Guía de seguridad de Microsoft 365
Cyber Essentials y Microsoft 365: que preparar
Cyber Essentials La preparación de Microsoft 365 comienza con los servicios y dispositivos en la nube dentro del alcance, quién implementa los controles relevantes y la evidencia que respalda sus respuestas. Microsoft 365, a veces todavía llamado Office 365, es sólo una parte del panorama. La revisión de un inquilino por sí sola no establece el cumplimiento de toda la organización.
Publicado · Última revisión · Por CyberProva
Ejecute su evaluación de seguridad gratuita de Microsoft 365No se requiere tarjeta · Conexión opcional de Microsoft 365 de solo lectura
Prepare evidencia para las preguntas Danzell
El verificador de preparación gratuito tiene una sección opcional Cyber Essentials con ocho mensajes seleccionados y un resumen de acción separado. Es una ayuda de preparación independiente, no el cuestionario o la certificación oficial Danzell.
Utilice las preguntas de preparación Cyber Essentials¿Cómo encaja Microsoft 365 en las cinco áreas de control?
Cyber Essentials cubre firewalls, configuración segura, administración de actualizaciones de seguridad, control de acceso de usuarios y protección contra malware. Microsoft 365 es particularmente relevante para las cuentas, el acceso y la configuración segura; tus dispositivos y otros servicios también importan.
- Defina los límites de la evaluación con su organismo de certificación.
- Identificar los servicios en la nube utilizados para almacenar o procesar información organizacional.
- Documento que controla la implementación de su organización, proveedor y proveedor de la nube.
¿Qué debes preparar en Microsoft 365?
Recopile evidencia que responda las preguntas de evaluación para sus usuarios y servicios reales, en lugar de depender de una declaración genérica del proveedor.
- Una lista de cuentas, revisión de roles privilegiados y proceso de salida.
- Configuración de MFA y excepciones documentadas.
- Evidencia de configuraciones seguras y el manejo de métodos de acceso no admitidos.
- Protección de dispositivos y evidencia de actualización para un alcance más amplio.
¿Qué puede hacer una revisión de preparación?
Una revisión de preparación ayuda a encontrar lagunas en la evidencia y acordar soluciones antes de una solicitud de certificación. Mantenga la preparación y la certificación formal separadas.
- Utilice Danzell para las evaluaciones adquiridas a partir del 27 de abril de 2026, junto con los requisitos v3.3; Confirme la versión asignada a su evaluación.
- Consulte al Organismo de Certificación sobre el alcance y la interpretación.
- Conserve la evidencia y las fechas que respaldan las respuestas enviadas.
Dónde comprobar esto en Microsoft 365
Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.
MFA: Conditional Access o Security Defaults
Centro de administración de Microsoft Entra: ID de Entra > Conditional Access > Políticas; Ingrese ID > Descripción general > Propiedades > Valores predeterminados de seguridad; Métodos de autenticación > Actividad para informes de registro.
Conditional Access necesita Entra ID P1 o P2; Business Premium incluye P1. Security Defaults está disponible con Entra Free y es una línea base alternativa, no una capa adicional para habilitar junto con Conditional Access.
Acceso de administrador: Entra roles y PIM
Centro de administración de Microsoft Entra: ID de Entra > Roles y administradores para las asignaciones actuales; Gobernanza de ID > Gestión de identidad privilegiada para acceso elegible y configuraciones de activación donde se tenga licencia.
PIM necesita Entra ID P2 o Entra ID Governance para usuarios relevantes. No se incluye simplemente porque un inquilino tiene Business Premium/P1. La preparación para el acceso de emergencia necesita revisión humana.
Protección y actualizaciones de endpoints: Defender para Business e Intune
Portal de Microsoft Defender: Activos > Dispositivos e informes de seguridad/puntos finales relevantes. Centro de administración de Microsoft Intune: Seguridad de dispositivos y terminales > Cumplimiento del dispositivo; inspeccionar las políticas de actualización asignadas y los informes de implementación para cada plataforma.
