Microsoft Secure Score 多少分算好，如何提分

简短回答： 微软没有公布 Secure Score 的及格线，所以“好”的标准是：比你自己之前高、不低于对比图里规模相近的组织、高分项要么做了要么有意识地接受风险。从“建议操作”列表顶部往下做：先身份（MFA、管理员 MFA、旧式身份验证），再邮件防护，再其余。把分数当待办清单，不要当成“安不安全”的结论。

本文写给打开了 Secure Score、看到一个百分比和一长串建议、不知道先修什么的 Microsoft 365 管理员。你会得到按风险和工作量排的建议修复顺序、每项的菜单路径，以及分数容易误导人的地方。已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。Secure Score 与 CIS、CISA 基线怎么比，请看《Secure Score、CIS Benchmark 与 ScubaGear 对比》，本文只讲怎么提分。

这个分数是什么

Secure Score 在 Microsoft Defender 门户：security.microsoft.com/securescore。分数以百分比显示，并列出已得分数和可得总分。每项建议操作最高 10 分，多数是“做了就拿满分”，少数按覆盖比例给部分分。微软自己的例子：MFA 满分 10 分，100 个用户里只有 50 个受保护，就得 5 分。

完成修改后，分数可能要 24 到 48 小时才更新。建议操作分为身份（Identity）、设备（Device）、应用（Apps）、数据（Data）四组。

多少分算好

微软的 Learn 页面没有给出目标数字。可以用这三个参照：

对比图。 Overview 页签有一张与规模相近组织比较的柱状图；Metrics & trends > Comparison trend 显示随时间的对比。微软对数据做了匿名处理。
自定义分数区间。 Metrics & trends > Your Secure Score zone 可以由你定义什么算好、一般、差。
可达成分数。 在分数卡片上选择 Include，可以加入 Planned score、Current license score 和 Achievable score。你的分数与可达成分数之间的差距，就是在现有授权和已接受风险下的实际空间。

先修哪些

微软按剩余分数、实施难度、用户影响和复杂度给建议操作排名。请在你自己的“建议操作”页签按这个排名重新排序，因为微软是根据你的授权和当前配置计算的。下面的顺序是作者对典型中小租户风险和工作量的判断，不是经过核实的分值排名：微软只为前三项记载了分值，而且是在开启安全默认值的前提下。

1. 管理员角色要求 MFA

为什么先做： 价值最高的账号，而且人数少。
位置： Microsoft Entra 管理中心 > Entra ID > Conditional Access > Policies > New policy（选 Directory roles），或开启安全默认值。先以仅报告（Report-only）模式创建，再切换为 On。CA002、CA003 和 CA001 的步骤见条件访问基础策略。
工作量： 低。先让管理员完成注册，并把两个应急账号排除在策略之外。
分值： 微软说明，开启安全默认值后，这一项得 10 分。通过条件访问实现时，分数按微软自己的操作定义计算，你租户上的数字可能不同。

2. 全体用户要求 MFA

位置： Entra ID > Conditional Access > Policies，对象选 All users，授予控制选 Require authentication strength。完整步骤见如何在 Microsoft 365 开启 MFA。先以仅报告模式创建，再切换为 On。
工作量： 中。难点是用户注册，而不是配置。
分值： 微软说明，开启安全默认值后得 9 分。随着用户陆续注册，会先拿到部分分。

3. 阻止旧式身份验证

位置： Entra ID > Conditional Access > Policies > New policy。Conditions > Client apps 只勾 Exchange ActiveSync clients 和 Other clients；Grant 选 Block access。先到 Entra ID > Monitoring & health > Sign-in logs，用 Client App 筛选找出仍在使用的人。先以仅报告模式创建，再切换为 On，因为阻止旧式身份验证可能让旧邮件客户端和扫描仪失效。
工作量： 低到中，取决于旧扫描仪和旧邮件客户端有多少。
分值： 微软说明，开启安全默认值后得 7 分。

4. 开启 Standard 预设安全策略

位置： Microsoft Defender 门户 > Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（security.microsoft.com/presetSecurityPolicies）。打开 Standard protection 并指定收件人。
工作量： 低。微软说明预设策略里几乎所有设置都不可自行调整，这正是它的用意。先用试点组测试，并留意垃圾邮件处理的差别：Standard 放入垃圾邮件文件夹，Strict 则隔离。
授权提示： Safe Links 和 Safe Attachments 需要 Defender for Office 365；没有它时，预设策略只覆盖内置防护。
分值： 不固定，请看你自己租户“建议操作”页签里的数值。

