Microsoft 365 trae muchas protecciones, pero no todas vienen activadas, y las que sí lo están se suelen desactivar «un momento» para resolver un problema y se quedan así. Estos diez ajustes son los que más vemos mal configurados en pymes. Pásale la lista a quien administre vuestro Microsoft 365: casi todos se revisan en una mañana.
1. Doble factor para todos, sin excepciones
Es lo que más ataques frena. En los planes sin licencias avanzadas, se activa con los «valores predeterminados de seguridad» de Microsoft Entra. Con Microsoft 365 Business Premium se puede afinar con directivas de acceso condicional. Lo que no debe pasar es que haya usuarios excluidos «porque les molestaba».
2. Bloquear la autenticación heredada
Los protocolos antiguos de correo no admiten doble factor, así que un atacante con la contraseña puede entrar por ellos aunque el doble factor esté activado. Los valores predeterminados de seguridad los bloquean; si usáis acceso condicional, hay que bloquearlos con una directiva.
3. Pocos administradores, y separados
Las cuentas con permisos de administrador global deben ser pocas y no usarse para el trabajo diario: quien administra tiene una cuenta para administrar y otra para leer su correo. Revisa también qué proveedores tienen permisos delegados sobre vuestro entorno.
4. Sin reenvíos automáticos hacia fuera
Lo primero que hace un atacante al entrar en un buzón es crear una regla que reenvía el correo a una dirección suya. Comprueba que el reenvío automático a direcciones externas esté bloqueado en la directiva de correo no deseado saliente, y permite solo las excepciones que de verdad hagan falta.
5. DKIM activado y DMARC publicado
Microsoft 365 permite firmar con DKIM los correos de tu dominio, pero hay que activarlo desde el portal de Microsoft Defender y publicar sus registros. Con SPF, DKIM y DMARC bien puestos, nadie puede enviar correo en tu nombre. Compruébalo gratis aquí.
6. Directivas de seguridad predefinidas
Microsoft Defender incluye directivas predefinidas, «Estándar» y «Estricta», que aplican de una vez la protección contra phishing, suplantación y adjuntos peligrosos. Si tenéis Business Premium, incluyen además la revisión de enlaces y adjuntos en el momento de abrirlos. Es mucho más fiable que configurar cada opción a mano.
7. El registro de auditoría, activado
Si algo pasa, el registro de auditoría es lo que permite saber quién entró, cuándo y qué hizo. Comprueba en Microsoft Purview que está activado. Sin él, investigar un incidente es adivinar.
8. Compartir hacia fuera con límites
En SharePoint y OneDrive, los enlaces «cualquier persona con el vínculo» permiten que un documento llegue a quien no debe sin dejar rastro. Limítalos a personas concretas siempre que se pueda y, si se mantienen, pon una caducidad.
9. Nadie da permisos a aplicaciones por su cuenta
Hay campañas que no roban contraseñas: piden al usuario que «dé permiso» a una aplicación que luego lee su correo. Restringe en Microsoft Entra que los usuarios puedan conceder esos permisos por sí mismos, y que lo tenga que aprobar un administrador.
10. Copias de seguridad de verdad
Microsoft garantiza que su servicio funciona, no que puedas recuperar lo que un empleado borró hace meses o lo que cifró un ransomware sincronizado con OneDrive. La papelera y la retención tienen límites. Para el correo, OneDrive y SharePoint conviene tener una copia de seguridad independiente.
Importante
Antes de cambiar nada, avisa al equipo y haz los cambios por fases. El doble factor y el bloqueo de protocolos antiguos pueden dejar sin acceso a una impresora que escanea al correo o a un móvil con una aplicación de correo antigua, y conviene saberlo antes, no después.
Si no tienes claro cómo está vuestro Microsoft 365, lo revisamos en la auditoría de ciberseguridad y aplicamos los cambios contigo o con tu proveedor informático, sin cortar el trabajo de nadie.