Microsoft 365 安全审计与评估 — 透明定价
Microsoft 的 Secure Score 是免费的，但它只能看到 API 可见的设置，并不是审计。Brocent 针对 Entra ID、Defender、Purview、Exchange、SharePoint 与 Teams 执行完整的 CIS Microsoft 365 Benchmark 审计，包含 Secure Score 无法检查的人工控制项。您将获得排定优先级的整改路线图，以及对照网络保险问卷和 Cyber Essentials 常见问题的证据。按人数固定报价，10 人以下 US$450 起。
审核人：Jack Zhang, CISSP 与 Rogue Yu, CISSP
年终 IT 预算季优惠 · 有效期至 2026 年 12 月 31 日
Microsoft 365 安全审计 · 年终优惠
完整 CIS Microsoft 365 基准审计，按人数分档，原价 US$450 起（10 人以下）。获得访问权限后 5–7 个工作日出具报告。
享 15% 折扣 · 折后 US$382.50 起 · 一次性 · 未含税
促销码（报价时提供给顾问）：YE26-M365AUDIT
Microsoft 365 安全审计价格：按人数一口价，费用是多少？
单一审计产品，各档位范围完全相同。请按您的 Microsoft 365 用户数选择档位。一次性收费，美元计价，未含税。
先看看您会收到什么 一份以虚构客户为对象的完整审计报告样例——发现、证据与整改计划——可在线阅读。 阅读示例审计报告 →（英文） 每个档位均包含
- 完整 CIS Microsoft 365 Benchmark（Level 1 与 2），含人工控制项
- Entra ID、Defender、Purview、Exchange、SharePoint 与 Teams
- 证据对照常见的网络保险问卷与 Cyber Essentials 问题
- 排定优先级的整改路线图及工作量估算
- 取得租户访问权限后 5–7 个工作日出具书面报告
- 报告讲解会议
可选：持续监控
$6–10 / user / mo
避免整改成果回退：持续监控加季度复审，按用户按月计费。不参与年终折扣。
所有价格以美元计价，为不含税的参考起价。可按需以港币、新币、人民币、日元或欧元开票。提供分区域定价（亚太 / 欧洲-英国 / 中东）——最终报价取决于范围、资产数量与地区。
Microsoft 365 与 Exchange Online 的安全评估应该查什么、收费多少？
Microsoft 365 的漏洞评估是配置审查，而不是网络扫描——没有属于您的服务器需要探测，所以范围是租户的各项设置，以及谁能访问其中的数据。我们的评估遵循 CIS Microsoft 365 Benchmark（Level 1 与 2），也就是常说的“Microsoft 365 安全评估”。每个档位都检查同样的三个方面：
身份（Entra ID）
- ›每个用户的 MFA 覆盖情况，包括应急（break-glass）账户与服务账户
- ›条件访问策略及其排除项；登录风险与用户风险
- ›特权角色，以及管理员的抗钓鱼身份验证
- ›旧式身份验证与 SMTP AUTH
- ›用户对第三方应用的授权同意及其所持权限
- ›来宾账户及其到期设置
Exchange Online 与 Defender for Office 365
- ›每个域名（包括闲置域名）的 SPF、DKIM 与 DMARC
- ›外部自动转发与收件箱规则
- ›反钓鱼、反垃圾邮件、安全链接（Safe Links）与安全附件（Safe Attachments）策略
- ›邮箱审计与统一审计日志保留期
SharePoint、OneDrive、Teams 与数据
- ›外部共享设置与匿名“任何人”链接
- ›敏感度标签、保留策略以及针对个人数据的 DLP
- ›Teams 外部访问与第三方应用
- ›未启用应用保护即可访问邮件和文件的个人手机与电脑
收费是按人数计算的一次性固定费用——1–10 人 US$450，最高 76–150 人 US$2,900，150 人以上单独报价——不按小时计费。费用包含附分级发现与证据的书面报告、排定优先级的整改计划，以及一次讲解会议。
