Pruebas de seguridad de Microsoft 365 para agencias de contratación

Mapee la ruta de un candidato a través de sus sistemas

Siga un flujo de trabajo de contratación típico desde la solicitud hasta el envío del cliente y su posterior retención o eliminación. Utilice el mapa para evitar responder una pregunta sobre todo el servicio utilizando evidencia únicamente del inquilino del correo electrónico.

• Identifique el sistema de seguimiento de candidatos, las bolsas de trabajo, las herramientas de análisis de CV y las ubicaciones de documentos compartidos utilizados por la agencia.
• Registre dónde se copia o exporta la información del candidato al correo electrónico, Teams, SharePoint o OneDrive.
• Identifique qué parte administra cada sistema y quién puede proporcionar registros de acceso y recuperación.
• Mantener las decisiones de retención y eliminación de datos de candidatos en manos del equipo responsable; una evaluación de Microsoft 365 no establece ni valida esas decisiones.

Revisar el acceso de los consultores y el intercambio de candidatos

El acceso de una agencia puede cambiar cuando los consultores cambian de escritorio, los contratistas se van o las relaciones con los clientes terminan. Revise los permisos y las rutas de uso compartido que respaldan esos cambios, en lugar de depender únicamente del recuento de cuentas.

• Solicite el alcance y las exclusiones de la política de MFA para consultores, administradores e identidades de soporte externo.
• Verifique el proceso de eliminación de acceso tanto en Microsoft 365 como en el sistema de seguimiento de candidatos.
• Solicite pruebas de cómo se comparten los documentos de los candidatos con los clientes y cómo se maneja el acceso caducado.
• Revisar las aplicaciones conectadas y sus permisos cuando sean compatibles; Pregunte a cada proveedor sobre controles fuera de la evaluación del inquilino.

Responder las preguntas de aseguramiento de un cliente dentro del alcance de la evidencia.

Un cliente puede preguntar cómo la agencia protege la información de los candidatos, gestiona el acceso de los proveedores o recupera su servicio de colocación. Mantenga la respuesta vinculada a los sistemas y registros realmente revisados.

• Distinga las observaciones automatizadas de Microsoft 365 de los documentos de proveedores y las declaraciones de proveedores de seguimiento de solicitantes.
• Pregunte si los registros de recuperación incluyen los datos y las exportaciones que la agencia necesita para seguir funcionando.
• Deje abiertas las preguntas sobre integraciones o plataformas no revisadas hasta que el proveedor correspondiente proporcione pruebas.
• Haga que el revisor responsable de la agencia apruebe la respuesta antes de enviarla a adquisiciones.

Dónde comprobar esto en Microsoft 365

Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.

Qué puede comprobar CyberProva automáticamente

Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.

• MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
• Acceso a archivos externos: SharePoint y OneDrive: Las evaluaciones avanzadas a partir del plan Business pueden leer determinados ajustes de uso compartido y vínculos del entorno Microsoft 365, cuando existe autorización. No realizan una auditoría del acceso archivo por archivo ni expediente jurídico por expediente jurídico.
• Aplicaciones conectadas: aplicaciones intraempresariales: Evaluación básica: recuento de determinadas aplicaciones. Evaluaciones avanzadas a partir del plan Business: inventario de aplicaciones admitido y permisos de aplicación de Microsoft Graph otorgados sin un usuario conectado. El consentimiento delegado, otras API y la seguridad interna de un proveedor quedan fuera de este inventario.

Qué debes solicitar a tu proveedor de TI

Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.

• MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
• Acceso a archivos externos: SharePoint y OneDrive: Configuración de uso compartido de sitios relevantes y de inquilinos, excepciones de enlaces/invitados aprobados y resultados de revisión de acceso de muestra. Registre quién aprobó el acceso externo y qué se eliminó después de la revisión.
• Aplicaciones conectadas: aplicaciones intraempresariales: Un registro de proveedor/aplicación aprobado, fechas de propietario y revisión, justificaciones de permisos y registros de garantía para servicios fuera de Microsoft 365. Una aplicación habilitada no es prueba de que esté en uso o aprobada.

Cómo ayuda CyberProva

CyberProva combina comprobaciones seleccionadas de solo lectura de Microsoft 365 con solicitudes de evidencia del proveedor. Puede ayudar a su agencia a mantener visible la base de una respuesta de seguridad e identificar brechas que un proveedor debe abordar. Gratis incluye 3 evaluaciones básicas de por vida, solicitudes de evidencia y un resumen en pantalla. Business y superiores agregan redacción de cuestionarios a partir de controles mapeados, exportaciones de informes y gestión de remediación. Las preguntas sobre su plataforma de seguimiento de candidatos o el proceso de contratación más amplio aún necesitan evidencia y revisión adecuadas.

Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →

Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft

Lo que esto no puede establecer

• CyberProva no certifica el cumplimiento del RGPD del Reino Unido ni establece la legalidad, retención o eliminación de cada registro de candidato. Esas preguntas requieren una revisión de las actividades de procesamiento completas de la agencia y de la orientación actual.
• Una observación de un inquilino no establece la seguridad de una plataforma de seguimiento de candidatos, de los sistemas internos de un proveedor o de cada copia posterior de un CV. La evidencia del proveedor permanece sujeta a la revisión de su organización.

Preguntas comunes