En resumen
- En la nube, Microsoft protege los centros de datos, los servidores, la red y el sistema operativo. Su empresa sigue siendo responsable de cuatro cosas: los datos, las cuentas, los accesos y el equipo.
- La mayoría de los incidentes en Microsoft 365 no se producen por culpa de Microsoft, sino por configuración: cuentas sin MFA, comparticiones abiertas, antiguos colaboradores con acceso.
- Según Microsoft, la MFA y el bloqueo de autenticación antigua frenan más del 99,9% de los ataques comunes a las cuentas.
- Una lista de verificación de 10 puntos, revisada una vez al trimestre, cubre lo esencial de la parte que es suya.
En este artículo
- El modelo de responsabilidad compartida, en claro portugués
- Identidad: la nueva puerta de entrada
- Configuración y compartición externa
- Dispositivos y datos
- Lista de verificación: la parte que es suya
- Un caso real: 50 cajas de correo migradas a Office 365
- Preguntas frecuentes
- Revision de seguridad de Microsoft 365 en 5 días laborables
La seguridad en la nube Es una responsabilidad compartida: Microsoft garantiza la infraestructura, su empresa garantiza quién entra, qué comparte y desde dónde accede. Microsoft no lo oculta — lo publica en la documentación oficial. “Nuestros datos están en Microsoft 365, por lo tanto están seguros” es la frase que más escuchamos en reuniones de diagnóstico. Tiene razón en cuanto al edificio. Tiene razón en cuanto a las llaves.
El modelo de responsabilidad compartida, en claro portugués
Microsoft describe tres tipos de servicio cloud. En el más completo —el software como servicio, o SaaS—, donde se encuentran Exchange Online, OneDrive, SharePoint y Teams, Microsoft asume casi toda la pila técnica. Pero hay una frase que vale para todos los tipos: el cliente siempre es el dueño de sus datos y de sus identidades.
| Camada | Quién responde en Microsoft 365 | ¿Qué significa en la práctica? |
|---|---|---|
| Centros de datos, servidores físicos y red física | Microsoft | Energía, refrigeración, fallas de hardware, seguridad física |
| Sistema operativo y controles de red del servicio | Microsoft | Actualizaciones de los servidores, protección de la plataforma |
| Aplicaciones (configuración) | Compartida | Microsoft mantiene el software; la empresa decide cómo se configura |
| Equipo de los usuarios | Compartida, con la protección a cargo de la empresa | Portátiles y teléfonos móviles actualizados, cifrados y protegidos |
| Contas y accesos | Empresa | Crear y eliminar cuentas, MFA, permisos y acceso condicional |
| Datos | Empresa | Clasificación, protección, cifrado, retención y cumplimiento de normas |
Identidad: la nueva puerta de entrada
En la oficina tradicional, para acceder a los archivos era necesario conectarse a la red. En Microsoft 365, basta con un correo electrónico y una contraseña, desde cualquier computadora del mundo. La identidad se convirtió en la puerta de entrada.
Microsoft ofrece, sin costo adicional, las llamadas predefinidas de seguridad: obligan a todos los usuarios a registrar la MFA (el segundo factor, normalmente una aprobación en el teléfono), exigen la MFA a los administradores en cada inicio de sesión y bloquean los protocolos de autenticación antiguos que no admiten MFA. Están activas de forma automática en muchas cuentas creadas desde el 22 de octubre de 2019, pero no en todas —y algunos la han desactivado “porque eran molestas”. Según Microsoft, la MFA y el bloqueo de la autenticación antigua frenan más del 99,9% de los ataques comunes a las identidades. Detallamos las opciones en MFA: autenticación multifactor en la empresa.
Tres preguntas que la administración debe poder responder en minutos:
- ¿Cuántas cuentas tienen derechos de administrador global? (Deberían ser dos o tres, no diez.)
- ¿Todas las cuentas —incluyendo las compartidas y las de servicio— tienen MFA o están bloqueadas para iniciar sesión?
- ¿Las cuentas de quienes salieron en los últimos 12 meses están desactivadas?
Configuración y compartición externa
Según la documentación de Microsoft, la compartición externa está vinculada de forma implícita en SharePoint y en OneDrive a toda la organización. Esto es útil —trabajar con clientes y socios es el objetivo— pero tiene que ser decidida, no heredada.
El punto más sensible son las conexiones de tipo “cualquier persona”: quien recibe el enlace abre el archivo sin iniciar sesión. Si ese correo electrónico se reenviará, el archivo seguirá adelante. En la práctica, recomendamos:
- Desactivar las conexiones “Para cualquier persona” o, si es necesario, imponer una fecha de caducidad.
- Permitir la compartición solo con invitados que se autentiquen.
- Restringir la compartición externa en los sitios web con datos sensibles (financieros, recursos humanos, administración).
- Revisar trimestralmente la lista de invitados externos y eliminar a aquellos que ya no trabajan con la empresa.
