Una configuración de seguridad de referencia en Microsoft 365 es el conjunto mínimo de ajustes que cabe esperar en cualquier tenant, por pequeña que sea la empresa. Esta lista de comprobación de seguridad en Microsoft 365 recoge 21 ajustes en lenguaje sencillo, agrupados por áreas: inicio de sesión, cuentas de administrador, correo, dispositivos, uso compartido, copias de seguridad y registros, y cada cuánto conviene volver a revisarlos. Cada punto indica qué comprobar y por qué importa.
Parte de la base de que ya usa Microsoft 365 y quiere saber si lo esencial está en su sitio. Si aún está decidiendo qué modelo de nube necesita, empiece por nuestra guía de servicios cloud, que esta página no repite. Lo que sigue es orientación general, no una auditoría, y no promete resultados.
Qué es una configuración de referencia y cómo usar esta lista
Una configuración de referencia no es una certificación ni una puntuación. Es una lista corta de decisiones que su empresa toma a propósito: quién puede iniciar sesión y cómo, quién puede administrar el tenant, qué sale de la empresa por correo o por uso compartido y qué podría investigar o recuperar tras un incidente. Dejarlas por escrito importa tanto como los ajustes, porque un ajuste que nadie recuerda haber elegido tiende a desviarse.
Recorra la lista en orden. Los puntos 1 a 8 van primero porque las cuentas comprometidas son un punto de partida habitual. Algunos controles dependen de su licencia; Microsoft publica una guía que indica qué servicios requieren qué suscripción (véase Fuentes), y aquí no detallamos diferencias porque cambian. Para ver cómo se diferencian los planes Business, consulte nuestra guía Microsoft 365 Business Basic, Standard o Premium. Para cada punto anote una respuesta: hecho, parcial, no aplica o desconocido. Trate «desconocido» como una carencia por cerrar.
Identidad y autenticación multifactor
El inicio de sesión es la puerta de entrada, así que estos cuatro puntos van primero.
- Exija autenticación multifactor (MFA) a todos los usuarios. Incluya al personal a tiempo parcial, a colaboradores externos y a las cuentas del servicio de soporte. Por qué importa: una contraseña robada o adivinada deja de bastar para entrar. Microsoft incluye el registro de MFA de todos los usuarios entre los controles básicos de sus valores predeterminados de seguridad.
- Bloquee la autenticación heredada. Los protocolos y clientes antiguos, como IMAP, POP3 o versiones antiguas de Office, no admiten MFA. Averigüe antes qué depende de ellos: escáneres, aplicaciones de gestión, clientes de correo antiguos. Por qué importa: Microsoft indica que la autenticación heredada no admite MFA, de modo que un atacante puede usarla para saltarse la comprobación.
- Haga de Microsoft Authenticator el método principal. Los valores predeterminados de seguridad piden registrar las notificaciones de Authenticator, y también sirven los códigos de otras aplicaciones de autenticación. No desactive métodos mientras estén activados esos valores. Por qué importa: la notificación muestra un número que el usuario debe introducir, algo que, según Microsoft, ayuda frente a la fatiga de MFA, cuando alguien aprueba una solicitud que no inició.
- Elija entre valores predeterminados de seguridad y acceso condicional, y déjelo por escrito. Los valores predeterminados son ajustes preconfigurados, de activar o desactivar, sin licencia adicional. El acceso condicional permite reglas por usuario, ubicación, dispositivo o aplicación y requiere al menos Microsoft Entra ID P1 (compruebe las licencias vigentes), según Microsoft Learn a fecha de hoy. Al sustituir uno por otro, desactive los valores predeterminados y active sus directivas de inmediato. Por qué importa: un tenant a medio camino entre ambos puede dejar huecos que nadie advierte.
Cuentas de administrador y acceso con privilegios
La administración de Microsoft 365 concentra mucho poder: los administradores pueden cambiar ajustes de todo el tenant, así que una cuenta de administrador comprometida causa mucho más daño que una normal.
- Dé a cada administrador una cuenta aparte. La cuenta del correo y la navegación no debería ser la que tiene roles de administración; Microsoft hace la misma recomendación. Por qué importa: un administrador que lee correo todo el día está expuesto a cada mensaje de phishing que recibe esa persona.
