Checklist CIS Microsoft 365 Foundations: 20 configuraciones para revisar hoy

Una lista accionable para revisar la seguridad de su tenant de Microsoft 365.

Microsoft 365 llega con muchas protecciones disponibles, pero no todas vienen activadas ni configuradas de la forma más estricta. Con el tiempo, además, el tenant acumula excepciones, cuentas antiguas y permisos que nadie recuerda haber dado.

Esta lista reúne 20 configuraciones que conviene revisar. Se inspira en las áreas que cubre el CIS Microsoft 365 Foundations Benchmark, la guía de configuración segura publicada por CIS (Center for Internet Security). No reproduce su texto ni su numeración: la versión oficial y completa se descarga desde cisecurity.org.

Antes de empezar, dos advertencias:

• Algunas funciones dependen de su licencia. El acceso condicional requiere Microsoft Entra ID P1; Privileged Identity Management, Entra ID P2 o Microsoft Entra ID Governance; y protecciones como Safe Links y Safe Attachments, Microsoft Defender para Office 365. Verifique qué incluye su plan en la documentación de Microsoft.
• Pruebe antes de imponer. Varias de estas configuraciones pueden bloquear a usuarios o integraciones. Use el modo de solo informe del acceso condicional y grupos piloto antes de aplicarlas a toda la organización.

Identidad y Microsoft Entra ID

La identidad es hoy el principal perímetro de Microsoft 365. Si un atacante obtiene una contraseña y no hay un segundo factor, tiene acceso al correo, a los archivos y a Teams.

1. MFA para todos los usuarios

La autenticación multifactor (MFA) exige algo más que la contraseña para iniciar sesión. Debe aplicarse a todos los usuarios, no solo a un grupo.

• Por qué importa: una contraseña filtrada o adivinada deja de ser suficiente para entrar.
• Dónde se revisa: centro de administración de Microsoft Entra, en Acceso condicional, o en los valores predeterminados de seguridad si su licencia no incluye acceso condicional.

2. MFA resistente al phishing para administradores

Las cuentas con roles administrativos deberían usar métodos más robustos que un código por SMS, como claves de acceso (passkeys), llaves FIDO2 o Windows Hello para empresas.

• Por qué importa: un administrador comprometido compromete todo el tenant.
• Dónde se revisa: Entra, en Acceso condicional (concesión de seguridad de la autenticación) y en Métodos de autenticación.

3. Bloquear la autenticación heredada

Protocolos antiguos como POP, IMAP o SMTP con autenticación básica no admiten MFA.

• Por qué importa: son una vía habitual para ataques de adivinación de contraseñas, porque esquivan el segundo factor.
• Dónde se revisa: Entra, en Acceso condicional, con una política que bloquee los clientes heredados. Revise antes los registros de inicio de sesión para identificar quién aún los usa.

4. Políticas de acceso condicional base

Además de MFA, el acceso condicional permite decidir según el riesgo del inicio de sesión, la ubicación, la aplicación o el estado del dispositivo.

• Por qué importa: convierte reglas generales en decisiones según el contexto, por ejemplo, exigir más verificación ante un inicio de sesión de riesgo.
• Dónde se revisa: Entra, en Acceso condicional. Las plantillas de Microsoft son un buen punto de partida.

5. Cuentas de acceso de emergencia

Son dos cuentas administrativas, solo en la nube, excluidas de algunas políticas y protegidas con credenciales muy fuertes, para recuperar el acceso si algo falla.

• Por qué importa: una política mal configurada o una caída del proveedor de MFA puede dejar a todos los administradores fuera.
• Dónde se revisa: Entra, en Usuarios y Roles. Microsoft documenta cómo gestionarlas y monitorear su uso.

6. Revisión de roles privilegiados

Revise quién tiene el rol de administrador global y otros roles sensibles. Mantenga el número al mínimo necesario y use roles más específicos cuando sea posible.

• Por qué importa: cada cuenta privilegiada adicional amplía la superficie de ataque.
• Dónde se revisa: Entra, en Roles y administradores. Con Privileged Identity Management los roles se activan solo cuando se necesitan y por tiempo limitado.

