Transparencia de CyberProva
Lo que comprueba CyberProva
Vea qué Microsoft 365 y controles externos CyberProva verifica automáticamente, cuáles necesitan evidencia y dónde aún se requiere revisión.
Identidad y acceso
Se verifica automáticamente cuando Microsoft 365 está conectado: inventario de usuarios e invitados, asignaciones actuales de roles privilegiados, observaciones de políticas Conditional Access y disponibilidad de auditoría de directorio. Una observación puede requerir revisión en lugar de establecer un resultado conforme.
- Evaluación avanzada: registro de MFA y cobertura de póliza, autenticación heredada, valores predeterminados de seguridad, cuentas inactivas, edad del huésped y riesgo de inicio de sesión, sujeto a permisos y licencias.
- Se requieren pruebas: cuentas de administrador separadas, procesos de entrada y salida, excepciones justificadas y revisiones periódicas de acceso. El inventario por sí solo no prueba que estos procesos ocurran.
Configuración de Microsoft 365
Comprobado automáticamente: Microsoft Secure Score. Las evaluaciones avanzadas también revisan la propiedad de la aplicación y los metadatos de caducidad de credenciales, el acceso privilegiado, las políticas de dispositivos Intune seleccionados, la configuración de protección con contraseña y la configuración de uso compartido.
- Evidencia requerida: completar la configuración de auditoría de Purview y la auditoría de buzones de correo de Exchange. La actividad de auditoría de directorio es sólo una observación parcial.
- Las licencias de Microsoft, los permisos concedidos y el plan CyberProva seleccionado afectan las comprobaciones que se pueden ejecutar. Los datos no disponibles no son un resultado conforme.
Acceso a la aplicación
Las evaluaciones avanzadas de los planes Business y Professional guardan un inventario de aplicaciones con búsqueda: nombres, identificadores de aplicación y objeto, tipo, estado habilitado, número de propietarios de las entidades de servicio y permisos de aplicación de Microsoft Graph otorgados sin un usuario conectado. El inventario se conserva con cada evaluación y se incluye en su exportación JSON.
- Incluye aplicaciones de Microsoft, aplicaciones de terceros e identidades administradas devueltas por el inquilino. La revisión principal informa el recuento de aplicaciones; ejecute una nueva evaluación avanzada para completar el inventario detallado.
- Utiliza el permiso existente de solo lectura Application.Read.All. Las lecturas de inventario o permisos faltantes se informan como no disponibles.
- No se incluyen el consentimiento delegado de los usuarios, los permisos para otras API ni las fechas de último uso. Que una aplicación esté habilitada no significa que se haya utilizado recientemente. La ausencia de permisos de Graph en la lista no demuestra la ausencia de acceso.
- La propiedad principal del servicio puede diferir de la propiedad del registro de la aplicación. Revisar la necesidad comercial con el propietario antes de cambiar el acceso; CyberProva no revoca permisos automáticamente.
Seguridad del correo electrónico
Se requieren pruebas para la protección antiphishing de Exchange, el reenvío automático, las reglas de reenvío de buzones y la configuración de Enlaces seguros/Adjuntos seguros. CyberProva no lee sus mensajes de correo electrónico para establecer estos controles.
- Solicite a su proveedor de TI exportaciones de políticas fechadas o evidencia de configuración.
- Las observaciones de autenticación de correo electrónico DNS son independientes de una revisión de políticas de Exchange.
Compartir y colaborar
Se verifica automáticamente en la evaluación avanzada donde se otorga acceso: configuración de uso compartido de SharePoint y OneDrive para todo el inquilino y configuración de vencimiento de vínculo seleccionada.
- Esta no es una auditoría de permisos archivo por archivo ni una revisión del contenido del documento.
- Se requieren pruebas para las revisiones de acceso reales y la aprobación comercial del intercambio externo.
DNS y autenticación de correo electrónico
Comprobado automáticamente si hay un sitio web/dominio verificado en un plan compatible: SPF, DMARC, el selector DKIM suministrado, observaciones DNSSEC y registros DNS seleccionados.
- Encontrar un registro no prueba que todos los remitentes estén autorizados, que DKIM esté firmando mensajes o que se aplique DMARC.
- Algunos registros requieren interpretación, incluida la herencia del dominio organizacional y los límites de búsqueda de DNS.
Sitio web y controles externos
Comprobado automáticamente para un sitio web verificado: observaciones HTTP/TLS públicas seleccionadas y encabezados de seguridad. Las observaciones disponibles dependen del plan y de lo que devuelve el punto final público.
- La propiedad del dominio debe verificarse antes de realizar la supervisión.
- No se trata de una prueba de penetración, una auditoría de aplicación autenticada o un análisis completo de vulnerabilidades.
Controles que requieren evidencia de su organización o proveedor de TI
Microsoft 365 no puede establecer todos los controles que protejan su negocio. CyberProva registra las pruebas proporcionadas y permite que el revisor de su espacio de trabajo las acepte.
- Parcheo de dispositivos y protección de terminales en todo el sector.
- Cobertura de respaldo, protección y pruebas de restauración exitosas.
- Capacitación del personal, ejercicios de respuesta a incidentes, políticas y revisiones de proveedores.
- Configuración de red, procesos de fraude en pagos y registros de protección de datos.
- La evidencia recibida o aceptada no es una certificación independiente de los hechos subyacentes.