上优先级排序。

有用的结论是：一份好的工作成果同时具备这三种特质。它依据指定的基准（审计），由人阅读并作出判断（审查），并按风险和工作量为发现排序（评估）。

什么是租户安全审查？

租户安全审查查看的是整个 Microsoft 365 租户，而不是单一服务。范围界定得当的审查，会覆盖三个领域。

身份（Entra ID）： MFA、条件访问、特权角色、旧式登录方式、应用同意和来宾账户。
邮件（Exchange Online 和 Defender for Office 365）： SPF、DKIM 和 DMARC、自动转发、收件箱规则、防钓鱼和附件策略、邮箱审计。
文件和协作（SharePoint、OneDrive、Teams）： 外部共享、匿名链接、敏感度标签、保留策略、数据防泄漏和 Teams 外部访问。

租户审查也应该说明哪些内容不在范围内：通过 Intune 管理的设备、本地 Active Directory、防火墙、备份，以及除了在 Entra ID 中获授权限之外的任何第三方 SaaS。如果方案没有写明，请直接询问。我们的 Microsoft 365 安全审计清单逐项列出各个领域，方便你用来对照方案。

什么是身份安全审查？

身份安全审查范围较窄，只看谁可以登录、拥有什么权限。在 Microsoft 365 中，这指的就是 Entra ID。一个保护薄弱的密码，就可能让攻击者打开邮件、文件和 Teams，所以这通常是回报最高的部分。一份有用的身份审查会检查：

每位用户的 MFA 状态，包括“暂时”被排除后再没有加回去的账户
紧急访问（“break-glass”）账户：是否存在、如何保护，以及有人登录时是否会通知相关人员
条件访问策略以及其中的每一项例外
谁拥有全局管理员和其他特权角色，这些人是否使用防钓鱼的登录方式
旧式身份验证和 SMTP AUTH，它们会绕过 MFA
用户已同意授权的第三方应用，以及这些应用可以读取哪些数据
来宾账户、其负责人，以及是否设有到期时间

部分服务商会单独出售这项工作。如果你在纯身份审查和完整租户审查之间作选择，请核对价格差异。当范围固定、价格按员工人数确定（我们就是这样），身份审查已经包含在内，单独购买并不能省钱。

它们在范围、证据和深度上如何比较？

把各份方案并排比较时，不要理会封面上的名称，而是比较以下几点。

比较三种典型方案

顾问式审查： 范围由审查人员决定；往往没有指定基准；证据通常是截图或笔记；适合快速获取意见，但如果要向保险公司或客户出示结果，就显得薄弱。
以审计名义出售的自动扫描： 有指定基准，但只覆盖脚本能读取的控制项；证据是工具导出的文件；便宜快捷，但会略过手动控制项，也不会告诉你该先修什么。
完整评估： 指定基准及其版本、由人检查手动控制项、每项发现都附有分级、证据和工作量、并提供按优先级排列的修复计划；只有这种成果才经得起作为记录存档。

最大的单一差别是手动控制项。CIS Microsoft 365 Foundations Benchmark 包含一些任何 API 都无法清楚报告的控制项，必须由人打开管理中心逐项检查。略过这些控制项的服务，无论叫什么名称，本质上都是扫描。

第二大差别是证据。如果你会把结果交给保险公司、审计师或客户，每项发现都需要有日期和来源。我们的 Microsoft 365 安全评估报告逐页导读，展示了这是怎样的一份报告。

购买任何一种之前，应该问什么？

有六个问题可以分辨真正的评估和换了名字的扫描。无论方案叫什么名称，都请问清楚。

用哪套基准，哪个版本？“最佳实践”不是答案。应该是指定的基准，例如 CIS Microsoft 365 Foundations Benchmark，附有版本号，最好再有第二套如 CISA 的 SCuBA 基准作交叉核对。
包括手动控制项吗？ 如果不包括，你买的就是扫描。
需要什么访问权限？ 租户审查只应需要由你的管理员一次性批准的只读访问权限，而不是共用的管理员密码。我们的文章 Microsoft 365 审计应用的只读权限列出这类应用应该和不应该申请的权限。
会有人阅读我们的邮件或文件吗？ 答案应该是不会。配置和元数据已经足够。
我们究竟会收到什么？ 附有分级发现和证据的报告、修复计划，最好还有覆盖每个控制项的工作簿。请索取样本。
包括修复吗？有没有复查？ 大多数定额收费的工作都不包括修复。比较价格之前，先弄清楚这一点。

如果答案相同，两份方案就是同一个产品，不管它们叫什么名称。

博迅如何交付？

无论你用哪个词，都是同一项服务：

基准： CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2，包括手动控制项；以 CISA ScubaGear 按服务产出的结果作交叉核对，并以 Microsoft Secure Score 作为趋势线。
访问： 由你的全局管理员一次性批准的只读应用，约需 15 分钟；不共用账户或密码；邮件和文档绝不会被打开。
时间表： 获得访问权限后 5–7 个工作日提交书面报告，随后进行讲解通话。
交付成果： 附有证据和工作量的分级发现、Cyber Essentials 准备情况表、供保险公司使用的证据包、分阶段的修复计划，以及覆盖每个控制项的 Excel 工作簿。
不包括： 实施修复（之后另以定额报价）、备份、渗透测试、钓鱼模拟和本地设备。

费用按员工人数确定，并列于 Microsoft 365 安全审查页面。你可以在决定之前阅读完整的报告样本，样本为英文，使用虚构客户。如果你刚接触这个主题，请先阅读什么是 Microsoft 365 安全审计。