如果还需要扫描您自己的服务器、防火墙或 Web 应用，那是另一项漏洞扫描服务。
Microsoft 365 安全审计、评估与审查：我们对照什么标准
在这里，审计、评估与审查是同一项服务：以只读方式审查您租户的设置，对照公认基线分级，并给出书面整改计划。报告背后有四项参照，各有明确分工：
CIS Microsoft 365 Foundations Benchmark
审计的正式记录。Level 1 与 Level 2，按章节报告：管理中心、Defender、Purview、Intune、Entra ID、Exchange、SharePoint、Teams 与 Power BI，包含人工控制项。
CISA ScubaGear 基线
按服务单独运行的第二套独立基线（Entra ID、Exchange Online、Defender、SharePoint 与 OneDrive、Teams、Power Platform），结果分为通过、未通过与警告。
Microsoft Secure Score
作为趋势线，让您看到两次审计之间的进展。它只读取 API 可见的设置，不作为正式记录。
Cyber Essentials 要求
针对租户能够佐证的部分给出就绪对照表：安全配置、用户访问控制、恶意软件防护与更新管理。
只读访问：我们需要什么，又绝不查看什么
由您的一位全局管理员一次性批准我们的只读审计应用，访问安排仅此而已。
- 只使用只读的 Graph 权限，这些权限无法更改您的租户
- 不会在您的租户中创建 Brocent 账户，也不会与我们共享任何账户或密码
- 绝不打开邮件和文档：审计读取的是配置和元数据，不是内容
- 审计结束当天，您即可在 Entra ID（企业应用程序）中移除该应用
完整权限清单见下方常见问题和示例报告页面。
您会收到什么、需要多久、哪些不包含
流程
- 我们确认您的人数档位与固定费用，通常在一个工作日内。
- 您的全局管理员批准只读应用（约 15 分钟）。
- 自动扫描在数分钟内完成，随后由工程师检查人工控制项。
- 取得访问权限后 5–7 个工作日，您收到书面报告。
- 通过讲解会议逐项说明发现与整改顺序。
交付物
- ›书面报告：每项发现均有分级、证据与工作量
- ›按章节的 CIS 结果与按服务的 ScubaGear 结果
- ›Cyber Essentials 就绪对照表，以及附带注明日期导出文件的保险证据包
- ›分阶段、排定优先级的整改计划，以及包含全部控制项的 Excel 工作簿
包含
- 审计、报告与工作簿
- 附工作量估算、排定优先级的路线图
- 讲解会议
- 由 Brocent 执行整改时，含一次复审
不包含
- 执行整改：审计后另按固定费用报价
- Microsoft 365 备份、渗透测试与钓鱼演练
- 打开邮件或文档，以及 Microsoft 365 以外第三方 SaaS（仅检查其 OAuth 授权）
- 防火墙与本地网络设备
购买前先看清交付形式：阅读完整的示例审计报告（英文；虚构客户，另有 PDF 与 Excel 版本）。
英国企业的 Microsoft 365 安全审计：Cyber Essentials、UK GDPR 与保险问卷
英国机构使用这项审计，最常见的有三个目的：准备 Cyber Essentials、填写网络保险投保问卷，以及证明 Microsoft 365 中的个人数据受到保护。报告就是按这三点设计的，讲解会议安排在英国工作时间。
价格与其他地区完全相同，均为固定的美元费用：1–10 人 US$450，最高 76–150 人 US$2,900，未含税，不按日计费。我们只公布一份美元价目表；如需其他币种报价，请联系我们。
- ›Cyber Essentials：报告含针对 Microsoft 365 范围的 v3.3 就绪对照表（云服务 MFA、管理员账户、闲置账户、安全配置、恶意软件防护、更新），并标出评估时会不通过的项目。它是您评估时的佐证材料，最终由认证机构判断；防火墙大多不在 Microsoft 365 审查范围内。
