Pruebas de seguridad de Microsoft 365 para bufetes de abogados

Revisar quién puede acceder a la información del asunto.

Los documentos del asunto pueden moverse entre un sistema de administración de casos, correo electrónico y ubicaciones compartidas de Microsoft 365. Una configuración a nivel de inquilino no establece quién puede acceder a cada asunto o si se está aplicando una restricción ética.

• Identificar dónde se almacena la correspondencia y los documentos y quién administra cada servicio.
• Solicite una revisión de acceso fechada que cubra al personal de soporte, sustitutos, consultores, invitados externos y cuentas de proveedores, cuando corresponda.
• Haga que el equipo responsable revise los enlaces para compartir y acceda a una muestra adecuada de ubicaciones de materia restringida.
• Registre las acciones de eliminación de acceso en las salidas del personal o en los traspasos de asuntos sin recopilar documentos innecesarios del cliente.

Trate las instrucciones de pago como un control separado

Los recursos contra delitos cibernéticos de la SRA describen fraudes que involucran instrucciones de pago alteradas. Revisar la protección de la cuenta es útil, pero su empresa también necesita establecer cómo el personal verifica las instrucciones y escala las discrepancias.

• Solicite pruebas de cumplimiento de MFA y acceso de administrador para las cuentas utilizadas en las comunicaciones financieras y con clientes.
• Solicite la revisión del proveedor de TI de las reglas de reenvío relevantes y problemas de acceso inusuales.
• Revise el procedimiento para confirmar los datos bancarios modificados utilizando información de contacto establecida y verificada de forma independiente.
• Discuta un ejemplo de proceso redactado con el líder de finanzas o cumplimiento; No utilice una puntuación de configuración para aprobar una transferencia.

Brinde a los socios una discusión clara sobre evidencia

Separe las observaciones de entornos confirmados, la evidencia aceptada por la firma y las preguntas que permanecen abiertas. Explique qué servicios al cliente podrían verse afectados y qué decisión deben tomar los socios.

• Mantenga el alcance de la evaluación y las exclusiones visibles junto al informe.
• Identifique cualquier evidencia de recuperación necesaria para el correo electrónico, el almacenamiento de documentos y el servicio de administración de casos por separado.
• Acuerde quién obtendrá los registros faltantes o implementará cambios y cuándo se revisarán los hallazgos.
• Utilice los recursos de la SRA y la Law Society con los asesores responsables de la firma al considerar obligaciones profesionales más amplias.

Cómo encaja Lexcel en la gestión de riesgos e información

Lexcel es la marca de calidad de gestión de prácticas de la Law Society y cubre áreas que incluyen gestión de riesgos e información. Una empresa que busca o mantiene una acreditación puede utilizar registros de control fechados en su revisión de gestión más amplia; una evaluación CyberProva no es una acreditación de Lexcel ni una certificación cibernética general.

• Pídale a la persona responsable de Lexcel que relacione la evidencia relevante con el estándar actual y las políticas de la empresa.
• Mantenga registros de capacitación, manejo de información, proveedores y procesos de incidentes junto con observaciones técnicas.
• Utilice el proceso de acreditación y los asesores adecuados para establecer lo que la empresa necesita demostrar.

Seguridad del RGPD del Reino Unido: medidas técnicas y organizativas

La guía de seguridad de la ICO vincula las medidas técnicas y organizativas apropiadas con el riesgo, la confidencialidad, la integridad, la disponibilidad, la recuperación y las pruebas. Para una empresa que maneja información personal, la evidencia de la configuración es un aporte para esa revisión. Actualmente, la OIC marca esta orientación como bajo revisión; consultar su última publicación al momento de aplicarlo.

• Revisar los riesgos en el procesamiento real y los flujos de información de la empresa con el responsable de protección de datos.
• Mantenga evidencia de revisiones de acceso, procedimientos del personal, pruebas de recuperación y mejoras de seguimiento.
• No trate la puntuación de un inquilino como prueba de cumplimiento del RGPD del Reino Unido o de privilegio profesional legal.