Defender para Business está incluido en Business Premium o se puede comprar por separado. Los derechos de Intune y de dispositivo/SO también deben ajustarse a la implementación. Las observaciones avanzadas del dispositivo pueden no estar disponibles si falta el consentimiento requerido; Inspeccione la página de permisos y las lagunas informadas.
Qué puede comprobar CyberProva automáticamente
Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.
- MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
- Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
- Protección y actualizaciones de endpoints: Defender para Business e Intune: Las evaluaciones avanzadas admiten determinadas observaciones sobre inventario de Intune, cumplimiento, cifrado y directivas clásicas, según los permisos y las licencias disponibles. La existencia de una directiva no demuestra su aplicación efectiva. CyberProva no verifica automáticamente la incorporación de los dispositivos a Defender EDR ni el estado de sus sensores.
Qué debes solicitar a tu proveedor de TI
Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.
- MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
- Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
- Protección y actualizaciones de endpoints: Defender para Business e Intune: Inventario de dispositivos conciliado, incorporación/estado de Defender y cobertura de EDR, políticas de cumplimiento/actualización asignadas, resultados de implementación y registros de gestión de vulnerabilidades. Incluya dispositivos ausentes de Intune y cualquier herramienta de protección de terceros.
Haz que la respuesta sea demostrable
Paquete de evidencia para esta guía
- El alcance acordado y el inventario de servicios en la nube.
- Acceso y evidencia de MFA para cuentas dentro del alcance.
- Registros de protección y actualización del dispositivo proporcionados por su equipo de TI.
Cómo ayuda CyberProva
CyberProva ayuda a organizar controles seleccionados y evidencia de respaldo en las cinco áreas de control técnico. Sus hallazgos apoyan la preparación; CyberProva no es un organismo de certificación y no emite certificados Cyber Essentials o Cyber Essentials Plus.
Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →
Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft
Ejemplo práctico
Ejemplo de solicitud de preparación Cyber Essentials
Envíe esto a su proveedor de TI junto con las preguntas del esquema actual y el alcance propuesto. Adáptalo a los requisitos que apliquen a tu aplicación.
- Confirme los usuarios, dispositivos y servicios en la nube incluidos, incluidos los trabajadores remotos y el acceso de proveedores.
- Proporcione evidencia fechada de la cuenta, el administrador y la política de MFA, con explicaciones de las exclusiones.
- Proporcione el inventario de dispositivos, las versiones de software compatibles, los registros de actualización y la configuración de protección para un alcance más amplio.
- Identifique cada cuestión no resuelta, la persona responsable y la siguiente acción planificada.
Lo que esto no puede establecer
- CyberProva admite la preparación en controles seleccionados; no valida todas las respuestas del cuestionario del plan.
- Una evaluación de inquilinos no cubre todos los dispositivos, redes o servicios en su alcance de certificación. Confirme los requisitos y el alcance actuales con su organismo de certificación.
Preguntas comunes
¿Puede la configuración de Microsoft 365 por sí sola certificarnos?
No. La certificación se refiere al alcance organizativo acordado y a los requisitos del esquema. Otros dispositivos, servicios y controles pueden ser relevantes.
¿Es una evaluación CyberProva Cyber Essentials Plus?
No. Cyber Essentials Plus implica pruebas técnicas independientes del esquema. Tramitar la certificación a través de un Organismo de Certificación.
Orientación oficial
Utilice estas fuentes con su proveedor de TI cuando revise los controles descritos anteriormente.
De las suposiciones a la evidencia
Vea qué necesita atención en su organización
Comience con una evaluación gratuita CyberProva. Revise los hallazgos, identifique lagunas en la evidencia y acuerde prioridades con su equipo de TI.
Gratis incluye 3 evaluaciones básicas de por vida. Las exportaciones de informes y las funciones avanzadas requieren un plan pago.