7. Consentimiento de aplicaciones

Defina si los usuarios pueden autorizar por sí mismos aplicaciones de terceros que acceden a sus datos.

• Por qué importa: el phishing de consentimiento no roba la contraseña, sino que obtiene permisos sobre el buzón o los archivos.
• Dónde se revisa: Entra, en Aplicaciones empresariales, Consentimiento y permisos. Un flujo de aprobación por administrador es una alternativa equilibrada.

Exchange Online

El correo sigue siendo la puerta de entrada más común del phishing y del fraude por suplantación.

8. Reenvío automático externo

Controle que los buzones no reenvíen correo de forma automática a direcciones externas.

• Por qué importa: tras comprometer un buzón, un atacante suele crear una regla de reenvío para seguir leyendo el correo en silencio.
• Dónde se revisa: portal de Microsoft Defender, en la directiva de filtro de correo no deseado saliente. Las excepciones legítimas deben ser explícitas.

9. Auditoría de buzones

Verifique que la auditoría de buzones esté activa en la organización y que registre las acciones relevantes de propietarios, delegados y administradores.

• Por qué importa: sin estos registros no es posible reconstruir qué hizo un atacante dentro de un buzón.
• Dónde se revisa: Exchange Online PowerShell, en la configuración de la organización y de cada buzón.

10. SPF, DKIM y DMARC

Son tres registros de autenticación de correo: SPF indica qué servidores pueden enviar en nombre de su dominio; DKIM firma los mensajes; DMARC define qué hacer con los que fallan y le envía reportes.

• Por qué importa: dificultan que terceros suplanten su dominio ante clientes y proveedores.
• Dónde se revisa: en su proveedor de DNS y en el portal de Defender. Microsoft explica cómo configurar DMARC; lo habitual es empezar con una política de monitoreo y endurecerla de forma gradual.

11. Políticas antiphishing y de Defender para Office 365

Revise las políticas contra phishing, la protección contra suplantación de usuarios y dominios, y, si su licencia lo incluye, Safe Links y Safe Attachments.

• Por qué importa: las políticas predeterminadas son una base, pero no siempre cubren la suplantación de directivos o de dominios parecidos al suyo.
• Dónde se revisa: portal de Microsoft Defender, en Correo y colaboración, Directivas y reglas. Las directivas de seguridad preestablecidas simplifican la configuración.

12. Filtro de adjuntos peligrosos

Bloquee los tipos de archivo adjunto que casi nunca se usan de forma legítima, como ejecutables y scripts.

• Por qué importa: reduce la entrega de malware sin depender solo de la detección.
• Dónde se revisa: portal de Defender, en la directiva antimalware.

SharePoint, OneDrive y Teams

13. Nivel de uso compartido externo

Defina con qué personas fuera de la organización se puede compartir contenido, tanto a nivel general como por sitio.

• Por qué importa: un nivel demasiado abierto facilita la fuga de información, intencional o accidental.
• Dónde se revisa: centro de administración de SharePoint, en Directivas, Uso compartido. Microsoft documenta cómo administrar el uso compartido externo.

14. Enlaces anónimos con caducidad

Si permite enlaces de tipo “cualquier persona”, configure una caducidad y limite sus permisos. Cambie también el tipo de enlace predeterminado a uno más restrictivo.

• Por qué importa: un enlace anónimo sin fecha de caducidad sigue funcionando para quien lo tenga, incluso años después.
• Dónde se revisa: centro de administración de SharePoint, en la misma sección de uso compartido.

15. Acceso de invitados

Revise quién puede invitar usuarios externos, a qué dominios y con qué permisos, y haga revisiones periódicas de los invitados existentes.

• Por qué importa: los invitados que ya no colaboran con la empresa suelen conservar el acceso.
• Dónde se revisa: Entra, en Identidades externas, Configuración de colaboración externa.

16. Acceso externo y reuniones en Teams

Defina con qué organizaciones externas se puede chatear y quién puede omitir la sala de espera en las reuniones.

