Guía de seguridad de Microsoft 365
Lista de verificación de renovación del seguro cibernético de Microsoft 365: lo que su aseguradora puede preguntar
La renovación de su seguro cibernético pregunta si existen controles importantes. Antes de firmar, conecte cada respuesta con la evidencia actual de su negocio. Comience con las preguntas reales de la aseguradora, establezca qué pueden mostrar los controles de Microsoft 365 y solicite a su proveedor de TI que llene los vacíos restantes.
Publicado · Última revisión · Por CyberProva
Ejecute su evaluación de seguridad gratuita de Microsoft 365No se requiere tarjeta · Conexión opcional de Microsoft 365 de solo lectura
Convierta las preguntas en un resumen de acción
El cuestionario gratuito tiene nueve preguntas: una sobre la redacción del asegurador y el alcance de la empresa, seguida de las ocho preguntas de control de esta guía. Registre sus declaraciones y las pruebas pendientes. No determina la cobertura ni la elegibilidad del seguro.
Pruebe el verificador de preparación del seguroDescargue la lista de verificación de renovación
Ocho preguntas ilustrativas, un registro de evidencias y un ejemplo trabajado. Adáptelo a la redacción de su aseguradora; no es un estándar de seguro universal.
Descargue la lista de verificación de renovación (PDF) (edición en inglés)No se requiere correo electrónico ni cuenta. Lea la lista de verificación HTML accesible (edición en inglés).
Comience con las preguntas de renovación y el alcance del negocio.
Mantenga la redacción, las definiciones y el plazo originales. Una pregunta sobre todo el acceso remoto o todos los datos comerciales puede extenderse mucho más allá de su inquilino de Microsoft 365.
- Identifique las cuentas, dispositivos, aplicaciones y ubicaciones cubiertas por cada pregunta.
- Pídale a su corredor o aseguradora que le aclare un texto que no puede responder con confianza.
- Compare las respuestas del año pasado con la evidencia actual y los cambios en su entorno.
Reúna evidencia de los controles en sus respuestas.
Utilice esto como lista de preparación para adaptarla a su formulario de renovación. Cada registro debe identificar la fuente, fecha, alcance, excepciones y persona que lo revisó.
- MFA: registro más políticas de aplicación y exclusiones aplicables; el registro por sí solo no establece la cobertura.
- Acceso de administrador: asignaciones de roles, cuentas de proveedores y una revisión de acceso fechada.
- Correo electrónico: configuración de protección y reenvío relevante proporcionada por su equipo de TI.
- Recuperación: cobertura de respaldo, retención y un registro de prueba de restauración que muestra lo que se restauró y el resultado.
- Controles más amplios: protección de dispositivos, actualizaciones de software y evidencia de respuesta a incidentes cuando el formulario los solicite.
Resolver lagunas antes de enviar la respuesta de renovación
Mantenga un control que no se haya establecido separado de uno que se haya verificado y se haya determinado que necesita acción. Una solución planificada no establece que un control ya esté funcionando.
- Pregúntele a su proveedor qué pruebas faltan y revise si responden a la pregunta real.
- Registre exclusiones y problemas no resueltos con un propietario designado.
- Haga que la persona responsable revise las respuestas finales y aclare la incertidumbre con el corredor o asegurador.
Dónde comprobar esto en Microsoft 365
Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.
MFA: Conditional Access o Security Defaults
Centro de administración de Microsoft Entra: ID de Entra > Conditional Access > Políticas; Ingrese ID > Descripción general > Propiedades > Valores predeterminados de seguridad; Métodos de autenticación > Actividad para informes de registro.
Conditional Access necesita Entra ID P1 o P2; Business Premium incluye P1. Security Defaults está disponible con Entra Free y es una línea base alternativa, no una capa adicional para habilitar junto con Conditional Access.
Acceso de administrador: Entra roles y PIM
Centro de administración de Microsoft Entra: ID de Entra > Roles y administradores para las asignaciones actuales; Gobernanza de ID > Gestión de identidad privilegiada para acceso elegible y configuraciones de activación donde se tenga licencia.
PIM necesita Entra ID P2 o Entra ID Governance para usuarios relevantes. No se incluye simplemente porque un inquilino tiene Business Premium/P1. La preparación para el acceso de emergencia necesita revisión humana.
Protección y actualizaciones de endpoints: Defender para Business e Intune
Portal de Microsoft Defender: Activos > Dispositivos e informes de seguridad/puntos finales relevantes. Centro de administración de Microsoft Intune: Seguridad de dispositivos y terminales > Cumplimiento del dispositivo; inspeccionar las políticas de actualización asignadas y los informes de implementación para cada plataforma.
