Microsoft 365 puede estar funcionando correctamente y, aun así, no estar configurado de la mejor manera para tu empresa.

Es normal.

Los entornos tecnológicos evolucionan junto con las organizaciones. Se incorporan empleados, cambian responsabilidades, se crean nuevos grupos y permisos, se contratan licencias, aparecen nuevas aplicaciones y se modifican configuraciones para resolver necesidades concretas.

El problema aparece cuando todos esos cambios se acumulan sin una revisión global del entorno.

Con el tiempo pueden quedar usuarios que ya no deberían tener acceso, permisos excesivos, licencias desaprovechadas o configuraciones de seguridad que ya no responden a las necesidades actuales de la empresa.

Por eso, revisar periódicamente la configuración de Microsoft 365 permite detectar riesgos y oportunidades de mejora incluso cuando aparentemente todo funciona bien.

Estas son algunas de las áreas que conviene comprobar.

1. Usuarios activos e inactivos

El primer punto es saber exactamente quién tiene acceso al entorno corporativo y por qué.

Las altas y bajas de empleados, colaboradores externos, proveedores o cuentas creadas para proyectos concretos pueden dejar usuarios activos que ya no necesitan acceder a los sistemas de la empresa.

Conviene revisar periódicamente:

• qué usuarios siguen activos;
• qué cuentas llevan tiempo sin utilizarse;
• qué accesos mantienen antiguos empleados o colaboradores;
• y si existen cuentas creadas para necesidades que ya no existen.

No se trata únicamente de mantener Microsoft 365 ordenado. Cada cuenta innecesaria amplía potencialmente la superficie de exposición de la organización.

2. Permisos y privilegios de los usuarios

Que una persona necesite acceder a Microsoft 365 no significa que necesite acceder a todo.

A medida que cambian los puestos y responsabilidades, es habitual que los permisos se vayan acumulando: alguien recibe acceso a determinada información para un proyecto, cambia de departamento posteriormente y conserva privilegios que ya no necesita.

Una revisión debería comprobar si los permisos actuales responden realmente a las funciones de cada usuario.

Especialmente importante es aplicar el principio de mínimo privilegio: cada persona debería disponer únicamente de los accesos necesarios para realizar su trabajo.

3. Cuentas con privilegios de administrador

Las cuentas administrativas merecen una revisión específica.

Un usuario con privilegios elevados puede modificar configuraciones, gestionar otros usuarios o acceder a determinadas funciones críticas del entorno. Si una de estas cuentas se ve comprometida, las consecuencias pueden ser mucho mayores que con una cuenta convencional.

Por eso conviene comprobar:

• cuántos administradores existen;
• quién necesita realmente esos privilegios;
• qué roles tiene asignado cada uno;
• y si se utilizan cuentas administrativas para tareas cotidianas que no requieren esos permisos.

Cuantos menos privilegios innecesarios existan, menor será el impacto potencial de una cuenta comprometida.

4. Autenticación multifactor

Una contraseña comprometida no debería ser suficiente para acceder a información corporativa.

La autenticación multifactor (MFA) añade una segunda comprobación de identidad y constituye una de las medidas fundamentales para proteger las cuentas frente al robo de credenciales.

Pero no basta con comprobar que “tenemos MFA”.

Es necesario revisar a qué usuarios se aplica, bajo qué condiciones y si existen excepciones que hayan quedado activas con el tiempo.

También conviene analizar las políticas de acceso utilizadas por la organización para adaptar las medidas de protección al nivel de riesgo.

5. Acceso a la información en SharePoint, OneDrive y Teams

Microsoft 365 facilita enormemente compartir información.

Precisamente por eso es importante controlar quién puede acceder a ella y cómo puede compartirse.

Con el crecimiento de la organización pueden proliferar equipos de Teams, sitios de SharePoint, carpetas compartidas y enlaces que permanecen activos mucho después de haber cumplido su función.

Una revisión debería analizar aspectos como:

• permisos sobre información sensible;
• enlaces compartidos;
• acceso de usuarios externos;
• equipos o espacios que ya no se utilizan;
• y criterios para compartir documentación fuera de la organización.

El objetivo no es dificultar la colaboración, sino evitar que la facilidad para compartir información termine generando accesos que la empresa desconoce.

6. Dispositivos desde los que se accede a Microsoft 365

Ordenadores corporativos, portátiles personales, móviles, dispositivos de empleados que trabajan en remoto…

El acceso a Microsoft 365 ya no ocurre necesariamente desde una oficina ni desde equipos controlados físicamente por la organización.

Por eso es importante conocer qué dispositivos acceden a los recursos corporativos y qué requisitos deben cumplir para hacerlo.

Una estrategia adecuada de gestión de dispositivos corporativos permite establecer políticas, controlar configuraciones y reducir el riesgo derivado de equipos desactualizados, no autorizados o insuficientemente protegidos.

7. Aplicaciones y servicios conectados

Microsoft 365 suele convivir con muchas otras herramientas.

