En este artículo
En Microsoft 365, Microsoft protege los centros de datos, los servidores, la red física y el sistema operativo del servicio; la empresa sigue siendo responsable de los datos, las cuentas, los accesos y los equipos de los usuarios. Lo dice la propia Microsoft en su documentación oficial. Por eso, la frase «los datos están en Microsoft 365, así que están seguros» —la que más oímos en los diagnósticos— acierta con el edificio y falla con las llaves. Este artículo muestra el reparto de responsabilidades y los diez controles que corresponden a su organización.
Resumen para la dirección
- Cuatro responsabilidades son suyas Datos, cuentas, accesos y equipos.
- El riesgo está en la configuración La mayoría de los incidentes proviene de cuentas sin MFA, enlaces compartidos abiertos o exempleados con acceso, no de fallos de Microsoft.
- 99,9% Según Microsoft, la MFA y el bloqueo de la autenticación heredada frenan más del 99,9% de los ataques habituales a cuentas.
- Revisión trimestral Una checklist de 10 puntos cubre lo esencial.
Quién responde de cada capa
Microsoft distingue tres tipos de servicio en la nube. En el software como servicio (SaaS) —Exchange Online, OneDrive, SharePoint y Teams— asume casi toda la pila técnica. Pero en todos los modelos el cliente es dueño de sus datos y de sus identidades.
| Capa | Responsable | En la práctica |
|---|---|---|
| Centros de datos, servidores y red física | Microsoft | Energía, refrigeración, averías, seguridad física |
| Sistema operativo y controles de red del servicio | Microsoft | Actualización de los servidores y protección de la plataforma |
| Configuración de las aplicaciones | Compartida | Microsoft mantiene el software; la empresa define cómo se configura |
| Equipos de los usuarios | Compartida, protección a cargo de la empresa | Portátiles y móviles actualizados, cifrados y protegidos |
| Cuentas y accesos | Empresa | Alta y baja de cuentas, MFA, permisos, acceso condicional |
| Datos | Empresa | Clasificación, cifrado, retención y cumplimiento normativo |
Una imagen ayuda: Microsoft es el propietario de un edificio muy bien vigilado, con conserje, cámaras y muros sólidos. La llave de su oficina, la lista de quién puede usarla y lo que se queda encima de la mesa son decisiones suyas. Si reparte copias de la llave, el conserje no tiene forma de saberlo.
Control 1: la identidad es el nuevo perímetro
Antes, llegar a los archivos implicaba entrar en la red de la oficina. En Microsoft 365 basta un correo y una contraseña, desde cualquier ordenador del mundo.
Los valores predeterminados de seguridad de Microsoft, sin coste adicional, obligan a todos los usuarios a registrar la MFA (normalmente una aprobación en el móvil), piden MFA a los administradores en cada inicio de sesión y bloquean protocolos de autenticación antiguos. Vienen activados por defecto en muchos inquilinos creados desde el 22 de octubre de 2019, pero no en todos, y hay organizaciones que los desactivaron «porque molestaban». Las alternativas se explican en la guía de autenticación multifactor en la empresa.
Tres preguntas que deberían responderse en minutos:
- Administradores globales — ¿cuántos hay? Deberían ser dos o tres, no diez.
- Cobertura de la MFA — ¿todas las cuentas, incluidas las compartidas y las de servicio, tienen MFA o están bloqueadas para iniciar sesión?
- Bajas — ¿están desactivadas las cuentas de quienes se fueron en los últimos 12 meses?
Control 2: uso compartido externo decidido, no heredado
Según Microsoft, el uso compartido externo viene activado por defecto en SharePoint y OneDrive para toda la organización. Colaborar con clientes y socios es útil, pero debe ser una decisión consciente.
El punto crítico son los enlaces «Cualquier persona»: quien recibe el enlace abre el archivo sin autenticarse, y un reenvío se lleva el archivo consigo.
- Enlaces anónimos Desactivar o imponer fecha de caducidad.
- Invitados Compartir solo con quien se autentica.
- Sitios sensibles Cerrar el uso compartido externo en finanzas, recursos humanos y dirección.
- Revisión Depurar la lista de invitados externos cada trimestre.
