Guía de seguridad de Microsoft 365
Pruebas de seguridad de Microsoft 365 para empresas de contabilidad
Su práctica intercambia registros fiscales, información de nómina e instrucciones de pago con los clientes. Antes de un período de informes ocupado o de renovación de seguro, establezca cómo están protegidas las cuentas de Microsoft 365 utilizadas para ese trabajo, qué puede evidenciar su equipo de TI subcontratado y qué sistemas de contabilidad necesitan una revisión por separado.
Publicado · Última revisión · Por CyberProva
Ejecute su evaluación de seguridad gratuita de Microsoft 365No se requiere tarjeta · Conexión opcional de Microsoft 365 de solo lectura
Siga la información del cliente a través de su práctica.
Comience con un compromiso típico: los documentos llegan por correo electrónico o por un portal del cliente, el personal prepara el trabajo y los resultados regresan al cliente. Identifique dónde se utiliza Microsoft 365 y dónde otros proveedores guardan la información.
- Enumere los buzones de correo, los espacios de Teams y las ubicaciones de SharePoint o OneDrive utilizados para el trabajo del cliente.
- Incluya equipos de nómina, personal temporal y acuerdos de contabilidad subcontratados en la discusión sobre acceso.
- Registre los portales de contabilidad, impuestos, nómina y documentos que se encuentran fuera de la evaluación de Microsoft 365.
- Pregunte quién elimina el acceso cuando cambia un miembro del personal, un contratista o el compromiso del cliente.
Revisar juntos la protección de la cuenta y los procedimientos de cambio de pagos.
Un buzón de correo comprometido puede hacer que una solicitud fraudulenta parezca familiar. Los entornos técnicos y el proceso de aprobación de la práctica necesitan evidencia separada; ninguno de los dos establece que cada instrucción de pago sea genuina.
- Solicite pruebas de exclusión y aplicación de MFA para socios, personal y cuentas de proveedores privilegiados.
- Pídale al proveedor que revise las reglas de reenvío y buzón y que le explique cualquier destino externo legítimo.
- Confirme cómo se verifica una solicitud de cambio de datos bancarios o de nómina utilizando una ruta de contacto ya conocida por la práctica.
- Utilice un ejemplo redactado del registro de aprobación para analizar si se sigue el proceso, sin cargar los datos bancarios del cliente.
Prepárese para los plazos de presentación de informes y los traspasos de proveedores
Las brechas de recuperación y acceso pueden volverse urgentes cuando la ejecución de la nómina, la presentación de cuentas o la fecha límite de impuestos dependen del servicio afectado. Solicite evidencia de esas dependencias antes de considerar suficiente una declaración de respaldo general.
- Confirme qué archivos de clientes, buzones de correo y datos de aplicaciones están incluidos en la cobertura de respaldo.
- Solicite un registro de prueba de restauración completo para un flujo de trabajo representativo y pregunte qué se excluyó.
- Revisar el acceso otorgado al personal estacional antes y después del período de mayor actividad.
- Acuerde quién resolverá las solicitudes de pruebas pendientes y cuándo los socios las revisarán.
Dónde comprobar esto en Microsoft 365
Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.
MFA: Conditional Access o Security Defaults
Centro de administración de Microsoft Entra: ID de Entra > Conditional Access > Políticas; Ingrese ID > Descripción general > Propiedades > Valores predeterminados de seguridad; Métodos de autenticación > Actividad para informes de registro.
Conditional Access necesita Entra ID P1 o P2; Business Premium incluye P1. Security Defaults está disponible con Entra Free y es una línea base alternativa, no una capa adicional para habilitar junto con Conditional Access.
Reenvío de correo electrónico externo: Exchange Online
Centro de administración de Exchange: Destinatarios > Buzones > reenvío de buzones, además de Flujo de correo > Reglas y configuración de dominio remoto. Revise las reglas de la bandeja de entrada por separado. En Microsoft Defender, inspeccione las políticas antispam salientes y su configuración de reenvío externo.
Recuperación: retención y copia de seguridad de Exchange/SharePoint
Microsoft Purview: Gestión del ciclo de vida de los datos > Políticas de retención y etiquetas de retención relevantes; revise la configuración de restauración/papelera de reciclaje de Exchange y SharePoint/OneDrive con el administrador. Inspeccione el servicio de respaldo independiente y sus registros de recuperación.
La retención, el historial de versiones y las papeleras de reciclaje ofrecen diferentes funciones de recuperación. No asuma que son equivalentes a una copia de seguridad administrada de forma independiente ni satisfacen la definición de la aseguradora. Confirme las funciones de recuperación con licencia y los requisitos de restauración reales.
