Evaluación de seguridad de Microsoft 365 para pequeñas empresas

¿Qué debe cubrir la evaluación?

Comience con un alcance definido: su entorno de Microsoft 365, personas, cuentas de administrador y servicios conectados. Registre cualquier exclusión antes de interpretar una puntuación.

• Identidad: MFA, acceso de administrador y excepciones de autenticación.
• Correo electrónico: reenvío, protección contra phishing y cambios en las reglas del buzón.
• Acceso a datos: intercambio externo, invitados y revisiones de acceso.
• Recuperación: cobertura de respaldo, pruebas de restauración y responsabilidades de incidentes.

¿Cómo se realiza una evaluación útil?

Pídale a su equipo o proveedor de TI que identifique al propietario de cada control. Revise la configuración actual, solicite pruebas faltantes y proporcione a cada hallazgo una siguiente acción clara.

• Confirma las personas, dispositivos y servicios incluidos.
• Recopile informes de configuración fechados e identifique todo lo que no se pudo verificar.
• Separe los controles verificados de las lagunas de evidencia y los controles que necesitan acción.
• Acuerde los propietarios y las fechas previstas, luego vuelva a evaluar después de los cambios.

¿Qué te dice una puntuación?

Una puntuación resume los controles seleccionados. No prueba que todas las partes del negocio sean seguras, que nunca haya ocurrido un ataque o que una restauración funcione.

• Lea los hallazgos detrás de la partitura.
• Trate los datos faltantes como una brecha, en lugar de un resultado conforme.
• No utilice una evaluación de la configuración como sustituto de la investigación de incidentes o las pruebas de penetración.

Evaluación, auditoría o revisión: ¿cuál necesitas?

Una evaluación de seguridad de M365 establece una línea de base. Una auditoría de seguridad de Microsoft 365 puede implicar criterios acordados, pruebas detalladas y juicio profesional independiente. Una revisión de seguridad ayuda a revisar el puesto después de los cambios. Defina el alcance y los entregables antes de comparar servicios.

• Utilice una evaluación de referencia para identificar brechas de control seleccionadas y evidencia faltante.
• Encargar trabajos de auditoría o pruebas de penetración a especialistas cuando la cuestión lo requiera.
• Utilice revisiones de seguimiento para verificar si se completaron los cambios acordados.

Dónde comprobar esto en Microsoft 365

Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.

Qué puede comprobar CyberProva automáticamente

Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.

• MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
• Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
• Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
• Acceso a archivos externos: SharePoint y OneDrive: Las evaluaciones avanzadas a partir del plan Business pueden leer determinados ajustes de uso compartido y vínculos del entorno Microsoft 365, cuando existe autorización. No realizan una auditoría del acceso archivo por archivo ni expediente jurídico por expediente jurídico.
• Protección y actualizaciones de endpoints: Defender para Business e Intune: Las evaluaciones avanzadas admiten determinadas observaciones sobre inventario de Intune, cumplimiento, cifrado y directivas clásicas, según los permisos y las licencias disponibles. La existencia de una directiva no demuestra su aplicación efectiva. CyberProva no verifica automáticamente la incorporación de los dispositivos a Defender EDR ni el estado de sus sensores.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.

Qué debes solicitar a tu proveedor de TI

Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.

• MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
• Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
• Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
• Acceso a archivos externos: SharePoint y OneDrive: Configuración de uso compartido de sitios relevantes y de inquilinos, excepciones de enlaces/invitados aprobados y resultados de revisión de acceso de muestra. Registre quién aprobó el acceso externo y qué se eliminó después de la revisión.
• Protección y actualizaciones de endpoints: Defender para Business e Intune: Inventario de dispositivos conciliado, incorporación/estado de Defender y cobertura de EDR, políticas de cumplimiento/actualización asignadas, resultados de implementación y registros de gestión de vulnerabilidades. Incluya dispositivos ausentes de Intune y cualquier herramienta de protección de terceros.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.

Cómo ayuda CyberProva

CyberProva combina comprobaciones seleccionadas de solo lectura de Microsoft 365 con controles basados en evidencia. Puede comenzar sin conectar Microsoft 365, registrar las lagunas de evidencia y analizar los hallazgos con su proveedor de TI.

Compare las comprobaciones de referencia con una auditoría de seguridad de Microsoft 365 · Planificar una revisión de seguridad de seguimiento

Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft

Preguntas comunes