El correo merece atención propia: reenvíos automáticos al exterior, reglas creadas por atacantes y dominios fáciles de suplantar. Vea qué falla en la seguridad del correo en Microsoft 365.
Control 3: equipos y datos
Un portátil sin cifrar, olvidado en un taxi con Outlook y OneDrive sincronizados, es una fuga de datos sobre ruedas. Microsoft no lo gestiona: la documentación atribuye al cliente la protección de los equipos que acceden a los servicios. Eso significa disco cifrado, sistema actualizado, antivirus gestionado e, idealmente, reglas que bloqueen los equipos que no cumplen.
En los datos, la empresa toma dos decisiones: qué es confidencial y quién lo ve, y durante cuánto tiempo se conserva. La copia de seguridad forma parte de la segunda y no viene incluida como muchos creen; explicamos por qué en copia de seguridad de Microsoft 365 para empresas. Algunas protecciones dependen del plan de licencias, como se ve en licencias de Microsoft 365 y seguridad en las pymes.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Los 10 controles trimestrales
| # | Control | Periodicidad |
|---|---|---|
| 1 | MFA activa en todas las cuentas, sin excepciones olvidadas | Mensual |
| 2 | Autenticación heredada bloqueada | Una vez; confirmar cada trimestre |
| 3 | Administradores globales al mínimo, con cuentas separadas de las del día a día | Trimestral |
| 4 | Cuentas de exempleados desactivadas el día de la baja | En cada baja |
| 5 | Enlaces «Cualquier persona» desactivados o con caducidad | Una vez; revisar cada trimestre |
| 6 | Invitados externos revisados | Trimestral |
| 7 | Reenvío automático de correo al exterior bloqueado | Una vez |
| 8 | Portátiles y móviles cifrados, actualizados y gestionados | Mensual |
| 9 | Copia de seguridad independiente con prueba de restauración | Trimestral |
| 10 | Registros de auditoría activos y alertas de inicios de sesión sospechosos | Continua |
Caso real: Massamá y Monte Abraão
En la União das Freguesias de Massamá e Monte Abraão, DataRoad migró unos 50 buzones a Exchange Online, con su historial y estructura de carpetas. Tras la migración, los puestos y los dispositivos móviles se reconfiguraron y validaron, con correo, calendario y contactos sincronizando sin fallos. Para una entidad pública, la nube aportó además más control, retención y auditoría del correo. El proyecto se describe en migración a Microsoft 365 en Massamá y Monte Abraão.
Cómo asume DataRoad esta parte
La administración de Microsoft 365 para empresas —cuentas, MFA, uso compartido y dispositivos— está incluida en los planes IT Unlimited. En IT Unlimited Essential, a partir de 10 puestos, el soporte es remoto y telefónico, lo que cubre casi todas estas tareas; no incluye desplazamientos in situ.
Preguntas frecuentes
Si atacan una cuenta de la empresa, ¿responde Microsoft?
Por regla general, no. En el modelo de responsabilidad compartida, las cuentas, los accesos y la MFA corresponden al cliente. Microsoft protege la plataforma; quien entra con una contraseña robada usa la puerta que controla la empresa.
¿Bastan los valores predeterminados de seguridad?
Para muchas pymes son un buen comienzo y no tienen coste adicional. Con licencias que incluyen acceso condicional se puede ir más allá, por ejemplo exigiendo equipos gestionados o bloqueando inicios de sesión desde determinados países.
¿Limitar el uso compartido externo perjudica el trabajo con clientes?
No, si se calibra bien: uso compartido con invitados autenticados, enlaces anónimos bloqueados o limitados y uso compartido externo cerrado solo en los sitios sensibles.
¿Con qué frecuencia se revisa la configuración?
Una revisión completa cada trimestre y una comprobación rápida cada vez que alguien entra o sale. La configuración cambia sin avisar: nuevas funciones, nuevos invitados, nuevas excepciones.
Siguiente paso: revisión de seguridad de Microsoft 365 en 5 días laborables
Verificamos cuentas, MFA, administradores, uso compartido externo, reenvíos, dispositivos y copias de seguridad, y entregamos las correcciones ordenadas por riesgo. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