Aplicaciones de gestión, automatizaciones, servicios cloud y plataformas de terceros pueden solicitar permisos para acceder a determinados datos o funcionalidades del entorno Microsoft.

El problema aparece cuando estas integraciones se van acumulando y nadie revisa posteriormente cuáles siguen siendo necesarias.

Conviene disponer de visibilidad sobre qué aplicaciones están conectadas, qué permisos tienen y si continúan respondiendo a una necesidad real de negocio.

Una aplicación que dejó de utilizarse hace meses no debería conservar indefinidamente accesos innecesarios.

8. Licencias asignadas y aprovechamiento real

La configuración de Microsoft 365 también tiene una dimensión económica.

Con el tiempo pueden existir usuarios con licencias superiores a las que necesitan, funcionalidades contratadas que apenas se utilizan o cuentas que continúan consumiendo licencias aunque ya no deberían estar activas.

Esto no significa que optimizar Microsoft 365 consista simplemente en contratar planes más baratos.

Se trata de comprobar si las licencias asignadas se corresponden con las necesidades reales de cada usuario y si la empresa está aprovechando correctamente aquello por lo que paga.

Una revisión periódica puede descubrir oportunidades de ahorro sin perjudicar la productividad ni la seguridad.

9. Políticas de seguridad

Las herramientas técnicas necesitan estar respaldadas por criterios claros.

• ¿Quién puede compartir información con usuarios externos?
• ¿Qué ocurre cuando un empleado abandona la empresa?
• ¿Quién puede instalar o conectar nuevas aplicaciones?
• ¿Cómo se gestionan los accesos?
• ¿Qué requisitos deben cumplir los dispositivos?

Una política de seguridad informática permite convertir estas decisiones en criterios comunes para toda la organización.

La configuración técnica de Microsoft 365 debería responder a esas políticas, no funcionar como un conjunto de decisiones independientes tomadas a lo largo del tiempo.

10. Monitorización y detección de comportamientos anómalos

La seguridad no termina cuando una configuración se establece correctamente.

También es necesario saber qué está ocurriendo en el entorno.

Intentos de inicio de sesión sospechosos, accesos desde ubicaciones inusuales, cambios de privilegios o determinadas actividades pueden ser señales que conviene investigar.

La capacidad de monitorizar y detectar comportamientos anómalos permite reaccionar antes ante posibles incidentes.

En organizaciones que necesitan una vigilancia continua, esta función puede integrarse dentro de servicios especializados como un SOC (Security Operations Center).

¿Cada cuánto debería revisarse la configuración de Microsoft 365?

No existe una periodicidad idéntica para todas las empresas.

Una organización estable con pocos cambios puede tener necesidades diferentes a otra que incorpora empleados constantemente, abre nuevas sedes, trabaja con numerosos proveedores o está migrando servicios a la nube.

Más que establecer una fecha universal, existen determinados momentos en los que una revisión resulta especialmente recomendable:

• después de un periodo importante de crecimiento;
• tras cambios relevantes en la plantilla;
• después de una migración o incorporación de nuevos servicios;
• ante cambios en los requisitos de seguridad;
• cuando aumenta significativamente el gasto en licencias;
• después de un incidente de seguridad;
• o cuando hace tiempo que nadie analiza el entorno de forma global.

La cuestión importante no es únicamente si Microsoft 365 funciona, sino si su configuración actual sigue respondiendo a las necesidades, riesgos y estructura de la empresa.

¿Cómo saber si Microsoft 365 está bien configurado?

Comprobarlo requiere algo más que revisar individualmente una lista de opciones.

Usuarios, identidades, permisos, dispositivos, aplicaciones, seguridad y licencias forman parte de un mismo entorno y las decisiones tomadas en un área pueden afectar al resto.

Por eso una revisión debería partir de tres preguntas:

¿Está correctamente protegido?
Hay que identificar configuraciones, accesos o privilegios que puedan aumentar innecesariamente el riesgo.

¿Está correctamente dimensionado?
Las licencias, servicios y recursos contratados deberían responder a las necesidades reales de la organización.

¿Está alineado con la forma actual de trabajar de la empresa?
La configuración debería reflejar cómo trabaja hoy la organización, no cómo trabajaba cuando se implantó Microsoft 365.

Ese análisis global es precisamente el objetivo de una auditoría de Microsoft 365.

Auditoría gratuita de Microsoft 365 y Azure para empresas

Durante septiembre, Digitartis está realizando auditorías gratuitas de Microsoft 365 y Azure para empresas con el objetivo de detectar riesgos de seguridad, configuraciones mejorables, recursos mal aprovechados y oportunidades de optimización.

Se trata de un servicio valorado en más de 2.500 € que durante esta campaña realizaremos de manera gratuita hasta completar un máximo de 50 empresas.

Al terminar la auditoría, explicamos qué hemos encontrado y qué recomendamos priorizar.

→ Solicitar auditoría gratuita de Microsoft 365 y Azure

Preguntas frecuentes sobre la configuración de Microsoft 365