La configuración del correo electrónico merece un capítulo aparte — redireccionamientos automáticos hacia fuera, reglas de la bandeja de entrada creadas por atacantes, dominio fácil de imitar. Hablamos del tema en Seguridad del correo electrónico en Microsoft 365: lo que falla.
Dispositivos y datos
Un portátil sin cifrado, olvidado en un taxi, con Outlook y OneDrive sincronizados, es una fuga de datos en toda regla. Microsoft no gestiona ese portátil: la documentación expresa explícitamente que la protección de los equipos que acceden a los servicios corresponde al cliente. Esto significa cifrado del disco, sistema actualizado, antivirus gestionado e, idealmente, reglas que impidan el acceso desde equipos que no cumplan estos requisitos.
En cuanto a los datos, hay dos decisiones que corresponden a la empresa: qué es confidencial (y quién puede verlo) y cuánto tiempo se guarda. El backup es parte de esta segunda decisión — y no está incluido como mucha gente piensa. Explica por qué en Microsoft 365 no guarda todo. Las licencias también cuentan: ciertas protecciones solo existen en algunos planes, como explicamos en Licencias de Microsoft 365 y seguridad.
Lista de verificación: la parte que es suya
| # | Verificación | Frecuencia |
|---|---|---|
| 1 | MFA activo en todas las cuentas, sin excepciones olvidadas | Mensual |
| 2 | Autenticación antigua bloqueada | Una vez, y confirmar trimestralmente |
| 3 | Administradores globales reducidos al mínimo, con cuentas separadas del día a día | Trimestral |
| 4 | Contas de ex-colaboradores desactivadas el mismo día de la salida | En cada salida |
| 5 | Enlaces “Para todo el mundo” desactivados o con caducidad | Una vez, y revisado trimestralmente |
| 6 | Lista revisada de invitados externos | Trimestral |
| 7 | El redireccionamiento automático de correo electrónico hacia fuera está bloqueado | Una vez |
| 8 | Portátiles y teléfonos móviles cifrados, actualizados y gestionados | Mensual |
| 9 | Backup independiente con prueba de reposición | Trimestral |
| 10 | Registros de auditoría activos y alertas de inicio de sesión sospechoso | Continuo |
Un caso real: 50 cajas de correo migradas a Office 365
En la Unión de Freguesias de Massamá y Monte Abraão, DataRoad migró cerca de 50 buzones a Exchange Online, incluyendo el historial y la organización de las carpetas. El proyecto no se terminó con la migración: los puestos de trabajo y los dispositivos móviles fueron reconfigurados y validados, con correo electrónico, calendario y contactos que se sincronizaron correctamente. En una entidad pública, la transición a la nube también fue una forma de reforzar el control, la retención y la auditoría del correo electrónico. Lea el caso en Migración a Office 365 en Massamá y Monte Abraão.
En DataRoad, la gestión del Microsoft 365 para empresas — cuentas, MFA, comparticiones, dispositivos — forma parte de los planes IT Unlimited. No Plan Essential, Desde 10 puestos, el soporte es remoto y telefónico, lo que cubre casi la totalidad de estas tareas; las desplazaciones al lugar se presupuestan por separado.
Preguntas frecuentes
¿Es Microsoft responsable si una cuenta de mi empresa es atacada?
Por regla general, no. De acuerdo con el modelo de responsabilidad compartida de Microsoft, las cuentas, los accesos y la MFA son responsabilidad del cliente. Microsoft responde por la seguridad de la plataforma; quien accede con una contraseña robada entra por la puerta que la empresa controla.
¿Han llegado las preconfiguraciones de seguridad?
Para muchas PYMES son un buen punto de partida y no tienen coste adicional. Las empresas con licencias que incluyen acceso condicional obtienen reglas más estrictas —por ejemplo, exigir equipo gestionado o bloquear las iniciaciones de sesión desde ciertos países.
¿Desactivar la compartición externa no afectará el trabajo con los clientes?
No es necesario desactivar todo. El equilibrio habitual consiste en permitir la compartición con invitados que se autentican, bloquear o limitar las conexiones anónimas y cerrar la compartición externa solo en los sitios web con datos sensibles.
¿De cuanto en cuanto tiempo debemos revisar la configuración?
Una revisión completa trimestral y una verificación rápida cada vez que alguien entra o sale de la empresa. La configuración de la nube cambia sin que nadie se dé cuenta: nuevas funcionalidades, nuevos invitados, nuevas excepciones.
Revision de seguridad de Microsoft 365 en 5 días laborables
Examinamos la parte que es suya — cuentas, MFA, administradores, comparticiones externas, redireccionamientos, dispositivos y backup — y entregamos la lista de correcciones en orden de riesgo. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico.
Revision de seguridad de Microsoft 365 en 5 días laborables
Conozca lo que le corresponde — y lo que tiene que hacer.
Fuentes
- Microsoft Learn — Responsabilidad compartida en la nube
- Microsoft Learn — Configuración predeterminada de seguridad en Microsoft Entra ID
- Microsoft Learn — Visión general de la compartición externa (SharePoint y OneDrive)
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
