微软365安全审计是什么？包含哪些检查、多久出报告、多少钱

一句话结论： 微软365安全审计是对您的租户"实际上是怎么设置的"做一次性检查，对照 CIS Microsoft 365 基准第 1 级和第 2 级，包括工具读不到的人工控制项。审计人员通过只读应用读取配置，不读取邮件和文件内容。Brocent 在授权后 5–7 个工作日内交付报告和工作簿，价格按人数计，1–10 个用户 450 美元起。

如果您在搜索"微软365安全审计是什么"，多半是因为有人问了您一个答不上来的问题。可能是保险公司的续保问卷，可能是大客户的供应商安全问卷，也可能是老板看了新闻后问一句"我们的 Microsoft 365 安全吗"。这篇文章从中小企业的角度，把审计是什么、检查什么、流程多久、交付什么、多少钱，一次讲清楚。

文章只讲一次性审计。如果您已经决定要买、想比较计价方式，请看固定价格还是按小时计费；想知道价格由什么决定，请看审计费用指南。

微软365安全审计是什么？

一句话定义：租户安全审计，是把您的 Microsoft 365 租户的设置逐项对照一套公开基准，写下每一处差距、为什么重要、怎么修、要花多少工夫。

三个关键词值得拆开讲。

• 租户，不是电脑。 审计对象是承载公司邮件、文件、会议和身份的那个云端环境，包括 Entra ID、Exchange Online、SharePoint、OneDrive、Teams、Defender 和 Purview。员工的笔记本电脑属于另一份 Intune 设备审计。
• 设置，不是内容。 审计读取的是配置和元数据：哪些账户没有多因素认证、哪些共享链接永不过期、哪些管理员角色是永久指派。它不读您的邮件正文，也不打开您的文件。
• 对照基准，不是凭感觉。 Brocent 使用 CIS Microsoft 365 Foundations Benchmark 第 1 级和第 2 级。这套基准是公开的，您可以自己去读；审计报告会注明对照的版本。

很多人以为"我们用 Microsoft 365，所以微软会负责安全"。一半是对的：平台本身由微软运维。但租户怎么设置是您这一边的责任，而它的状态就是"第一天设成了什么，加上之后任何有权限的人改过什么"。审计的价值，就是把这个从来没有人看过的状态看一遍。

微软365安全审计会检查什么？

以 Brocent 公开的审计报告样本（英文页）为准，范围分为以下几个领域。每一项都对应基准里的具体控制项，而不是笼统的"最佳实践"。

1. Entra ID 用户与来宾： 所有账户、来宾账户、停用和闲置账户、共享邮箱的登录状态。
2. 多因素认证： 每个用户的注册状态和使用的方法，哪些人只有短信，哪些人有抗钓鱼的方法，哪些管理员根本没有启用。
3. 条件访问： 现有策略的覆盖范围、例外组、是否仍停留在"仅报告"模式、有没有阻止旧式身份验证。
4. 特权角色与 PIM： 全局管理员有几个、是否永久指派、是否用日常账户兼任管理员、有没有紧急访问账户。
5. 应用注册与同意设置： 用户能否自行同意第三方应用、哪些应用持有读取邮件和文件的广泛权限。
6. Exchange Online 邮件流： 转发规则、对外自动转发、SMTP AUTH、邮箱审计、传输规则。
7. 反钓鱼与 Defender for Office 365： 预设策略、冒充保护、安全链接和安全附件是否真的覆盖到所有用户。
8. SPF、DKIM、DMARC： 每一个已接受域名的记录状态，DMARC 是否仍是 p=none、有没有人看报告。
9. SharePoint 与 OneDrive 共享： 租户和站点层级的对外共享设置、"任何人"链接、默认链接类型、来宾过期。
10. Teams： 外部访问、来宾访问、会议策略里影响"谁能加入、谁能分享"的设置。
11. Purview： 数据防泄漏策略、保留策略、敏感度标签、审计日志的保留期。
12. Secure Score 与 ScubaGear 基线结果： 作为参照，而不是作为结论。

设备（Windows、Mac、手机）的合规状态在这份报告里只做摘要，完整的设备发现项在另一份 Intune 设备审计里。如果想自己先过一遍，可以用微软365安全审计检查清单逐项对照。

微软365安全审计不是什么？

买之前先排除几个常见误会，省得您买了一样东西、以为得到了另一样。

比较：Secure Score、CIS 审计、渗透测试

• Microsoft Secure Score： 租户内置、自动、只读 API 能看到的设置。适合当趋势线，但看不到人工控制项，例如紧急访问账户是否受保护、管理员角色是否真的受限。它不是审计，保险公司和评估机构也不会把它当成正式评估。
• CIS 基准审计（本文讲的审计）： 由人逐项对照基准，包括 Secure Score 看不到的人工控制项，输出带证据、优先级和工作量估算的报告。适合需要拿给第三方看、或需要一份有序修复清单的情况。
• 渗透测试： 模拟攻击者尝试入侵，回答"能不能攻进来"而不是"设置对不对"。两者互补，不互相替代；保险问卷问的通常是前者。