Defender para Business está incluido en Business Premium o se puede comprar por separado. Los derechos de Intune y de dispositivo/SO también deben ajustarse a la implementación. Las observaciones avanzadas del dispositivo pueden no estar disponibles si falta el consentimiento requerido; Inspeccione la página de permisos y las lagunas informadas.
Reenvío de correo electrónico externo: Exchange Online
Centro de administración de Exchange: Destinatarios > Buzones > reenvío de buzones, además de Flujo de correo > Reglas y configuración de dominio remoto. Revise las reglas de la bandeja de entrada por separado. En Microsoft Defender, inspeccione las políticas antispam salientes y su configuración de reenvío externo.
Recuperación: retención y copia de seguridad de Exchange/SharePoint
Microsoft Purview: Gestión del ciclo de vida de los datos > Políticas de retención y etiquetas de retención relevantes; revise la configuración de restauración/papelera de reciclaje de Exchange y SharePoint/OneDrive con el administrador. Inspeccione el servicio de respaldo independiente y sus registros de recuperación.
La retención, el historial de versiones y las papeleras de reciclaje ofrecen diferentes funciones de recuperación. No asuma que son equivalentes a una copia de seguridad administrada de forma independiente ni satisfacen la definición de la aseguradora. Confirme las funciones de recuperación con licencia y los requisitos de restauración reales.
Monitoreo de incidentes: alertas del defensor y propiedad de la respuesta
Portal de Microsoft Defender: Incidentes y alertas, políticas de alerta aplicables y servicio de monitoreo del proveedor. Inspeccione el procedimiento de respuesta a incidentes y los contactos de escalada a lo largo del portal.
CyberProva Professional Las comprobaciones programadas son evaluaciones periódicas y no sustituyen a las operaciones de seguridad ni al servicio de respuesta a incidentes.
Aplicaciones conectadas: aplicaciones intraempresariales
Centro de administración de Microsoft Entra: aplicaciones empresariales y registros de aplicaciones; Revisar los permisos de la aplicación, el propietario y el propósito comercial con su proveedor. Inspeccione el seguimiento de solicitantes u otra administración de servicios por separado.
Qué puede comprobar CyberProva automáticamente
Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.
- MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
- Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
- Protección y actualizaciones de endpoints: Defender para Business e Intune: Las evaluaciones avanzadas admiten determinadas observaciones sobre inventario de Intune, cumplimiento, cifrado y directivas clásicas, según los permisos y las licencias disponibles. La existencia de una directiva no demuestra su aplicación efectiva. CyberProva no verifica automáticamente la incorporación de los dispositivos a Defender EDR ni el estado de sus sensores.
- Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.
- Monitoreo de incidentes: alertas del defensor y propiedad de la respuesta: La disponibilidad de los registros de auditoría del directorio en la evaluación básica es una observación limitada, no una prueba de supervisión activa de Defender. CyberProva no verifica de forma independiente la clasificación de alertas, la cobertura de respuesta a incidentes ni el servicio de supervisión de un proveedor.
- Aplicaciones conectadas: aplicaciones intraempresariales: Evaluación básica: recuento de determinadas aplicaciones. Evaluaciones avanzadas a partir del plan Business: inventario de aplicaciones admitido y permisos de aplicación de Microsoft Graph otorgados sin un usuario conectado. El consentimiento delegado, otras API y la seguridad interna de un proveedor quedan fuera de este inventario.
Qué debes solicitar a tu proveedor de TI
Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.
- MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
- Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
- Protección y actualizaciones de endpoints: Defender para Business e Intune: Inventario de dispositivos conciliado, incorporación/estado de Defender y cobertura de EDR, políticas de cumplimiento/actualización asignadas, resultados de implementación y registros de gestión de vulnerabilidades. Incluya dispositivos ausentes de Intune y cualquier herramienta de protección de terceros.
- Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.
- Monitoreo de incidentes: alertas del defensor y propiedad de la respuesta: Ejemplos de alerta/clasificación redactados, alcance del servicio monitoreado, horarios y arreglos de escalamiento, respondedores nombrados y un procedimiento de incidente ejercitado. Pregunte qué sucede fuera del horario de soporte del proveedor.
- Aplicaciones conectadas: aplicaciones intraempresariales: Un registro de proveedor/aplicación aprobado, fechas de propietario y revisión, justificaciones de permisos y registros de garantía para servicios fuera de Microsoft 365. Una aplicación habilitada no es prueba de que esté en uso o aprobada.
Preguntas ilustrativas sobre la renovación del seguro cibernético
Éstas son indicaciones de preparación, no requisitos de políticas universales. Conserve las definiciones de la aseguradora y aclare los términos ambiguos con su corredor o aseguradora.
Ejemplo resuelto: tres estados de evidencia diferentes
Ejemplo de preparación ficticia, no un resultado del cliente ni una respuesta aprobada por la aseguradora. Mantenga la fuente y el estado de revisión con cada respuesta propuesta.