- ›UK GDPR：当发现涉及个人数据时（例如匿名共享链接、邮件转发到个人邮箱、缺少针对身份证件的数据防泄漏），报告会明确指出并评级。它不能替代法律意见或数据保护影响评估。
- ›保险公司：证据包回答投保问卷最常问的问题（MFA、管理员账户、邮件安全、终端防护、日志保留），并为每个答案指向一份注明日期的导出文件。
美国企业的 Microsoft 365 安全审计：美元固定价格
美国客户看到的是同一个固定费用，以美元计价，未含税：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900。超过 150 人单独报价。各档位范围完全相同。
审计全程远程交付，与您办公室所在地无关。全局管理员批准只读应用后，5–7 个工作日内收到报告。
- ›CISA ScubaGear：除 CIS 基准外，报告还包含按服务的 ScubaGear 结果，即美国网络安全和基础设施安全局发布的公开基线。
- ›网络保险申请：证据包涵盖 MFA、特权账户、邮件验证（SPF、DKIM、DMARC）、终端防护与日志保留，并各自对应一份注明日期的导出文件。每家保险公司规则不同，我们无法承诺某一家会接受。
- ›客户安全问卷：当客户询问您的租户如何配置时，可用发现登记表和 Excel 工作簿作为佐证记录。
超过 150 人，或需要我们帮忙整改，怎么收费？
超过 150 人，或希望由我们修复审计发现的问题时，按您的情况单独评估并报价。每项服务都由指定工程师交付，而非自助式仪表盘。
150 人以上
大型租户 · 单独报价150 人以上租户适用相同范围的 CIS 基准审计，按单报固定费用。
一次性评估
Custom
托管（周期性）
$6–10 / user / mo
- 范围与上述四个人数档位相同
- 按您的租户与用户数报固定费用
- 多租户、多地区的环境单独评估范围
- 持续监控：监控 + 季度复审
加固与合规
审计 + 引导式整改我们先审计，再将您的租户加固至 Secure Score 80+ 并保持。
一次性评估
Custom
托管（周期性）
Custom
- 包含 CIS 基准审计全部内容
- 引导式整改至 Secure Score 80+
- 整改后更新网络保险与 Cyber Essentials 问题的证据
- 条件访问与 DLP 策略加固
- 面向高管与董事会的报告
- 持续监控：漂移监控 + 每月评审
只看 Microsoft Secure Score 够吗？还需要 CIS 基准审计吗？
Microsoft Secure Score 是一个免费、自动化的数字，基于 Microsoft API 能读取的设置。它作为趋势线很有用，但它不是审计。它遗漏仅可人工检查的控制项（应急访问的 break-glass 账户、Entra 管理员角色限制、Teams 外部应用策略、Power BI 共享）。
CIS Microsoft 365 Benchmark 覆盖 100% 的控制项，包括那些人工控制项，是大多数合规框架背后公认的标准。Brocent 的 CIS 审计交付的报告，设计用途是在您回答客户安全问卷、网络保险问卷或 Cyber Essentials 评估时作为佐证材料，并附上修复问题的路线图。
已有免费评分，为什么还要做 CIS 审计？
市场分为免费自动评分、按用户计费的监控 SaaS 以及咨询服务。Brocent 提供有据可依的中间选择：以中端市场价格提供审计级的 CIS 评估。
-
Microsoft Secure Score
仅 API 可见的设置（非审计级） · Free
-
ScubaGear (CISA)
开源基线，无解读 · Free (self-run)
-
态势监控工具
按用户计费的态势监控 SaaS · US$1–3 / user / mo
-
企业治理平台
企业级治理平台 · 约 US$20,000 起 / 年
-
企业咨询服务
一次性加固项目 · US$15,000–50,000
-
Brocent CIS 审计
完整 CIS 基准 + 路线图 · US$450–2,900（按人数）
第三方标价以 2026 年 7 月为准。Brocent 底层运行 ScubaGear 与 CIS 工具——您支付的是审计、解读与整改，而非工具本身。