• Por qué importa: limita el phishing por chat y la entrada de personas no invitadas a reuniones.
• Dónde se revisa: centro de administración de Teams, en Usuarios, Acceso externo, y en Reuniones, Directivas de reunión.

Dispositivos e Intune

17. Cumplimiento de dispositivos

Defina políticas de cumplimiento en Intune (cifrado, versión mínima del sistema, antivirus activo) y úselas en el acceso condicional.

• Por qué importa: permite que solo los equipos administrados y sanos accedan a los datos corporativos.
• Dónde se revisa: centro de administración de Microsoft Intune, en Dispositivos, Cumplimiento.

18. Protección de aplicaciones en móviles

Para teléfonos personales, aplique políticas de protección de aplicaciones que impidan copiar datos corporativos a aplicaciones personales.

• Por qué importa: protege la información sin tener que administrar todo el dispositivo del colaborador.
• Dónde se revisa: Intune, en Aplicaciones, Directivas de protección de aplicaciones.

Auditoría, alertas y Secure Score

19. Auditoría unificada y alertas

Confirme que el registro de auditoría unificado esté activo y configure alertas para eventos sensibles: nuevas reglas de reenvío, cambios de roles o actividad masiva de descarga.

• Por qué importa: es la principal fuente de evidencia ante un incidente.
• Dónde se revisa: portal de Microsoft Purview, en Auditoría. Microsoft explica cómo activar o verificar la auditoría. La retención disponible depende de su licencia.

20. Microsoft Secure Score

Revise periódicamente las recomendaciones de Microsoft Secure Score y documente por qué acepta las que decide no aplicar.

• Por qué importa: ofrece una medida de su postura de seguridad y su evolución en el tiempo.
• Dónde se revisa: portal de Microsoft Defender, en Exposure management o Secure Score, según su versión del portal.

Tabla resumen

#	Configuración	Área	Centro de administración
1	MFA para todos los usuarios	Identidad	Microsoft Entra
2	MFA resistente al phishing para administradores	Identidad	Microsoft Entra
3	Bloqueo de autenticación heredada	Identidad	Microsoft Entra
4	Acceso condicional base	Identidad	Microsoft Entra
5	Cuentas de acceso de emergencia	Identidad	Microsoft Entra
6	Revisión de roles privilegiados	Identidad	Microsoft Entra
7	Consentimiento de aplicaciones	Identidad	Microsoft Entra
8	Reenvío automático externo	Exchange Online	Microsoft Defender
9	Auditoría de buzones	Exchange Online	Exchange Online PowerShell
10	SPF, DKIM y DMARC	Exchange Online	DNS y Microsoft Defender
11	Antiphishing y Defender para Office 365	Exchange Online	Microsoft Defender
12	Filtro de adjuntos peligrosos	Exchange Online	Microsoft Defender
13	Nivel de uso compartido externo	SharePoint y OneDrive	SharePoint
14	Enlaces anónimos con caducidad	SharePoint y OneDrive	SharePoint
15	Acceso de invitados	Colaboración	Microsoft Entra
16	Acceso externo y reuniones	Teams	Teams
17	Cumplimiento de dispositivos	Dispositivos	Microsoft Intune
18	Protección de aplicaciones en móviles	Dispositivos	Microsoft Intune
19	Auditoría unificada y alertas	Monitoreo	Microsoft Purview
20	Revisión de Secure Score	Monitoreo	Microsoft Defender

Cómo empezar

No intente aplicar las 20 configuraciones en un día. Lo prudente es revisar primero, medir el impacto y cambiar por etapas.

Checklist para empezar esta semana

• Descargue la versión vigente del benchmark desde cisecurity.org y compárela con esta lista.
• Cree o verifique las dos cuentas de acceso de emergencia.
• Confirme que todos los administradores usan MFA.
• Revise en los registros de inicio de sesión quién usa autenticación heredada.
• Busque reglas de reenvío externo en los buzones.
• Verifique que la auditoría unificada esté activa.
• Anote su Secure Score actual como línea base.
• Priorice los cambios por impacto y riesgo, y aplíquelos con grupos piloto.

Si desea conocer cómo acompañamos estas revisiones, puede ver nuestra página de servicios Cloud Microsoft.