安全得分、CIS基准与ScubaGear：哪个能证明安全？

简而言之： 三者都不能单独“证明”租户安全。安全得分（Secure Score）是微软给你的趋势线；CIS Microsoft 365 基础基准是审计和投保时最常被认可的检查清单；CISA 的 ScubaGear 是免费、只读的基线检查工具。用安全得分看趋势，用 CIS 出证据，用 ScubaGear 做交叉验证。

只要你管理着一个 Microsoft 365 租户，多半碰到过这样的场景：手里有一个数字，对方却在问一个问题。数字是安全得分；问题来自老板、保险公司、客户的安全问卷或审计师，大意是“那它到底安全吗？”本文对比 microsoft secure score vs CIS benchmark vs ScubaGear，讲清楚三者各自在测什么、适合做什么。三者都可以免费运行，但不能互相替代。

作者是总部在香港的 IT 服务商（MSP），日常为亚太、英国与欧洲、中东的客户租户同时运行这三套检查。凡出自一手资料的内容我们都附了链接；凡属我们自己的做法，也会明说。

“安全得分、CIS 还是 ScubaGear”，真正的问题是什么？

真正的问题不是“哪个工具最好”，而是“我要向谁证明什么”。这个比较背后其实是三种不同的任务：

跟踪： 我的安全状况是在变好还是变差？
取证： 我能否交出一份站得住脚的文件，说明哪些设置已启用、哪些没有？
交叉验证： 另一套独立基线是否同意我对配置的判断？

安全得分适合第一件事，CIS 基准适合第二件，ScubaGear 最适合第三件。混乱大多来自拿一个工具去干另一个工具的活，例如把安全得分的百分比当作审计结果报给保险公司。

微软安全得分是什么，测的是什么？

微软把安全得分定义为组织安全态势的度量，数字越高代表落实的建议措施越多。入口在 Microsoft Defender 门户。覆盖的产品包括 Entra ID、Exchange Online、SharePoint Online、Teams 以及 Defender 系列，也包括 Okta、Salesforce、Zoom 等部分非微软产品。

得分如何构成。 每项建议措施最多 10 分。多数是二元的：开启设置就拿满分；其余按比例给分。微软自己的例子是：一项 10 分的措施要求所有用户启用多重身份验证，如果 100 个用户中只有 50 个受保护，就得 5 分。

由谁维护。 微软。建议内容、分值和权重都由微软决定，并会随时间调整。

产出什么。 一个百分比、一张历史曲线、一份建议措施清单，以及与同类组织的对比。它是仪表盘，不是可以签字盖章的报告。

看得到什么，看不到什么。 安全得分读取的是微软通过自家服务与接口能看到的设置，并允许你把某项措施标记为“已由第三方工具或其他缓解措施覆盖”。这个功能很实用，也是弱点：这类项目的状态取决于管理员在门户里怎么填。微软也明确说，得分“并不是对系统或数据被入侵可能性的绝对度量”，不应被理解为防止入侵的保证。

许可证（licence）如何影响安全得分？

微软说明，无论你的许可证版本、订阅或方案如何，都会显示某个产品的全部可能建议，让你了解最佳实践。实际含义是：总分里有一部分，只有持有相应许可证、或用第三方产品覆盖同一风险并如实标记，才拿得到。因此，Microsoft 365 商业高级版（Business Premium）租户和 E5 租户，不问清各自能启用什么，就不应直接比百分比。

这就是为什么单看百分比，信息量比看上去少。两个得分相同的租户，真实风险敞口可能差别很大；得分较低的租户也可能把重要的事都做好了，只是缺少低价值项目所需的许可证。

微软安全得分多少算好？

微软没有公布及格线。门户会让你与同类组织对比，也能设定自己的目标，但“好”是需要你自己判断的，查不到一个固定门槛。可参考以下做法：

趋势比任何一次读数更有意义。
看哪些措施还没做，而不是只看缺多少分。管理员账户失控的 10 分，比外围设置的 10 分重要得多。
区分未完成的原因：许可证限制、业务决策（已接受的风险），还是疏忽。只有最后一种才是问题。

我们自己的加固服务以安全得分 80 以上为交付目标，但那只是交付目标，不是安全的证明。

CIS Microsoft 365 基础基准是什么？

CIS Microsoft 365 基础基准（CIS Microsoft 365 Foundations Benchmark）是互联网安全中心（Center for Internet Security）发布的规范性配置指南，该非营利组织通过从业者共识流程制定基准。当前版本是 7.0.0。据 Advanced 的版本说明，它发布于 2026 年 5 月 19 日，新增 21 条建议、更新约 55 条，并采用了新的编号体系。CIS 提供基准 PDF 供非商业用途使用。如果你读到的旧文章引用的是 v3、v4 或 v5，比较数字前务必先核对版本。