- Exija MFA en los inicios de sesión de administración y no comparta cuentas de administrador. Cada administrador debe entrar con su nombre, para poder rastrear las acciones. Por qué importa: con credenciales compartidas es imposible saber quién cambió qué.
- Mantenga pocos administradores y asigne a cada uno el rol más acotado posible. Cuente cuántas cuentas tienen el rol de administrador global y justifique cada una. Los roles de Exchange, SharePoint o soporte suelen bastar. Por qué importa: cuantas menos cuentas poderosas, menos que proteger y revisar.
- Cree al menos dos cuentas de acceso de emergencia. Use contraseñas largas y únicas, guárdelas de forma segura, no las use a diario y pruébelas de vez en cuando. Planifique con cuidado cómo se excluyen de las directivas. Por qué importa: una directiva errónea o un móvil perdido no deberían dejar a todos los administradores fuera del tenant.
Protección del correo electrónico
El correo sigue siendo una vía habitual de phishing y de fraude de facturas, y un buzón comprometido puede usarse también contra sus clientes.
- Publique registros SPF, DKIM y DMARC en cada dominio desde el que envíe correo. Empiece con DMARC en modo de supervisión, lea los informes y endurezca la política después. Por qué importa: estos registros ayudan a que los receptores rechacen correo falsificado que dice venir de su dominio. Nuestra guía de SPF, DKIM y DMARC detalla los pasos.
- Revise el reenvío automático a direcciones externas. Busque reglas y ajustes de buzón que reenvíen correo fuera de la empresa y decida si los permite. Por qué importa: una regla de reenvío oculta puede indicar una cuenta comprometida y saca correo sin que nadie lo note.
- Active la protección contra phishing y contra archivos adjuntos o enlaces peligrosos, según su licencia. Compruebe qué incluye su plan, que está activado y quién revisa la cuarentena. Por qué importa: los filtros incluidos pero desactivados no protegen a nadie.
Dispositivos y aplicaciones
- Mantenga un inventario de los dispositivos que abren datos de la empresa. Incluya móviles y dispositivos personales usados para el correo. Exija bloqueo de pantalla, actualizaciones al día y cifrado de disco, con Intune u otra herramienta de gestión si su licencia lo permite. Por qué importa: es menos probable que perder un portátil acabe en una brecha de datos.
- Retire dispositivos y accesos cuando alguien se marcha. Use una lista de baja: desactivar la cuenta, cerrar sesiones, recuperar o borrar dispositivos y revisar buzones compartidos y grupos. Por qué importa: el personal que se ha ido no debería conservar acceso a través de un móvil que nadie recuerda. Para los pasos completos de altas y bajas, consulte nuestro checklist de alta y baja de empleados en IT.
Uso compartido, invitados y datos
- Defina con criterio el uso compartido externo. Microsoft señala que el uso compartido externo está activado de forma predeterminada en todo el entorno de SharePoint y OneDrive, aunque no todos los sitios nuevos lo permiten. Fije el nivel de organización y restrinja después los sitios concretos; cuando los ajustes difieren, se aplica el más restrictivo. Por qué importa: el valor predeterminado puede ser más amplio que su política.
- Prefiera invitados identificados a los vínculos «Cualquiera» para contenido sensible. Guarde el material confidencial en sitios con el uso compartido externo desactivado. Por qué importa: Microsoft describe los vínculos «Cualquiera» como uso compartido no autenticado, así que quien obtenga el vínculo podría abrir el archivo.
- Revise según un calendario las cuentas de invitado y la pertenencia a grupos. Elimine a los invitados cuyo proyecto haya terminado y confirme quién responde de cada equipo. Por qué importa: el acceso antiguo de invitados se acumula sin ruido y casi nunca se echa en falta.
Copias de seguridad, retención y registros
Copias de seguridad y retención
- Mantenga una copia de seguridad de los datos de Microsoft 365 bajo su control. Las papeleras y el historial de versiones ayudan con borrados accidentales, pero los plazos de retención son limitados y varían según el servicio y la licencia. Nuestra guía de copias de seguridad y recuperación trata el RPO, el RTO y la regla 3-2-1. Por qué importa: que un servicio esté disponible no es lo mismo que tener una copia recuperable.
