¿Qué pruebas de seguridad debería pedirle a su proveedor de TI?

Comience con las responsabilidades y el alcance del servicio.

Compare los controles en los que se basa su empresa con los servicios que su proveedor ha acordado prestar. Pueden surgir brechas entre el proveedor, su personal y otros proveedores.

• Confirme qué inquilino, cuentas, dispositivos y datos administra el proveedor.
• Pregunte quién es el propietario de las revisiones de acceso, las actualizaciones, las copias de seguridad y la escalada de incidentes.
• Registre los servicios y tareas excluidos que requieran un acuerdo por separado.

Solicitar evidencia que responda a una pregunta específica.

Evite una solicitud amplia para demostrar que todo está seguro. Comience con la protección de la cuenta, el acceso privilegiado y la recuperación, luego amplíe según los riesgos comerciales y el alcance acordado.

• MFA: evidencia de cobertura fechada, alcance de la póliza y excepciones.
• Acceso de administrador: asignaciones de roles actuales, identidades de proveedores y resultados de revisión.
• Recuperación: cobertura de respaldo y un registro de prueba de restauración completo con alcance y resultado.
• Correo electrónico y dispositivos: exportaciones de configuración relevantes, cobertura de protección y registros de actualización proporcionados por el proveedor.

Revise la respuesta y acuerde lo que sucederá a continuación.

Un proveedor que carga un documento no demuestra que respalda el control. Su organización debe comprobar el alcance, la fecha y el resultado antes de aceptarlo.

• Mantener la solicitud y respuesta de evidencia vinculada al control que se está revisando.
• Haga preguntas de seguimiento cuando la evidencia esté obsoleta, incompleta o para otro entorno.
• Registre quién revisó la evidencia y si fue aceptada o rechazada.
• Acuerde los propietarios y los próximos pasos para las brechas, luego actualice la evidencia después de cambios relevantes.

Dónde comprobar esto en Microsoft 365

Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.

Qué puede comprobar CyberProva automáticamente

Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.

• MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
• Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.

Qué debes solicitar a tu proveedor de TI

Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.

• MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
• Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.

Cómo ayuda CyberProva

CyberProva le permite solicitar pruebas de respaldo de un equipo interno, MSP o proveedor subcontratado a través de un enlace de carga. El proveedor no necesita una cuenta CyberProva. Su organización revisa y acepta o rechaza la respuesta. Las comprobaciones opcionales de solo lectura de Microsoft 365 proporcionan observaciones de configuraciones seleccionadas junto con esa evidencia. Gratis incluye 3 evaluaciones básicas de por vida; las exportaciones de informes y la gestión de remediación requieren Business o superior.

Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →

Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft

Lo que esto no puede establecer

• Las verificaciones de configuraciones seleccionadas y los documentos enviados no pueden establecer todos los servicios que brinda su proveedor. Revise el acuerdo de servicio y encargue el trabajo de un especialista cuando sea necesario.
• CyberProva no cambia la configuración de Microsoft 365 ni realiza pruebas de restauración. Su equipo de TI autorizado implementa cambios y proporciona evidencia operativa.

Preguntas comunes