Microsoft 365 · 安全配置
服务类别: Microsoft 365从身份、邮件、设备到数据，全面加固您的租户
大多数 Microsoft 365 入侵事件都始于一个被盗的密码、一封以假乱真的钓鱼邮件，或一个共享范围过大的文件。我们按计划好的顺序，配置您的许可证中已经包含的安全控制措施，让租户明显更难被攻破，出了问题也更容易调查。
概览
- 服务内容
- 对 Microsoft 365 租户在身份、邮件、设备、数据共享和日志等方面进行安全配置与加固
- 适合对象
- 员工约5至200人、希望 Microsoft 365 安全控制经过有意识的配置、而不是停留在默认设置的加拿大机构
- 核心内容
- 身份与条件访问基线、管理员角色加固、邮件防护策略、设备合规、共享限制、审核日志以及安全分数审查（以服务范围为准）
- 默认不含
- 非工作时间的持续监控、事件取证、监管合规认定、法律意见以及许可证采购
- 许可证说明
- 可用的控制措施取决于您的套餐；Business Premium 包含 Entra ID P1、Intune、Defender for Business 和 Defender for Office 365 Plan 1。许可证需另行购买，除非已写入您的方案
- 计价方式
- 加固工作按项目报价；持续的安全配置审查包含在托管服务计划中；以书面报价确认
Microsoft 365 安全涵盖哪些内容
Microsoft 365 安全是覆盖整个租户的配置工作。微软负责保护底层云平台，但根据其责任共担模型，您的账户、设备、邮件和数据如何配置，是您自己的责任。即使每位用户都使用 Business Premium，如果多因素身份验证存在缺口、仍允许旧式协议、管理员账户还被用来收发邮件，租户依然很容易被攻破。
我们的服务规划并实施一套覆盖身份、邮件、终端、协作和日志的安全基线，并在微软推出新功能、调整默认设置时保持更新。我们把 Microsoft 安全分数（Secure Score）当作参考依据之一，而不是追求的目标：每一条建议都会结合您的业务运作方式和许可证内容来权衡。
它与我们范围更窄的服务页面有所不同。Microsoft Entra ID 管理只关注身份；Microsoft Defender for Business 专注于部署该终端产品；Microsoft 365 租户评估则是一次性审查。Microsoft 365 安全是把这些工作串联起来的加固工作。
我们应对的风险
账户被盗用
一个被钓走的密码、一组重复使用的凭据，或一次被误点批准的 MFA 提示，都能让攻击者访问邮件和文件，甚至发送欺诈发票。
企业邮箱被入侵（BEC）
攻击者设置转发规则、冒充高管、转移付款，却无人察觉，因为审核日志从来没人查看。
数据共享范围过大
匿名链接和过宽的内部访问权限暴露了客户和财务文档；当 AI 助手能够呈现用户可访问的任何内容时，这一风险会进一步放大。
未受保护或未受管的设备
个人设备和未加密设备在同步公司数据，却无法阻止它们访问，也无法远程擦除数据。
我们配置的安全控制措施
身份基线
所有用户启用 MFA，管理员使用防钓鱼的验证方式，阻止旧式身份验证，并根据您的许可证配置条件访问策略或安全默认值。
特权访问
专用管理员账户、最小权限角色、应急（break-glass）账户，并限制对管理门户的访问。
邮件防护
Exchange Online Protection 和 Defender for Office 365 中的预设安全策略、防冒充保护、外部转发管控以及域名认证。
设备信任
将 Intune 合规策略与条件访问关联，强制启用 BitLocker 和 FileVault，并完成终端防护接入。
数据共享管控
SharePoint 和 OneDrive 共享限制、来宾访问限制、应用授权同意管控，以及在已获许可时的敏感度标签和数据丢失防护（DLP）基础配置。
日志与告警
确认统一审核日志已开启，核实邮箱审核，针对高风险活动设置告警策略，并建立文档化的审查流程。
包含哪些内容，哪些需要单独确定范围
通常包含
- 根据您的许可证设计安全基线
- 配置条件访问或安全默认值
- 清理管理员角色并设置应急账户