- Observado automáticamente: el recopilador principal de solo lectura recuperó las asignaciones de roles actuales de Entra. Esto respalda una declaración de inventario; no establece que las cesiones estén justificadas ni que siempre se aplique la AMF.
- Prueba aportada: el proveedor de TI subió un informe de incorporación de Defender fechado. Se sigue proporcionando evidencia hasta que su organización revise su alcance, conciliación de dispositivos y excepciones; cargar por sí solo no es verificación.
- Aún no confirmado: no se conserva ningún registro de prueba de restauración completado. Mantenga la recuperación sin confirmar, solicite el resultado y aclare la respuesta final con el revisor responsable y la aseguradora en lugar de convertirla en un resultado conforme.
Haz que la respuesta sea demostrable
Paquete de evidencia para esta guía
- El cuestionario de renovación con sus definiciones y alcance.
- Hallazgos fechados de Microsoft 365 y registros de acceso y MFA de respaldo.
- Recuperación proporcionada por el proveedor y evidencia de control más amplio, con un historial de respuestas no resueltas.
Cómo ayuda CyberProva
CyberProva combina comprobaciones seleccionadas de solo lectura de Microsoft 365 con solicitudes de evidencia a su equipo de TI. Su organización revisa la evidencia presentada y ve las lagunas restantes. Gratis incluye 3 evaluaciones básicas de por vida y un resumen en pantalla. Business y superiores agregan exportaciones de informes y redacción de cuestionarios; esos borradores aún necesitan su revisión antes de enviarlos.
Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →
Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft
Ejemplo práctico
Ejemplo de solicitud de prueba de renovación
Adapte esta solicitud a la redacción exacta y al alcance del formulario de su aseguradora. Es una plantilla de preparación, no una declaración de que los controles están presentes.
- Para nuestra renovación, proporcione la póliza MFA con fecha y evidencia de cobertura para las cuentas incluidas, incluido el acceso de administrador y proveedor y todas las exclusiones.
- Proporcione la revisión actual del rol privilegiado y explique cualquier acción pendiente de eliminación de acceso.
- Para los datos mencionados en el formulario, confirme la cobertura de la copia de seguridad y proporcione el registro de prueba de restauración más reciente, incluidos los datos restaurados, la fecha y el resultado.
- Enumere todo lo que no esté establecido, fuera del alcance de su servicio o en espera de corrección para que podamos revisarlo antes de enviar nuestras respuestas.
Lo que esto no puede establecer
- Una evaluación de Microsoft 365 no demuestra que se cumplan todas las condiciones de la póliza de seguro. Los dispositivos, otros servicios y los procedimientos de la empresa pueden requerir documentación adicional.
- CyberProva no decide coberturas, primas ni reclamaciones, y no garantiza la aceptación del asegurador. Revise las preguntas y obligaciones sobre pólizas con su corredor o aseguradora.
Preguntas comunes
¿La retención de Microsoft 365 es lo mismo que una copia de seguridad?
No. Las políticas de retención, las papeleras de reciclaje y el historial de versiones ofrecen diferentes funciones y límites. No asuma que proporcionan una copia de seguridad administrada de forma independiente, aislamiento o la capacidad de recuperación descrita por su aseguradora. Solicite el alcance real de la copia de seguridad, la separación de acceso y la evidencia de prueba de restauración completa.
¿Una evaluación satisfará a nuestra aseguradora?
La aseguradora decide qué documentación acepta para su póliza. Utilice los resultados para respaldar sus respuestas y compruebe los requisitos con su corredor o aseguradora.
¿Podemos responder que sí si MFA está registrado para todos?
El registro por sí solo no demuestra que se aplique MFA para todas las cuentas y rutas de acceso relevantes. Consulte con su administrador las políticas, exclusiones y registros de respaldo aplicables.
¿Podemos empezar sin conectar Microsoft 365?
Sí. Puede comenzar con controles basados en evidencia y solicitudes de proveedores. La conexión opcional de Microsoft 365 agrega comprobaciones seleccionadas de solo lectura; no verifica automáticamente cada pregunta de renovación.
¿El informe de renovación es gratuito?
Gratis incluye hallazgos en pantalla y un resumen. Los informes exportables y la redacción de cuestionarios requieren Business o superior. Puede leer este ejemplo de solicitud de pruebas sin una cuenta.
Orientación oficial
Utilice estas fuentes con su proveedor de TI cuando revise los controles descritos anteriormente.
De las suposiciones a la evidencia
Vea qué necesita atención en su organización
Comience con una evaluación gratuita CyberProva. Revise los hallazgos, identifique lagunas en la evidencia y acuerde prioridades con su equipo de TI.
Gratis incluye 3 evaluaciones básicas de por vida. Las exportaciones de informes y las funciones avanzadas requieren un plan pago.