Guía de seguridad de Microsoft 365
Seguridad del administrador de Microsoft 365: revise el acceso del administrador global
El acceso de administrador global puede cambiar configuraciones críticas en su entorno de Microsoft 365. Una revisión útil pregunta quién tiene ese acceso, por qué lo necesita, cómo está protegido y cómo se recuperaría la empresa si el acceso normal de administrador dejara de funcionar.
Publicado · Última revisión · Por CyberProva
Ejecute su evaluación de seguridad gratuita de Microsoft 365No se requiere tarjeta · Conexión opcional de Microsoft 365 de solo lectura
¿Cuántos administradores globales debería tener?
Microsoft recomienda asignar el rol a menos de cinco personas y utilizar roles más limitados siempre que sea posible. Trate esto como una sugerencia de revisión, no como una afirmación de que un recuento en particular hace que una organización sea segura.
- Identificar asignaciones directas y accesos privilegiados a través de grupos.
- Separe el acceso permanente del acceso elegible o por tiempo limitado.
- Revisar cuentas de proveedores, personal anterior y asignaciones inexplicables.
¿Cómo se debe proteger el acceso del administrador?
Pregunte si las personas necesitan el rol completo o un permiso más limitado. Separe la administración del correo electrónico y la navegación cotidianos.
- Utilice cuentas con nombre y protección MFA adecuada.
- Revise las excepciones de la política de acceso y autenticación.
- Registre el motivo comercial, el propietario y la fecha de revisión de cada asignación.
¿Qué pasa con el acceso de emergencia?
La recuperación necesita una planificación deliberada. Pídale a su administrador que documente el acceso de emergencia, la protección, el monitoreo y las pruebas antes de realizar cambios en los roles privilegiados.
- Sepa quién puede recuperar el acceso si falla la autenticación normal.
- Revise las cuentas de acceso de emergencia por separado de los administradores de rutina.
- No elimine el acceso únicamente para alcanzar un recuento objetivo sin un plan de recuperación.
Dónde comprobar esto en Microsoft 365
Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.
Acceso de administrador: Entra roles y PIM
Centro de administración de Microsoft Entra: ID de Entra > Roles y administradores para las asignaciones actuales; Gobernanza de ID > Gestión de identidad privilegiada para acceso elegible y configuraciones de activación donde se tenga licencia.
PIM necesita Entra ID P2 o Entra ID Governance para usuarios relevantes. No se incluye simplemente porque un inquilino tiene Business Premium/P1. La preparación para el acceso de emergencia necesita revisión humana.
MFA: Conditional Access o Security Defaults
Centro de administración de Microsoft Entra: ID de Entra > Conditional Access > Políticas; Ingrese ID > Descripción general > Propiedades > Valores predeterminados de seguridad; Métodos de autenticación > Actividad para informes de registro.
Conditional Access necesita Entra ID P1 o P2; Business Premium incluye P1. Security Defaults está disponible con Entra Free y es una línea base alternativa, no una capa adicional para habilitar junto con Conditional Access.
Qué puede comprobar CyberProva automáticamente
Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.
- Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
- MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
Qué debes solicitar a tu proveedor de TI
Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.
- Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
- MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
Haz que la respuesta sea demostrable
Paquete de evidencia para esta guía
- Un informe fechado de asignación de roles privilegiados.
- Constancia de administrador MFA y cuentas separadas.
- Un procedimiento de acceso de emergencia revisado y un registro de eliminación de acceso.
Cómo ayuda CyberProva
CyberProva incluye revisión de administrador global de solo lectura donde está disponible el acceso necesario, junto con controles de acceso privilegiado basados en evidencia. Revise los hallazgos con su proveedor; un recuento de roles no puede establecer si cada asignación está justificada.
Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →
Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft
Preguntas comunes
¿Un administrador global es siempre más seguro?
Un conteo bajo aún puede dejar privilegios excesivos o un único punto de falla. Considere el privilegio mínimo y la recuperación juntos.
¿Nuestro proveedor de TI debería tener acceso de administrador global?
Es posible que necesiten acceso privilegiado para tareas acordadas. Pregunte qué permisos son necesarios, si el acceso puede ser más restringido o limitado en el tiempo y cómo se revisa.
Orientación oficial
Utilice estas fuentes con su proveedor de TI cuando revise los controles descritos anteriormente.
De las suposiciones a la evidencia
Vea qué necesita atención en su organización
Comience con una evaluación gratuita CyberProva. Revise los hallazgos, identifique lagunas en la evidencia y acuerde prioridades con su equipo de TI.
Gratis incluye 3 evaluaciones básicas de por vida. Las exportaciones de informes y las funciones avanzadas requieren un plan pago.