Guía de seguridad de Microsoft 365
Evidencias para cuestionarios de seguridad de clientes y proveedores
Un cliente o equipo de adquisiciones envía un cuestionario de seguridad con una fecha límite. Necesita respuestas que su empresa pueda respaldar, en lugar de un conjunto de declaraciones tranquilizadoras. Mantenga cada pregunta vinculada a su alcance, evidencia fechada y la persona responsable de aprobar la respuesta.
Publicado · Última revisión · Por CyberProva
Ejecute su evaluación de seguridad gratuita de Microsoft 365No se requiere tarjeta · Conexión opcional de Microsoft 365 de solo lectura
Comprenda lo que el solicitante le pide que pruebe.
Confirme qué servicio, unidad de negocio y sistemas cubre el cuestionario. Cuando responde como proveedor, la pregunta de su cliente puede referirse a todo su servicio, no solo a Microsoft 365.
- Conserve la pregunta original y cualquier definición o adjunto requerido.
- Registre el solicitante, fecha límite y revisor interno.
- Aclare preguntas que combinen varios controles o impliquen un alcance más amplio del que puede evidenciar.
Construya un rastro de evidencia para cada respuesta
Una política describe una práctica prevista; un informe de configuración o un registro de prueba pueden ayudar a mostrar qué está funcionando. Elija evidencia que respalde la redacción de la respuesta.
- Para preguntas de acceso, recopile reseñas de cuentas, políticas de MFA y excepciones relevantes.
- Si tiene preguntas sobre recuperación, recopile el alcance de la copia de seguridad y los registros de prueba de restauración completados.
- Para dudas sobre el proceso, solicite la póliza pertinente y los registros que demuestren su uso.
- Registre la fuente de evidencia, la fecha de revisión y las limitaciones; Actualizar la evidencia cuando el alcance o el control cambie.
Utilice borradores como punto de partida para una respuesta revisada.
En el flujo de trabajo del cuestionario Business de CyberProva, puede pegar preguntas y revisar sus asignaciones a los controles de evaluación. Los borradores distinguen hallazgos automatizados, evidencia aceptada, controles fallidos y hechos que no han sido establecidos.
- Verifique cada mapeo de control sugerido con la pregunta antes de usar el borrador.
- Responda usted mismo las preguntas fuera del catálogo con pruebas de respaldo adecuadas.
- Revise las respuestas incompletas o fallidas y explique la posición actual con precisión.
- Apruebe la redacción final y comparta solo la evidencia que el solicitante necesita.
Dónde comprobar esto en Microsoft 365
Pídale a su administrador autorizado que inspeccione estas áreas en busca de cuentas, servicios y dispositivos dentro del alcance. Estas son ubicaciones de revisión, no instrucciones para cambiar la configuración sin un plan.
MFA: Conditional Access o Security Defaults
Centro de administración de Microsoft Entra: ID de Entra > Conditional Access > Políticas; Ingrese ID > Descripción general > Propiedades > Valores predeterminados de seguridad; Métodos de autenticación > Actividad para informes de registro.
Conditional Access necesita Entra ID P1 o P2; Business Premium incluye P1. Security Defaults está disponible con Entra Free y es una línea base alternativa, no una capa adicional para habilitar junto con Conditional Access.
Acceso a archivos externos: SharePoint y OneDrive
Centro de administración de SharePoint: Políticas > Compartir para la configuración de inquilinos y Sitios activos > sitio seleccionado > Configuración para compartir sitios. Revise los permisos individuales de OneDrive/sitio y comparta enlaces e invitados con el propietario responsable.
Aplicaciones conectadas: aplicaciones intraempresariales
Centro de administración de Microsoft Entra: aplicaciones empresariales y registros de aplicaciones; Revisar los permisos de la aplicación, el propietario y el propósito comercial con su proveedor. Inspeccione el seguimiento de solicitantes u otra administración de servicios por separado.
Recuperación: retención y copia de seguridad de Exchange/SharePoint
Microsoft Purview: Gestión del ciclo de vida de los datos > Políticas de retención y etiquetas de retención relevantes; revise la configuración de restauración/papelera de reciclaje de Exchange y SharePoint/OneDrive con el administrador. Inspeccione el servicio de respaldo independiente y sus registros de recuperación.
La retención, el historial de versiones y las papeleras de reciclaje ofrecen diferentes funciones de recuperación. No asuma que son equivalentes a una copia de seguridad administrada de forma independiente ni satisfacen la definición de la aseguradora. Confirme las funciones de recuperación con licencia y los requisitos de restauración reales.
Qué puede comprobar CyberProva automáticamente
Las observaciones de solo lectura dependen del plan seleccionado, la licencia de Microsoft, el consentimiento y los datos disponibles. La falta de acceso es una brecha, no un resultado conforme. Revisa el permisos documentados y limitaciones de implementación.
- MFA: Conditional Access o Security Defaults: Evaluación básica: determinadas observaciones sobre las directivas de Conditional Access. Evaluaciones avanzadas a partir del plan Business: observaciones admitidas sobre el registro de MFA, la cobertura de las directivas y Security Defaults. No demuestran que todos los inicios de sesión estén protegidos.
- Acceso a archivos externos: SharePoint y OneDrive: Las evaluaciones avanzadas a partir del plan Business pueden leer determinados ajustes de uso compartido y vínculos del entorno Microsoft 365, cuando existe autorización. No realizan una auditoría del acceso archivo por archivo ni expediente jurídico por expediente jurídico.