测什么。 覆盖 Entra ID、Exchange Online、SharePoint、Teams、Purview、Intune 等范围内的具体编号设置。每条建议都写明理由、审计方法和修复方法。正是这种结构让它可审计：每个控制项要么通过，要么不通过，要么不适用。

谁维护。 CIS 及其贡献者社区，按版本发布。变更公开可追溯，日后有人问“你是按哪个版本评估的？”时就很重要。

CIS 的 Level 1 和 Level 2 是什么意思？

每条建议都归入一个配置档位：

Level 1 是核心基线：任何租户都应配置的最低设置，对用户几乎没有影响。
Level 2 面向安全要求更高的环境，例如处理敏感数据或受严格合规要求约束的组织。其设置更严格，可能降低便利性，或需要更多管理投入。

多数中小企业应从 Level 1 开始。Level 2 是需要决策的事，而不是默认项：有些控制会改变员工的工作方式，所以每一条都应当接受、排期或有意识地放弃。

哪些 CIS 控制项需要人工检查？

多数建议可以通过 PowerShell 或 Microsoft Graph 审计，7.0.0 版还把更多条目纳入自动化类别。但仍有一些无法靠接口可靠读取，需要人来核对，例如是否存在并演练过应急（break-glass）流程、租户之外的策略如何落实某项设置，或门户里显示的配置是否真的与某批用户的实际体验一致。这就是脚本与审计的实际差距：脚本报告它读得到的内容，审计师决定如何处理它读不到的部分。

CISA ScubaGear 是什么？

ScubaGear 是美国网络安全与基础设施安全局（CISA）发布的开源 PowerShell 评估工具，用来对照 CISA 的“安全云业务应用”（SCuBA）安全配置基线检查租户。这些基线是针对 Microsoft 365 产品撰写的策略文件。GitHub 仓库列出的评估对象包括 Entra ID、Exchange Online、SharePoint、Teams、Power BI、Power Platform 和一套安全组件。

谁维护。 CISA，属于 SCuBA 项目。基线原本为美国联邦文职机构编写，CISA 也将该项目与其 Binding Operational Directive 25-01 关联；但工具以 Creative Commons Zero 许可发布，任何人都可以运行。

产出什么。 HTML、JSON、CSV 报告，逐条列出基线策略以及租户是否符合。它是只读的：只查询配置，不修改租户。

需要你做什么。 有人负责安装运行，之后还要编写配置文件，记录例外和已接受的风险。没有这一步，报告就是一份失败清单，里面混着你本来已决定接受的事项。

局限。 这是对照某一国政府基线的时点检查。部分基线条目无法自动验证，只能提示人工复核；为联邦机构撰写的基线，在有些地方比一家 40 人公司需要的更严，在另一些地方又没有涉及。

三者如何对比？

安全得分、CIS 基准与 ScubaGear 一览

维护方： 安全得分是微软；CIS 基准是互联网安全中心社区；ScubaGear 是 CISA。
检查对象： 安全得分检查微软定义的建议措施；CIS 基准检查带编号的 Level 1 与 Level 2 建议；ScubaGear 检查 SCuBA 基线策略。
运行方式： 安全得分内置于 Defender 门户，持续更新；CIS 基准是一份文件，用脚本、工具或人对照审计；ScubaGear 是需要自己运行的 PowerShell 工具。
自动化程度： 安全得分全自动，但只看得到微软能读的内容和你自己标记的内容；CIS 基准大部分可自动化，另有少量人工控制项；ScubaGear 自动运行，部分条目转人工复核。
对许可证的依赖： 安全得分较高（分母里有你可能没有的功能）；CIS 基准中等（部分建议只适用于特定许可证）；ScubaGear 较低，但部分检查只在对应功能存在时才有意义。
产出： 安全得分是百分比和历史；CIS 基准是逐条通过/不通过记录；ScubaGear 是 HTML、JSON、CSV。
运行成本： 三者都可免费运行，真正的成本是运行、解读和修复所花的时间。
能否作为证据： 单独的安全得分证据力较弱，因为它是厂商的自评；带日期和版本号的 CIS 评估，是审计师和保险公司更熟悉的格式；ScubaGear 的输出可信且技术性强，但在政府之外较少被要求。最终接受什么，由每一家保险公司、客户和审计师自行决定。

