Lista de verificación de seguridad de Microsoft 365 para pequeñas empresas

Consultar cuentas y acceso de administrador

Comience con quién puede iniciar sesión y quién puede cambiar su entorno. Incluye cuentas de soporte externo y personas que se han ido.

• Revise todos los administradores globales y otras funciones privilegiadas.
• Confirme la protección de MFA y las exclusiones de documentos.
• Utilice cuentas separadas para el trabajo y la administración de rutina.
• Elimine el acceso innecesario y revise los arreglos de acceso de emergencia.

Consultar correo electrónico y acceso externo

Las configuraciones de correo electrónico y uso compartido necesitan tanto una revisión de políticas como una verificación de lo que realmente está permitido. Documente las excepciones legítimas.

• Revise las reglas de reenvío externo automático y de reenvío de buzones.
• Revise la protección contra phishing y las alertas para detectar cambios sospechosos.
• Verifique el acceso de invitados y los permisos externos para compartir archivos.
• Revise cómo están configurados SPF, DKIM y DMARC para sus dominios.

Verificar recuperación y propiedad

La configuración de Microsoft 365 por sí sola no puede establecer que su organización pueda recuperarse de un incidente grave.

• Cobertura de respaldo de documentos y retención de los datos en los que confía.
• Solicite una prueba de restauración con fecha, alcance y resultado.
• Compruebe cómo se actualizan y protegen los dispositivos.
• Nombrar a las personas que manejarán los incidentes y hallazgos pendientes.

Dónde comprobar esto en Microsoft 365

Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.

Qué puede comprobar CyberProva automáticamente

Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.

• MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
• Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
• Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
• Acceso a archivos externos: SharePoint y OneDrive: Las evaluaciones avanzadas a partir del plan Business pueden leer determinados ajustes de uso compartido y vínculos del entorno Microsoft 365, cuando existe autorización. No realizan una auditoría del acceso archivo por archivo ni expediente jurídico por expediente jurídico.
• Protección y actualizaciones de endpoints: Defender para Business e Intune: Las evaluaciones avanzadas admiten determinadas observaciones sobre inventario de Intune, cumplimiento, cifrado y directivas clásicas, según los permisos y las licencias disponibles. La existencia de una directiva no demuestra su aplicación efectiva. CyberProva no verifica automáticamente la incorporación de los dispositivos a Defender EDR ni el estado de sus sensores.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.

Qué debes solicitar a tu proveedor de TI

Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.

• MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
• Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
• Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
• Acceso a archivos externos: SharePoint y OneDrive: Configuración de uso compartido de sitios relevantes y de inquilinos, excepciones de enlaces/invitados aprobados y resultados de revisión de acceso de muestra. Registre quién aprobó el acceso externo y qué se eliminó después de la revisión.
• Protección y actualizaciones de endpoints: Defender para Business e Intune: Inventario de dispositivos conciliado, incorporación/estado de Defender y cobertura de EDR, políticas de cumplimiento/actualización asignadas, resultados de implementación y registros de gestión de vulnerabilidades. Incluya dispositivos ausentes de Intune y cualquier herramienta de protección de terceros.
• Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.

Cómo ayuda CyberProva

CyberProva convierte las configuraciones seleccionadas de Microsoft 365 y los controles basados en evidencia en hallazgos que puede revisar. Algunos elementos de esta lista de verificación requieren que su organización o proveedor proporcione pruebas; no todos se escanean automáticamente.

Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →

Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft

Preguntas comunes