Qué puede comprobar CyberProva automáticamente
Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.
- MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
- Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.
Qué debes solicitar a tu proveedor de TI
Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.
- MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
- Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.
Haz que la respuesta sea demostrable
Paquete de evidencia para esta guía
- Un inventario de flujo de trabajo del cliente que separa Microsoft 365 de las plataformas de contabilidad, nómina e impuestos.
- Política de MFA con fecha, acceso privilegiado y registros de revisión del personal estacional.
- Evidencia de envío proporcionada por el proveedor y un ejemplo de aprobación de cambio de pago redactado.
- Alcance de la copia de seguridad y un registro de prueba de restauración completo relevante para el trabajo de fecha límite crítica de la práctica.
Cómo ayuda CyberProva
CyberProva incorpora observaciones seleccionadas de solo lectura de Microsoft 365 y evidencia de proveedores en una evaluación que su práctica puede revisar. Puede solicitar un registro a su proveedor de TI y decidir si admite el control. Gratis incluye 3 evaluaciones básicas de por vida, solicitudes de evidencia y un resumen en pantalla. Business y superiores agregan exportaciones de informes, flujos de trabajo de cuestionarios y gestión de soluciones. Su práctica aún revisa sus plataformas contables y procedimientos operativos por separado.
Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →
Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft
Ejemplo práctico
Ejemplo: preparar la práctica para una fecha límite de nómina
Solicitud de evidencia ilustrativa para una práctica que utiliza Microsoft 365 para la correspondencia con el cliente y una plataforma de nómina separada. Adapte el alcance y la fecha de revisión a su propio compromiso.
- Identifique las cuentas del personal y de los proveedores con acceso a nuestra correspondencia de nómina y a los documentos de respaldo de los clientes, incluido el personal temporal.
- Proporcione cobertura y exclusiones de la póliza MFA con fecha, la revisión del acceso privilegiado y la revisión del proveedor de los destinos de reenvío.
- Confirme la cobertura de respaldo para los archivos de respaldo e identifique al propietario de recuperación de la plataforma de nómina separada. Proporcione el último resultado de la prueba de restauración relevante.
- El gerente de práctica revisará estos registros junto con un ejemplo redactado de cómo se autorizan los cambios en los detalles de la nómina del cliente. Mantenga visibles las preguntas sin respuesta antes de la fecha límite.
Lo que esto no puede establecer
- Esta es la preparación de evidencia para controles seleccionados. No certifica el cumplimiento de los organismos profesionales, no valida cuentas o presentaciones de impuestos, ni audita todos los sistemas de la práctica.
- Una revisión de la configuración de Microsoft 365 no puede establecer que una instrucción del cliente sea genuina, que se hayan seguido los controles de pago o que la recuperación se realice correctamente. Esas afirmaciones necesitan pruebas operativas y una revisión adecuada.
Preguntas comunes
¿CyberProva comprobará nuestro software de contabilidad o impuestos?
La conexión de Microsoft 365 no audita las plataformas de contabilidad, impuestos, nómina o portales de clientes. Incluya esos servicios en su alcance más amplio y obtenga evidencia de sus administradores o proveedores.
¿Puede una evaluación evitar que el correo electrónico empresarial se vea comprometido?
Puede identificar hallazgos seleccionados y evidencia faltante para su revisión. No puede garantizar que una cuenta no esté comprometida o que una instrucción de pago sea auténtica. La verificación de pagos y la investigación de incidentes requieren sus propios procesos.
¿Deberíamos cargar las declaraciones de impuestos de los clientes como prueba?
Normalmente, la evidencia útil es un informe de configuración, una revisión de acceso o un registro de proceso redactado. Evite cargar registros financieros de clientes, credenciales u otro material sensible que sea innecesario para evaluar el control.
¿Necesitamos reemplazar nuestro proveedor de TI subcontratado?
No. Puede utilizar las solicitudes de evaluación y evidencia para aclarar el trabajo que realiza su proveedor actual. Los proveedores pueden enviar pruebas a través de un enlace de solicitud sin una cuenta CyberProva.
Orientación oficial
Utilice estas fuentes con su proveedor de TI cuando revise los controles descritos anteriormente.
De las suposiciones a la evidencia
Vea qué necesita atención en su organización
Comience con una evaluación gratuita CyberProva. Revise los hallazgos, identifique lagunas en la evidencia y acuerde prioridades con su equipo de TI.
Gratis incluye 3 evaluaciones básicas de por vida. Las exportaciones de informes y las funciones avanzadas requieren un plan pago.