ScubaGear 与 CIS 基准有什么不同？

诚实的回答是：内容高度重叠，目的不同。

来源： CIS 基准是跨行业的通用共识标准；ScubaGear 的基线来自美国联邦机构，面向政府租户。
严格程度： SCuBA 基线以“应当（shall）”和“宜（should）”的策略形式撰写，面向高威胁模型的机构；CIS 区分 Level 1 与 Level 2，让你自己选择深度。
认可度： 保险问卷和客户尽调更可能点名 CIS Microsoft 365 基础基准；SCuBA 是很好的交叉验证，但被索取得较少。
工具形态： ScubaGear 本身就是工具，跑完就有结果；CIS 基准是文档，需要扫描器、脚本或审计人员才能产出结果。

如果两套都跑而结果不一致，反而有用：它能告诉你，哪些差异只是基线理念不同，哪些才是真正的缺口。

实例：得分与基准结果出现分歧时

我们公开的虚构客户 Acme Capital 示例报告（英文页面）展示了这种情形：安全得分 47%，CIS 通过率 61%，即 118 项控制中通过 72 项，评级 C。两个数字衡量的是不同的东西：得分反映微软的建议措施与可用许可证，通过率反映一份带编号的控制清单，其中包含得分从不检查的项目。一个租户可能在一项上偏低、另一项上中等，而两个数字都不会告诉你最先该修哪十项。排出这个先后顺序，才是审计真正的产出。

什么时候该用哪一个？

想要一条趋势线：用安全得分

它本来就在那里，自动更新，不花钱。每月看一次，记下数字，看看什么变了。不要把它当作对外问题的唯一答案。

有人要证据：用 CIS 基准

保险公司、客户或审计师询问你的租户如何配置时，一份带日期、对照指定基准版本、每个控制项标明通过、不通过或未检查的评估，是他们熟悉的文件。要写明评估的是哪个版本、哪个级别。

需要独立交叉验证：用 ScubaGear

如果内部有熟悉 PowerShell 的管理员，每季度或重大变更后运行一次，并与基准结果对照。预计要花时间编写例外配置文件。

不要只靠其中一个

每个都有盲区。最稳妥的做法是：有一个你持续关注的得分，一份能拿得出手的基准评估，以及一个假设前提不同的交叉验证。

典型的推进路径是怎样的？

建立得分基线。 记录安全得分、未完成措施和你持有的许可证。
对照基准审计。 先评估 Level 1；数据或客户有要求时再评估 Level 2，并包括人工控制项。
分级排序。 按风险与工作量排序，把真实缺口、许可证缺口和已接受风险区分开。
按顺序修复。 先做身份：多重身份验证、管理员账户、旧版身份验证；然后是邮件防护、设备和共享。
定期复查。 重新运行，保留带日期的报告，记录变化。随着人们添加应用和例外，配置会逐渐漂移。

常见陷阱有哪些？

追分。 改最便宜的设置能抬高百分比，却不一定降低风险。按风险修，不要按分数修。
忽视应急（break-glass）账户。 应急访问账户本来就会绕过常规控制，所以更需要独立监控、强凭据和演练过的流程。工具能标出它们，但不能替你决定如何保护。
仅报告模式的条件访问。 处于“仅报告”模式的策略会出现在控制台里，看起来像是进展，实际上什么也不强制。务必确认策略已启用，并事先测试过对登录的影响。
永不过期的例外。 排除名单很长的条件访问策略，或多年前“临时”排除的服务账户，会悄悄变成真正的策略。每次都要复核例外。
跨租户比较得分。 许可证、规模和已接受的风险都不同，直接比百分比会产生误导。
把一份干净的报告当作保证。 微软自己说安全得分不能保证不被入侵，CISA 也把 ScubaGear 描述为时点评估。

Brocent 在其中的位置

Brocent Cloud Service 是总部在香港的 MSP。对 Microsoft 365，我们在后台运行安全得分、ScubaGear 和 CIS 检查，加上脚本读不到的人工控制项，再做工具不做的事：解读结果、给修复排序，并整理成证据。我们不卖工具，因为这些工具本身免费；我们卖的是解读、带优先级的整改路线图，以及证据。

我们的 CIS 基准审计涵盖 CIS Level 1 与 Level 2（含人工控制项），附带有优先级的整改路线图和工作量估算。公开价格为一次性费用、不含税，按人数计：

1 至 10 用户： US$450
11 至 25 用户： US$990
26 至 75 用户： US$1,800
76 至 150 用户： US$2,900
150 用户以上： 报价

你只需一次性授予只读权限，报告在 5 至 7 个工作日后送达，并附带一次讲解会议。报告旨在作为证据使用；具体某家保险公司或审计机构是否接受，由其自行决定，我们不作承诺。输出的版式可以看示例报告（英文），引擎如何运作见安全审计工具页面。如果你更希望持续监控和定期复查，我们的管理型IT外包服务可以覆盖。你也可以先做一遍IT 安全自评问卷，了解 Microsoft 365 之外的整体状况，或直接联系我们。