Microsoft 365 审计定价常见问题
Secure Score 不是已经免费了吗？
是的，我们也会用到它，但它只读取 API 可见的设置，不属于审计级记录。CIS Microsoft 365 Benchmark 覆盖 100% 的控制项，包括 Secure Score 看不到的人工控制项。您支付的是审计级证据与修复计划，而非那个评分。
M365 审计定价如何计算？
只有一款产品：CIS 基准审计，按人数分档、一次性收费（美元，未含税）：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900。各档位范围完全相同。超过 150 人，或需要引导式整改（加固与合规）时，按您的租户单独报价。年终优惠：至 2026 年 12 月 31 日，四个档位均享 15% 折扣，折后分别为 US$382.50 / US$841.50 / US$1,530 / US$2,465。可选的持续监控为 US$6–10 / 用户 / 月（含季度复审），不参与折扣。
审计实际检查什么？
Entra ID（身份、MFA、条件访问、管理员角色）、Defender（威胁策略）、Purview（DLP、保留、合规）、Exchange Online、SharePoint/OneDrive 共享，以及 Teams——对照 CIS Microsoft 365 Benchmark Level 1 与 2。
你们也会修复问题吗？
加固与合规层级包含引导式整改至 Secure Score 80+，并加固条件访问与 DLP 策略。审计本身会为您提供一份排定优先级的路线图，供您自己的团队（或由我们按持续服务计划）执行。
报告可以用于网络保险或 Cyber Essentials 吗？
报告包含对照网络保险问卷与 Cyber Essentials 评估常见问题的证据，设计用途是在这些流程中作为佐证材料。它本身并不能让您自动合规或获得认证，最终由保险公司或认证机构自行判断。
Microsoft 365 安全审计、评估和审查有什么区别？
实际上没有区别：三者都是对照基线审查您租户的配置。我们提供的是对照 CIS Microsoft 365 Benchmark 与 CISA ScubaGear 基线的只读审计，以一份书面报告和整改计划交付，按一个固定费用收费。我们没有另设价格不同的简化版评估。
在英国或美国做 Microsoft 365 安全审计要多少钱？
费用按人数固定，而不是按国家：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900，美元计价，未含税。超过 150 人单独报价。不按日计费。
审计涉及 UK GDPR 吗？
审计覆盖决定个人数据是否受保护的 Microsoft 365 设置：外部共享、转发、数据防泄漏、敏感度标签、保留和访问控制。发现涉及个人数据时，报告会明确指出。我们不会打开您的文件，这也不是法律意见或数据保护影响评估。
审计与 Cyber Essentials 是什么关系？
报告把发现对照到 Microsoft 365 租户能够佐证的 Cyber Essentials 要求领域，并标出评估时会不通过的项目，例如未启用 MFA 的云账户。防火墙大多不在范围内。整改后，同样的证据有助于填写问卷；最终由认证机构判断。
需要管理员密码，或访问我们的邮件和文件吗？
不需要。全局管理员一次性批准只读应用，不与我们共享任何账户或密码。审计读取配置和元数据，绝不读取邮件或文档内容，审计结束后您可以移除该应用。
Microsoft 365 安全审计需要多久？
授权同意约 15 分钟。取得访问权限后 5–7 个工作日出具报告，并安排讲解会议。审计为远程进行，无需上门。
最后我会收到什么？
书面报告（含分级发现与证据）、按章节的 CIS 结果、ScubaGear 结果、Cyber Essentials 就绪对照表、保险证据包、分阶段整改计划，以及包含全部控制项的 Excel 工作簿。您可以在示例审计报告页面阅读完整样例。
审计价格不包含哪些内容？