Dinero del cliente y las reglas de cuentas SRA

Para las empresas dentro de su alcance, las Reglas de Cuentas de la SRA abordan el manejo del dinero de los clientes y los retiros debidamente autorizados y supervisados. La configuración de Entra o Exchange por sí sola no puede establecer el cumplimiento de esos requisitos.

• Haga que los líderes de finanzas y cumplimiento revisen los controles apropiados para las transacciones de la empresa.
• Conservar registros proporcionados y redactados de autorización de pago, verificación y supervisión independientes.
• Separe una observación técnica de protección de cuenta de una conclusión sobre un retiro en particular o el cumplimiento de las Reglas de Cuentas de la empresa.

Dónde comprobar esto en Microsoft 365

Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.

Qué puede comprobar CyberProva automáticamente

Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.

• MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
• Acceso de administrador: Entra roles y PIM: Evaluación básica: asignaciones actuales de roles de directorio y cuentas o entidades con el rol Administrador global. Evaluación avanzada: observaciones admitidas sobre acceso permanente cuando las fuentes necesarias están disponibles. Los recuentos básicos no resuelven la pertenencia a grupos ni todos los accesos elegibles de PIM.
• Reenvío de correo electrónico externo: Exchange Online: La conexión básica de Graph de CyberProva no enumera las reglas de bandeja de entrada de Exchange, el reenvío de buzones ni las reglas de transporte. Estos controles requieren documentación justificativa; no son comprobaciones automáticas del contenido de los buzones.
• Acceso a archivos externos: SharePoint y OneDrive: Las evaluaciones avanzadas a partir del plan Business pueden leer determinados ajustes de uso compartido y vínculos del entorno Microsoft 365, cuando existe autorización. No realizan una auditoría del acceso archivo por archivo ni expediente jurídico por expediente jurídico.

Qué debes solicitar a tu proveedor de TI

Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.

• MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
• Acceso de administrador: Entra roles y PIM: Asignaciones de funciones, registros separados de cuentas de administrador, requisitos de activación y aprobación de PIM cuando se utilicen, y registros de prueba, monitoreo y custodia de acceso de emergencia revisados. Un rol designado no establece una necesidad comercial.
• Reenvío de correo electrónico externo: Exchange Online: Un inventario de reglas/reenvío fechado con destinos y excepciones, políticas de flujo de correo y spam saliente aplicables, y una revisión por parte de un administrador de cambios sospechosos o inesperados.
• Acceso a archivos externos: SharePoint y OneDrive: Configuración de uso compartido de sitios relevantes y de inquilinos, excepciones de enlaces/invitados aprobados y resultados de revisión de acceso de muestra. Registre quién aprobó el acceso externo y qué se eliminó después de la revisión.

Cómo ayuda CyberProva

CyberProva ayuda a su empresa a revisar observaciones seleccionadas de Microsoft 365 y solicitar registros de respaldo a su proveedor de TI. La firma acepta o rechaza las pruebas presentadas; CyberProva no verifica de forma independiente todos los hechos subyacentes. Gratis incluye 3 evaluaciones básicas de por vida y un resumen en pantalla. Business y superiores agregan exportaciones de informes de la junta y gestión de remediación, lo que puede respaldar una revisión de un socio. La firma proporciona el contexto profesional y aprueba las conclusiones.

Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →

Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft

Lo que esto no puede establecer

• CyberProva no establece el cumplimiento de las reglas de la SRA, el privilegio profesional legal, los controles de dinero del cliente ni ninguna obligación de confidencialidad. Los juicios legales y profesionales relevantes permanecen en manos de la firma y sus asesores.
• Las observaciones seleccionadas de Microsoft 365 no auditan el sistema de gestión de expedientes, no verifican instrucciones bancarias ni investigan incidentes. Encargue una revisión adicional cuando la cuestión lo requiera.

Preguntas comunes