- Exchange Online Protection 和 Defender for Office 365 策略配置
- 访问 Microsoft 365 的设备合规要求
- SharePoint、OneDrive 和 Teams 外部共享限制
- 审核日志、告警策略和审查流程
- 审查安全分数并给出按优先级排序的建议
需单独确定范围或报价
- 非工作时间的持续监控或安全运营中心（SOC）服务
- 对正在发生的入侵事件进行取证调查
- 合规认证、审计或法律意见
- 微软许可证采购，除非已写入您的方案
- 企业级 Azure 安全架构，转介给 CloudArchitects.expert
涉及的微软安全功能
- Microsoft Entra ID 安全默认值、条件访问和身份验证方式策略
- 在拥有 P2 许可时使用 Microsoft Entra ID Protection 和 Privileged Identity Management
- Exchange Online Protection 和 Microsoft Defender for Office 365
- Microsoft Intune 合规策略和安全基线
- Microsoft Defender for Business 或 Defender for Endpoint
- Microsoft Purview 审核、敏感度标签和数据丢失防护
- Microsoft 安全分数和 Microsoft Defender 门户
适合哪些机构
通过邮件处理资金往来的机构
通过邮件发送或审批付款、需要防范发票欺诈的企业。
需要填写保险问卷的公司
网络保险续保时被问及 MFA、EDR、管理员账户和日志情况的机构。
缺乏规划、自然扩张的租户
快速上手 Microsoft 365、之后从未回头检查安全设置的公司。
会有哪些改善
- 仅凭被盗的密码已无法进入您的租户
- 管理员权限受到限制、相互分离，并且可以恢复
- 到达员工手中的网络钓鱼和冒充邮件更少
- 公司数据只限于受信任的设备和预期的接收者
- 万一出事，有审核证据可查
- 面对保险公司和客户询问时，能清楚说明您的控制措施
加固工作如何交付
安全审查
我们审查您的许可证、当前配置、安全分数、登录模式以及现有例外情况。
按优先级排序的计划
我们按风险降低程度和业务影响的顺序提出变更建议，并说明每项变更所需的沟通工作。
分阶段实施
变更尽可能先在仅报告或审核模式下测试，再对试点组启用，最后推广到所有人。
文档
最终的基线、例外情况和应急（break-glass）流程都会记录成文档并交给您。
持续审查
在托管服务计划下，按计划审查配置，并评估微软推出的新功能。
合作方式
所有安排均以书面报价确认。
Microsoft 365 安全评估
固定范围的安全配置评估，附带按优先级排序的发现。
加固项目
分阶段实施双方商定的基线，并提供文档。
持续安全管理
在 Microsoft 365 托管服务或托管IT服务套餐中提供配置审查。
常见问题
安全不是微软的责任吗？
微软负责保护其数据中心和平台。根据其责任共担模型，您的身份、设备、访问设置和数据配置仍由您自己负责，这正是本服务要解决的部分。
这项服务需要 Business Premium 吗？
不一定，但有帮助。Business Premium 包含条件访问、Intune、Defender for Business 和 Defender for Office 365 Plan 1。如果使用 Basic 或 Standard，我们会利用安全默认值和现有可用的控制措施。
安全变更会影响员工工作吗？
有些变更（例如 MFA）需要用户配合操作。我们会先测试策略、分阶段推广，并在正式执行前向员工提供清晰的说明。
目标是获得很高的安全分数吗？
不是。安全分数是一份有用的检查清单，但并非每条建议都适合所有企业。我们按实际风险和影响来确定变更的优先顺序。
这能让我们符合隐私法律的要求吗？
本服务有助于以重视隐私的方式开展运营，但是否合规取决于您的政策和流程，而不仅仅是技术。涉及法律或监管义务时，请咨询具备资质的顾问。
了解您的租户暴露程度
从 Microsoft 365 安全评估开始，或预约咨询。服务范围和价格以书面报价确认。