另外两样也不是审计：漏洞扫描扫的是服务器和终端的已知漏洞，不看租户设置；每月安全报告是持续服务，不是一次性的检查，文末会讲两者的区别。想深入比较工具，可以读Secure Score、CIS 基准与 ScubaGear 的比较。

审计流程是怎样的？多久出报告？

从您的角度，整个流程只有四步，自己要花的时间不到两小时。

1. 授权只读应用。 您的一位全局管理员在 Entra ID 里同意一次，大约 15 分钟。租户里不会出现 Brocent 的账户或密码，也不会安装任何东西。
2. 读取与核对。 审计人员通过 Microsoft Graph 和 PowerShell 读取配置，自动读到的项目会在核证日期再读一次；API 读不到的项目，会在屏幕共享时和您一起在管理中心看。
3. 出报告。 从授权当日起算 5–7 个工作日，您收到报告和工作簿。
4. 讲解会议。 以视频会议逐项讲解发现项、优先顺序和修复方法，按您的时区安排。

授权随时可以撤回：在 Entra ID 把应用移除即可，之后不会有任何东西留在租户里。

您会收到什么？

两份文件，同一套数据。

• 审计报告（PDF）： 一页的执行摘要、范围与方法（含对照的基准版本）、按严重程度和工作量排序的发现项清单、每个发现项的观察、影响、修复步骤、回退方法和用户影响、分阶段的修复路线图、证据附录。
• 审计工作簿（Excel）： 每一条控制项的通过或失败状态、证据引用、负责人和状态栏，方便您自己跟进整改。

两者都是设计成可作为证据使用的文件：回答保险问卷、回复客户的供应商问卷、或准备 Cyber Essentials 评估时可以直接引用。但请注意，审计本身不会授予任何认证，也不代表任何保险公司或评估机构一定接受。报告逐节的内容，可以看审计报告样本逐节解读。

微软365安全审计多少钱？

价格按租户的用户数计，一次性、以美元计价、不含税：1–10 个用户 450 美元，11–25 个用户 990 美元，26–75 个用户 1,800 美元，76–150 个用户 2,900 美元。超过 150 个用户按需报价。无论审计找到三个问题还是三十个，价格都是同一个。整改是另外的工作，按项目报价，不含在审计里。

完整价格和各档包含的内容在Microsoft 365 安全审计定价页。

什么时候需要做一次审计？

审计是一次性的，所以通常由某个触发事件带动。最常见的五种：

• 网络保险续保。 问卷问到多因素认证、管理员账户、邮件保护时，您需要的是带日期的证据，不是"我们应该有"。
• 客户的供应商安全问卷。 大客户的采购流程越来越多要求供应商证明 Microsoft 365 的设置状态。
• 申请 Cyber Essentials 或类似认证之前。 先知道租户离要求有多远，再决定整改的范围。
• 收购或合并。 接手一个别人设置的租户之前，先看一遍。
• 推出 Copilot 之前。 Copilot 会把过度共享的文件变成人人可问的答案，共享设置在推出前值得审一遍。

如果从来没有人看过您的租户设置，不需要等触发事件。几年的日常漂移通常已经积累了一张清单。

一次性审计与每月安全报告有什么区别？

一次性审计是一张照片：告诉您今天的租户是什么状态。它不会阻止下个月有人创建一条永不过期的共享链接，也不会发现新同事入职时没有启用多因素认证。

每月安全报告是管理型IT外包服务的一部分：有人持续盯着租户，每月出一份变化和状态的报告。两者的关系通常是先审计、修复最重要的几项、再决定要不要有人持续看。想了解香港公司的审计范围和本地流程，可以看香港 Microsoft 365 安全审计。

常见问题

微软365安全审计会读取我们的邮件和文件吗？

不会。审计读取的是配置和元数据：账户、角色、策略、共享设置、邮件流规则。邮件正文和文件内容明确在范围之外。

审计要花我们多少时间？

授权大约 15 分钟，讲解会议约一小时，中间可能有一次屏幕共享看人工控制项。您自己的总投入通常不到两小时。

5–7 个工作日从什么时候开始算？

从全局管理员授权只读应用的那一天开始算，不是从签约开始算。

审计报告可以拿给保险公司或客户看吗？

可以。报告和工作簿设计成可作为证据使用，带日期、带证据引用、注明对照的基准版本。是否接受由对方决定，审计本身不作任何保证。

审计包含整改吗？

不包含。报告会给出每个发现项的修复步骤和回退方法，您可以自己做，也可以交给任何服务商。Brocent 的整改按项目另行报价。

我们只有 8 个人，也需要审计吗？

人数少不代表设置少。8 个人的租户和 80 个人的租户对照的是同一套控制项，而小公司往往是"一位同事几年前设好，之后没人再看"的那种。1–10 个用户的价格是 450 美元。

审计和 Intune 设备审计是同一份吗？

不是。本文讲的是租户审计；设备（Windows、Mac、iPhone、Android）的注册、合规、加密和更新状态在另一份 Intune 设备审计里，可以单独购买，也可以一起做。

下一步

想先看看报告长什么样，可以读审计报告样本（英文页）。想直接拿到您租户的价格，请看定价页，或者联系顾问，告诉我们用户数和触发审计的原因，我们会确认档位和交付时间。