5. 减少全局管理员

位置： Entra ID > Roles & admins > All roles > Global Administrator。
工作量： 低。微软建议全局管理员少于五人，另加两个仅云端的应急访问账号，日常工作用权限更窄的角色。
分值： 不固定，请看你自己租户“建议操作”页签里的数值。

6. 确认审核日志已开启

位置： 先用 Connect-ExchangeOnline 连接，再在 Exchange Online PowerShell 运行 Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled。如果是 False，运行 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true，或者在 Microsoft Purview 门户 > Audit 点击 Start recording user and admin activity。必须在 Exchange Online PowerShell 里运行，因为在 Security & Compliance PowerShell 里这个属性始终显示 False。还需要 Exchange Online 的 Audit Logs 角色。
工作量： 低，约 60 分钟内生效。微软说明 Business Basic、Business Standard、Business Premium 默认没有开启审核，所以要检查。
分值： 不固定，请看你自己租户“建议操作”页签里的数值。

7. 其余按排名往下做

在“建议操作”页签按 Rank 排序、按产品筛选，先做用户影响小的。凡是会改变登录方式或文件共享方式的，都要先用试点组并通知员工。

如实使用状态

每项操作可以设为 To address、Planned、Risk accepted、Resolved through third party、Resolved through alternate mitigation 或 Completed。Risk accepted 不得分；两种 Resolved 会得分，但微软无从得知控制措施是否真的到位。只有确实由其他产品覆盖时才使用，并在备注里写明是哪一个。

Secure Score 不能告诉你什么

它不是被入侵可能性的度量。 微软说明，它反映的是你用了多少推荐的控制措施，不是防止入侵的保证。
只覆盖列出的产品。 建议涉及微软产品和少数其他产品；其他安全工具除非你手动标记为已覆盖，否则不计分。
不是每项都适合你。 微软提醒，安全要和易用性取得平衡。
把操作标为第三方已覆盖会让分数上升，但实际什么都没变。 百分比相同的两个租户可能差别很大。
设备类建议的处理方式不同。 Device 类别不能直接设状态，会引导你到 Defender Vulnerability Management 的建议处理。

常见错误

追百分比。 按风险和工作量来修，而不是按点一下能得几分。
没有证据就标 Resolved through third party。 这会抬高分数、掩盖缺口。
不做试点就强制启用。 像阻止旧式身份验证这类高分项，会让扫描仪和旧邮件客户端失效。
期待立刻变化。 分数要 24 到 48 小时才显示，不要因为分数没动就重做一遍。
不再复查。 之后的改动或新增用户可能让分数下降，Metrics & trends 会显示回退。
没有负责人。 在 Notes 里为每项写明负责人和日期。

如何确认生效

打开 security.microsoft.com/securescore，开始前记下分数和点数。
一次只改一项，并写进该操作的 Notes。
等 24 到 48 小时，打开 History 页签，确认得分记在对应操作下。
每月看一次 Metrics & trends > Regression trend，确认有没有丢分。
每季度重新看一次对比图并记录结果。

FAQ

Microsoft Secure Score 多少分算好？

微软没有设定一个数字。请与对比图里规模相近的组织比较，自定义好、一般、差的区间，并与你的 Achievable score 比较。

Microsoft 安全分数是什么？

它是一个百分比，显示你在身份、设备、应用和数据方面采取了多少微软推荐的安全操作。越高表示落实的推荐操作越多。

在哪里登录 Microsoft Secure Score？

访问 security.microsoft.com/securescore 并登录。需要相应角色：Security Reader 等可只读，Security Administrator、Exchange Administrator 或 SharePoint Administrator 可读写。也可以通过 Microsoft Defender 统一基于角色的访问控制（Unified RBAC）授权。

怎么和行业平均水平比较？

用 Overview 页签的对比柱状图，或 Metrics & trends > Comparison trend。微软与席位数相近的组织比较，数据是匿名的。

Microsoft Secure Score 仪表板显示什么？

Secure Score 页面以百分比显示分数，并列出已得分数和可得总分。你可以在这里加入 Planned、Current license 和 Achievable score 视图，打开“建议操作”，查看 History 和 Metrics & trends 页签。修改后需要 24 到 48 小时才会显示。