- Pruebe la restauración de un buzón y de una biblioteca de documentos al menos una vez al año. Anote cuánto tardó y qué falló. Por qué importa: una copia que nunca se ha restaurado es una suposición.
Registros y alertas
- Compruebe que el registro de auditoría está activado. Microsoft indica que la auditoría está activada de forma predeterminada en las organizaciones de Microsoft 365, pero no en las licencias Microsoft 365 Empresa (Básico, Standard y Premium); verifíquelo y consulte la documentación actual de Microsoft. Cuando está activada, la retención suele ser de 180 días en el momento de redactar esto, según las directivas de retención y la licencia; consulte la documentación actual de Microsoft. Por qué importa: sin registros de auditoría, saber «quién hizo qué y cuándo» es difícil después de un incidente.
- Decida quién recibe las alertas de seguridad y quién actúa. Envíelas a un grupo supervisado, no al buzón de una sola persona, y acuerde qué hacer después. Por qué importa: una alerta que nadie lee no sirve de nada.
Cadencia de revisión: mantener la referencia al día
- Ponga una revisión periódica en el calendario. Consulte cada mes la puntuación de seguridad de Microsoft como tendencia, no como objetivo; Microsoft indica que no todas las recomendaciones encajan en todos los entornos y permite aceptar un riesgo. Cada trimestre, revise la lista de administradores, los invitados, las reglas de reenvío y el uso compartido, y repita cada año la prueba de restauración y esta lista. Por qué importa: el tenant cambia cuando cambian las personas, las aplicaciones y las licencias, y una referencia solo ayuda si se mantiene al día.
Asigne una persona responsable en la dirección, que acepte los riesgos que queden abiertos. Si la directiva NIS2 puede afectarle, nuestra guía de NIS2 para pymes ofrece información general, no asesoramiento jurídico, y seguir esta lista no garantiza el cumplimiento.
Qué revisamos normalmente primero
BlueNova IT tiene su sede en Tallin y trabaja con pymes de Europa, con soporte en español e inglés de lunes a viernes, de 09:00 a 18:00 CET. Una revisión de un tenant (inquilino) de Microsoft 365 puede empezar por las mismas áreas, en este orden:
- Cómo inicia sesión el personal: cobertura de MFA y protocolos heredados que sigan activos.
- Quién administra el tenant: roles de administración, cuentas compartidas y acceso de emergencia.
- Correo: autenticación del dominio y reglas de reenvío externo.
- Uso compartido: ajustes de uso compartido externo y cuentas de invitado.
- Evidencias y recuperación: si la auditoría está activada, quién ve las alertas y qué se copia.
El resultado puede ser una lista escrita y priorizada de carencias para que usted decida. El alcance se acuerda con cada organización y no prometemos resultados ni tiempos de respuesta. Si quiere ayuda para aplicarla, vea nuestros servicios de Cloud y Microsoft 365 y de ciberseguridad, o póngase en contacto con nosotros. BlueNova IT no se atribuye ninguna condición de partner de Microsoft; los nombres de producto se usan aquí solo para describir ajustes.
Fuentes
- Microsoft Learn: Valores predeterminados de seguridad en Microsoft Entra ID: controles básicos, métodos de autenticación, cuentas de administración independientes y comparación con el acceso condicional
- Microsoft Learn: Puntuación de seguridad de Microsoft: cómo funcionan la puntuación y sus acciones recomendadas
- Microsoft Learn: Activar o desactivar la auditoría: estado predeterminado de la auditoría, retención y excepción de las licencias de pequeña empresa
- Microsoft Learn: Introducción al uso compartido externo en SharePoint y OneDrive: valores predeterminados, niveles de organización y de sitio, y vínculos para compartir
- Microsoft Learn: Guía de licencias de seguridad de Microsoft 365: guía de licencias y enlaces a las descripciones de servicio
Relacionado: Cloud y Microsoft 365, servicios de ciberseguridad, Cómo elegir servicios cloud para su empresa: SaaS, PaaS e IaaS comparados, Copias de seguridad y recuperación para empresas: RPO, RTO y la regla 3-2-1, Directiva NIS2 para pymes: qué es y primeros pasos.
