概览
- 产品ID / SKU
- 产品ID m365-security-assessment / SKU PC-ASSESS-M365-001
- 计价方式
- 拟定价格为每个租户固定费用 CA$499（税前）；以书面报价为准，且仍待公司业务审批
- 计费频率
- 一次性
- 交付方式
- 远程进行，使用只读的 Global Reader 和 Security Reader 角色；从获得访问权限到结果讲解通常需要一至两周
- 购买方式
- 价格和条款获批后可直接在线结账；在此之前，请通过服务商店提交申请，我们会以书面报价确认
- 适用条件
- 一个 Microsoft 365 租户，使用 Business 或 Enterprise 计划，授权用户约200人以内
- 不包含
- 问题整改、渗透测试、本地 Active Directory 以及第三方应用程序
本评估检查哪些内容
在中小企业中，大多数 Microsoft 365 账户被入侵的事件都始于一个被盗的密码、一个被遗忘的管理员账户，或一条没人注意到的邮件转发规则。本评估专门检查租户中决定这些情况是否会演变为安全事件的控制措施：用户如何登录、谁拥有管理权限、电子邮件如何进行身份验证和过滤、文件如何向组织外部共享，以及出现异常时是否有人会收到告警。
整个评估过程是只读的。评估期间我们不会更改任何设置，因此不存在把用户锁在系统外或中断邮件收发的风险。我们会为每一项发现记录所看到的证据、它对您这种规模企业的影响，以及我们建议的调整。Microsoft 安全分数（Secure Score）只是参考依据之一，报告会说明哪些建议在您现有的许可证下值得落实，哪些可以放心推迟。
您将获得
发现报告
一份涵盖各控制领域的书面报告，每项发现都根据被利用的可能性和业务影响评定为严重、高、中或低。
整改路线图
将发现按30天、60天和90天计划分组，并注明每项修复所需的许可证，以及通常由贵公司团队还是服务商来执行。
管理员与登录情况摘要
列出特权账户、未启用多因素身份验证的账户、旧式身份验证的使用情况，以及当前生效的登录策略。
结果讲解会议
一次45至60分钟的视频会议，逐一讲解严重和高风险发现，并解答企业主或管理人员的问题。
评估范围
审查内容
- 多因素身份验证的注册与强制执行情况、安全默认值以及条件访问策略
- 管理员角色分配、应急（break-glass）账户，以及日常工作中是否使用特权角色
- 旧式身份验证及高风险登录相关配置
- 各发信域名的 SPF、DKIM 和 DMARC 记录
- 在已获许可的情况下，检查反网络钓鱼、反恶意软件以及安全链接（Safe Links）或安全附件（Safe Attachments）策略
- SharePoint、OneDrive 和 Teams 的外部共享设置，包括来宾访问
- 邮箱审核、统一审核日志状态以及自动对外转发设置
- Microsoft 安全分数（Secure Score）建议，并结合您的许可证级别进行解读
不在本评估范围内
- 更改配置或整改发现的问题
- 渗透测试或模拟攻击
- 本地 Active Directory、服务器和防火墙
- 设备安全状况（请参阅终端安全评估）
- 与租户连接的第三方 SaaS 应用（仅列出其同意授权，不作进一步审查）
- 法律、监管或合规意见
需要您提供的配合
- 一位指定联系人，负责批准访问权限并解答员工工作方式方面的问题
- 临时为 Podium Catchers 账户（或您创建的来宾账户）分配 Global Reader 和 Security Reader 角色
- 您用于发送电子邮件的所有域名清单，包括营销平台或开票平台所用的域名
- 约30分钟的简短启动会议，用于确认业务背景
- 如有计划中的变更（例如迁移）可能影响评估结果，请提前告知
适用对象
非常适合
使用 Microsoft 365 Business Basic、Standard 或 Premium，或 Office 365 及 Microsoft 365 E3、E5 计划，用户约5至200人，希望获得独立的租户安全评估的机构。
需要单独报价
存在多个租户、同步关系复杂的混合身份环境、用户超过约200人，或希望同时包含整改工作。这些情况会在购买前单独确定范围。
建议考虑其他产品
如果您关心的是许可证浪费、闲置账户或 Teams 泛滥，而不是安全控制措施，那么 Microsoft 365 租户审查是更合适的起点。
选项与计价方式
这是单一的固定范围产品，无需选择数量：一个租户、一份报告、一次结果讲解。拟定价格为 CA$499（不含适用税费），目前仅为拟定价格，仍待公司业务审批。在您付款之前，价格以书面报价为准。
如果您希望由我们修复所发现的问题，整改工作会在评估之后作为单独项目报价，或纳入 Microsoft 365 管理或托管IT套餐中。购买本评估并不意味着您必须选择其中任何一项。
交付流程
以下时间为一般情况，并非承诺，从只读访问权限到位之日起计算。
启动
通过一次简短通话确认域名、许可证计划、关键业务应用，以及您目前已经担心的问题。
授予访问权限
由您分配只读角色。我们确认能够查看所需的管理中心，且仅限于此。
审查
在大约五个工作日内，我们收集配置证据、检查 DNS 记录，并分析登录和审核设置。
报告与讲解
您先收到报告，随后我们一起逐项讲解。结束后由您移除我们的访问权限，或由我们与您一同确认权限已移除。
须知条款
价格、范围和服务条款均为草案，尚待公司业务及法律审批，在结账前会完整展示；本页条款文字在完成人工法律审核前不具有法律约束力。报告反映的是审查时的配置状况，属于某一时间点的评估，而非持续监控，也不证明符合任何标准。税费在结账时计算。
常见问题
评估会更改我们租户中的任何设置吗？
不会。我们使用只读角色，仅收集证据。任何更改都由您在结果讲解后自行决定，整改工作另行报价。
这与 Microsoft 安全分数（Secure Score）有什么不同？
安全分数列出的是通用建议。我们会核实哪些建议适用于您的许可证和工作方式，按业务风险进行评级，并涵盖 DMARC、转发规则等需要人工判断的领域。
需要多长时间？
从授予访问权限到结果讲解会议，通常需要一至两周。如访问权限或日程安排有所延误，时间会相应延长。
我们必须使用 Microsoft 365 Business Premium 吗？
不必。本评估适用于任何 Business 或 Enterprise 计划。如果某项建议的控制措施需要更高级别的许可证，报告会注明并说明替代方案。
你们能修复发现的问题吗？
可以，但需作为单独的服务项目。您之后可以转入 Microsoft 365 管理或托管IT套餐，这样修复措施能够得到持续维护，而不是只做一次。