- Aplicaciones conectadas: aplicaciones intraempresariales: Evaluación básica: recuento de determinadas aplicaciones. Evaluaciones avanzadas a partir del plan Business: inventario de aplicaciones admitido y permisos de aplicación de Microsoft Graph otorgados sin un usuario conectado. El consentimiento delegado, otras API y la seguridad interna de un proveedor quedan fuera de este inventario.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: CyberProva no verifica automáticamente la cobertura de retención, el aislamiento de las copias de seguridad ni el éxito de las restauraciones. Estos controles requieren registros aportados y una revisión por parte de la organización.
Qué debes solicitar a tu proveedor de TI
Mantenga la fuente, fecha, alcance, excepciones y revisor con cada registro. La presentación y la aceptación son independientes; su organización decide si la evidencia respalda el reclamo.
- MFA: Conditional Access o Security Defaults: Estado de política fechado, usuarios/aplicaciones objetivo, exclusiones, niveles de autenticación y registros de registro; evidencia de inicio de sesión representativa revisada por un administrador. Las políticas de solo informes y el registro por sí solos no establecen el cumplimiento.
- Acceso a archivos externos: SharePoint y OneDrive: Configuración de uso compartido de sitios relevantes y de inquilinos, excepciones de enlaces/invitados aprobados y resultados de revisión de acceso de muestra. Registre quién aprobó el acceso externo y qué se eliminó después de la revisión.
- Aplicaciones conectadas: aplicaciones intraempresariales: Un registro de proveedor/aplicación aprobado, fechas de propietario y revisión, justificaciones de permisos y registros de garantía para servicios fuera de Microsoft 365. Una aplicación habilitada no es prueba de que esté en uso o aprobada.
- Recuperación: retención y copia de seguridad de Exchange/SharePoint: Alcance de retención/eliminación, cobertura y retención de la carga de trabajo de respaldo, separación administrativa o aislamiento/inmutabilidad cuando se reclame, y una prueba de restauración fechada con datos restaurados, resultados, fallas y revisor.
Haz que la respuesta sea demostrable
Paquete de evidencia para esta guía
- Un registro de respuestas que conserva cada pregunta original y su alcance acordado.
- Hallazgos de la evaluación fechados y evidencia del proveedor revisada por la organización.
- Un aprobador designado, preguntas no resueltas y la respuesta final revisada.
Cómo ayuda CyberProva
CyberProva le ayuda a establecer una línea de base y solicitar pruebas de respaldo. Business y superiores incluyen la redacción de cuestionarios a partir de controles de evaluación mapeados, con la base y la fecha de cada respuesta disponibles para su revisión. Gratis incluye 3 evaluaciones básicas de por vida y un resumen en pantalla; Los flujos de trabajo de cuestionarios y las exportaciones de informes requieren un plan pago.
Vea lo que debe cubrir una evaluación de seguridad de Microsoft 365 →
Vea exactamente lo que comprueba CyberProva · Descubra cómo CyberProva evalúa la seguridad · Revisar los permisos de Microsoft
Ejemplo práctico
Pregunta de ejemplo y borrador respaldado por evidencia
Texto ilustrativo únicamente, no un resultado del cliente. Supongamos que el solicitante pregunta si sus copias de seguridad se prueban periódicamente, pero usted tiene una política de copias de seguridad y no ha completado ningún registro de prueba de restauración.
- Pregunta: ¿Pruebas periódicamente la restauración de los datos comerciales dentro del alcance?
- Borrador de respuesta: No establecido. Nuestra política de respaldo describe el proceso previsto, pero aún no hemos revisado un registro de prueba de restauración completo para este alcance.
- Solicitud de evidencia: proporcione la fecha de la última prueba, los datos y sistemas restaurados, el resultado, el revisor y cualquier falla no resuelta.
- Antes de enviar: revise el registro, revise la respuesta para reflejar lo que demuestra e identifique las exclusiones restantes.
Lo que esto no puede establecer
- Los borradores cubren los controles de evaluación mapeados, no todas las cuestiones de seguridad, privacidad, contractuales o específicas del sector. Su organización aprueba la respuesta final.
- Un elemento de evidencia exportado o aceptado no certifica el cumplimiento ni garantiza la aprobación de la adquisición. Las pruebas confidenciales deben compartirse únicamente con los destinatarios adecuados.
Preguntas comunes
¿CyberProva completa automáticamente cualquier archivo de cuestionario?
No. El flujo de trabajo actual le permite pegar preguntas y revisar asignaciones a controles de evaluación compatibles. No es una hoja de cálculo universal ni un servicio de finalización de portal. Las preguntas fuera del catálogo necesitan su propia respuesta.
¿Se puede reutilizar la misma respuesta para todos los clientes?
Sólo después de comprobar que la redacción, el alcance del servicio y la evidencia de respaldo siguen siendo aplicables. Una respuesta aceptada previamente no establece los requisitos de un nuevo cliente.
¿La evidencia del proveedor aceptado significa verificación independiente?
No. Su organización revisa y acepta la evidencia. Esto es distinto de una observación automatizada y de una auditoría independiente.
¿Podemos utilizarlo para evaluar a todos nuestros proveedores?
Este flujo de trabajo ayuda a su organización a responder cuestionarios entrantes sobre sus propios controles. No es un servicio de calificación de proveedores ni una plataforma completa de gestión de riesgos de terceros.
Orientación oficial
Utilice estas fuentes con su proveedor de TI cuando revise los controles descritos anteriormente.
De las suposiciones a la evidencia
Vea qué necesita atención en su organización
Comience con una evaluación gratuita CyberProva. Revise los hallazgos, identifique lagunas en la evidencia y acuerde prioridades con su equipo de TI.
Gratis incluye 3 evaluaciones básicas de por vida. Las exportaciones de informes y las funciones avanzadas requieren un plan pago.