Microsoft 365 ist nicht automatisch sicher: Die sieben Stellschrauben

Microsoft 365 suele adquirirse como una plataforma ya asegurada. Esto es solo media verdad: Microsoft opera la infraestructura de forma segura, pero Identidades, configuración y datos son su responsabilidad. Esta «responsabilidad compartida» (Shared Responsibility) es el punto donde las cosas fallan en la práctica. La buena noticia: los ajustes críticos son conocidos y manejables.

1. Autenticación multifactor sin excepciones

MFA para todas las cuentas, incluidos la dirección general y los proveedores externos. Igualmente importante: Desactivar la autenticación heredada (POP, IMAP, Basic Auth), ya que elude completamente el MFA y es la puerta de entrada más común para el secuestro de cuentas.

2. Cuentas de administrador separadas

La cuenta de uso diario no es la cuenta de administrador. Los administradores trabajan con dos identidades: una para el correo electrónico y los documentos, y otra para la administración. La cuenta de administrador recibe sin buzón y no se utiliza para ningún otro fin. De este modo, un clic de phishing en el día a día no llega al centro de datos.

3. Acceso condicional (Conditional Access) en lugar de confiar en la contraseña

Revise las políticas de acceso: evalúe el contexto en lugar de solo la contraseña—solo dispositivos gestionados, solo ubicaciones esperadas y bloqueo de inicios de sesión riesgosos. Quienes utilizan estas políticas convierten una contraseña robada en un dato sin valor.

4. Limitar el uso compartido externo y los accesos de invitados

Teams y SharePoint permiten un uso generoso del contenido compartido por defecto. Verifique lo siguiente: desactivación de enlaces anónimos, fechas de caducidad para invitados y revisiones de acceso periódicas. De lo contrario, los accesos externos permanecerán activos durante años, mucho después de que el proyecto haya finalizado.

5. Activar los registros de auditoría y las notificaciones

Sin una monitorización activa, nadie nota cuando se crean reglas de buzón o se descargan volúmenes masivos de datos. Los registros están disponibles; solo es necesario activarlos y analizarlos.

6. Copia de seguridad: Microsoft protege la plataforma, no sus datos

Los periodos de retención y las papeleras son sin copia de seguridadUna vez transcurridos los plazos, los correos electrónicos, los chats de Teams y los archivos eliminados desaparecen definitivamente, incluso en caso de borrado accidental o ransomware. El mantenimiento de un respaldo independiente de Exchange, SharePoint, OneDrive y Teams es responsabilidad propia del usuario.

7. Aprovechar al máximo las funciones de protección incluidas

Las directivas anti-phishing, Safe Links y Safe Attachments ya están incluidas según la licencia, pero vienen configuradas de forma conservadora por defecto. Quien las configure correctamente puede filtrar la mayor parte de los ataques antes de que lleguen a la bandeja de entrada.

El enfoque pragmático

Ninguna de estas medidas requiere un proyecto a gran escala: un endurecimiento básico se puede implementar en pocos días, tras lo cual un revisión trimestral de las directrices, los accesos de invitados y los registros. Lo importante es que alguien sea responsable; no puede simplemente «estar funcionando por ahí».

← todas las guías