不包含执行整改、Microsoft 365 备份、渗透测试与钓鱼演练，以及 Microsoft 365 以外的内容（如防火墙）。整改在审计后按固定费用报价。由 Brocent 执行整改时，含一次复审。
更多关于审计的问题：常见问题 · 网络安全 → · 想先看看审计报告是什么样子？阅读示例审计报告（英文）。
指南与资源
Microsoft 365 安全审计指南
Microsoft 365 安全审计清单：租户里要逐项检查的 12 个区域
可以自己动手的 Microsoft 365 安全审计清单：12 个租户区域、每项设置在哪个管理中心、什么算达标、对应 CIS 基准的哪一部分。
阅读指南 →微软365安全审计是什么？包含哪些检查、多久出报告、多少钱
微软365安全审计是对租户配置的一次性检查：对照 CIS 基准，覆盖 Entra ID、Exchange、SharePoint、Teams 和 Purview，5–7 个工作日出报告，按人数定价。
阅读指南 →Microsoft 365 安全审计要多少钱？2026 年价格指南
Microsoft 365 安全审计费用一次说清：免费扫描工具、按用户订阅的监控平台、固定价一次性审计（Brocent 起价 450 美元）与顾问日费。附报价对比方法。
阅读指南 →Microsoft 365 安全评估报告应该包含什么？以我们的示例报告逐节解读
Microsoft 365 与 Exchange Online 安全评估报告应包含哪些内容？逐节解读 Brocent 示例报告，并附采购检查清单。
阅读指南 →Microsoft 365 MFA 缺口报告：审计交付物如何列出 Entra 中没有 MFA 的用户
Microsoft 365 MFA 缺口报告包含什么：逐账户注册状态、抗钓鱼方法、例外账户、条件访问覆盖范围，以及保险公司和审核方要看的证据形式。
阅读指南 →Intune 设备审计：检查什么、交付什么、和买 Intune 许可证有什么不同
Intune 设备审计检查注册覆盖、合规策略、加密、Defender、更新、个人手机应用保护和管理员权限，报告包含什么，以及它为什么不是一张许可证。
阅读指南 →CIS Microsoft 365 Foundations Benchmark v7.0.0 改了什么？对一次安全审计意味着什么
CIS Microsoft 365 基准 v7.0.0 是什么、Level 1 与 Level 2 的区别、相对 v6 改了什么，以及怎样读懂审计报告里按章节的通过率。
阅读指南 →条件访问基础策略：小型 Microsoft 365 租户最先要建的六条策略
小型 Microsoft 365 租户最先该建的六条条件访问策略：对象、条件、授予控制、排除账号，以及用仅报告模式安全上线的步骤。
阅读指南 →Microsoft 365 如何开启 MFA：安全默认值、条件访问，以及找出还没注册的用户
用安全默认值或条件访问给全员开启 Microsoft 365 MFA，分阶段推行，并用 PowerShell 导出还没注册 MFA 的用户。
阅读指南 →微软安全得分、CIS Microsoft 365 基准与 CISA ScubaGear：哪一个能证明你的租户是安全的？
对比微软安全得分、CIS基准与ScubaGear：各自测什么、哪些能自动检查、谁认可作为证据，以及什么场景该用哪一个。
阅读指南 →网络保险 MFA 要求：Microsoft 365 租户里“全面启用 MFA”到底指什么
网络保险问卷里的 MFA 要求到底覆盖哪些账户？哪些验证方式算数、例外怎样写才不会被当作“否”、从 Microsoft 365 导出哪些证据，本文只讲这一题。
阅读指南 →香港 Microsoft 365 安全审计：本地企业的审计范围、周期与固定价格
由观塘的香港 IT 公司提供的一次性 Microsoft 365 租户安全审计：检查范围、按人数的固定价格（US$450 起）、读取授权后 5–7 个工作日出报告。
阅读指南 →
需要完整的管理型IT外包方案，而不只是这一项安全附加服务？管理型IT外包服务提供真实的分地区定价。
查看管理型IT服务价格 →这项人工交付服务背后的自动化扫描引擎，也可作为 BCS 平台内的独立模块使用。 了解 BCS IT 安全审计模块 →