Configuraciones de seguridad de Microsoft 365 que toda pequeña empresa debe activar

Las configuraciones de seguridad de Microsoft 365 con mayor impacto para una pequeña empresa son: autenticación multifactor para todos los usuarios, bloqueo de la autenticación heredada, cuentas de administrador separadas, autenticación del correo con SPF, DKIM y DMARC, bloqueo del reenvío automático a direcciones externas, control del uso compartido externo en SharePoint y OneDrive, y registro de auditoría. La mayoría toma poco tiempo y cierra las brechas que los atacantes aprovechan con más frecuencia.

Microsoft 365 es la base de muchas oficinas pequeñas en Miami-Dade, desde bufetes de abogados en Brickell hasta consultorios médicos en Coral Gables. Desde el inicio es una plataforma capaz, pero la configuración predeterminada no siempre es la más protectora para su empresa. Aquí es donde conviene enfocarse.

1. Exija autenticación multifactor para todos

Las contraseñas robadas son una de las formas más comunes en que los atacantes acceden al correo empresarial. La MFA agrega un segundo paso, como una aprobación en la aplicación Microsoft Authenticator, para que la contraseña sola no sea suficiente.

• Active los valores predeterminados de seguridad (Security Defaults) si no tiene acceso condicional, o cree políticas de acceso condicional si sus licencias lo incluyen
• Prefiera la aplicación de autenticación en lugar de mensajes de texto cuando sea posible
• Incluya todas las cuentas, especialmente las de directivos y del área de finanzas

2. Bloquee la autenticación heredada

Protocolos antiguos como POP, IMAP y la autenticación SMTP básica pueden no ser compatibles con MFA. Microsoft ha ido retirando la autenticación básica en Exchange Online, pero conviene confirmar que nada en su entorno siga dependiendo de ella y que los inicios de sesión heredados restantes estén bloqueados. Revise escáneres, copiadoras y aplicaciones antiguas que envían correo, y páselos a métodos compatibles.

3. Separe y proteja las cuentas de administrador

Los permisos de administrador global no deben estar en la cuenta que alguien usa para el correo diario.

• Cree cuentas dedicadas solo a la administración
• Mantenga pocos administradores globales, pero al menos dos para no quedarse nunca sin acceso
• Use roles específicos (como administrador de Exchange o de usuarios) cuando no se necesiten permisos globales completos
• Proteja las cuentas de administrador con la MFA más robusta disponible

4. Configure SPF, DKIM y DMARC

Estos tres registros DNS ayudan a los servidores de correo receptores a verificar que los mensajes que dicen venir de su dominio son legítimos.

• SPF indica qué servidores pueden enviar correo en nombre de su dominio
• DKIM agrega una firma criptográfica a los mensajes salientes
• DMARC indica a los receptores qué hacer con los mensajes que no pasan esas verificaciones y le envía informes

Comience DMARC en modo de monitoreo, revise los informes y avance gradualmente hacia cuarentena o rechazo. Nuestro servicio de correo empresarial se encarga de esta configuración y del monitoreo continuo.

5. Bloquee el reenvío automático a direcciones externas

Una táctica común después de comprometer una cuenta es crear una regla oculta que reenvía todo el correo a una dirección externa. Configure las políticas de salida para bloquear el reenvío externo automático y permita excepciones solo cuando haya una razón de negocio documentada.

6. Refuerce el filtrado de correo

Revise sus políticas contra phishing, spam y malware en el portal de Microsoft Defender. Según su licencia, funciones como Safe Links y Safe Attachments agregan protección contra enlaces y archivos maliciosos. Considere también:

• Etiquetar los mensajes de remitentes externos para que el personal los identifique
• Protección contra suplantación de directivos y de su dominio
• Capacitar al personal para reportar mensajes sospechosos

7. Controle el uso compartido externo

SharePoint y OneDrive facilitan compartir archivos, a veces demasiado.

• Limite los enlaces de tipo "Cualquier persona" o configúrelos para que caduquen
• Prefiera compartir con personas específicas
• Revise la configuración de uso compartido externo en los sitios con información sensible

8. Active la auditoría y revise las alertas

Asegúrese de que el registro de auditoría unificado esté activado para poder investigar si algo sale mal. Revise los registros de inicio de sesión y las políticas de alertas con regularidad, o pida a su proveedor de IT que lo haga.

Referencia rápida

Configuración	Contra qué protege	Esfuerzo de configuración
MFA para todos	Contraseñas robadas o adivinadas	Bajo a moderado
Bloqueo de autenticación heredada	Inicios de sesión que evitan la MFA	Bajo, después de probar equipos
Cuentas de administrador separadas	Toma total del entorno	Bajo
SPF, DKIM, DMARC	Suplantación del dominio	Moderado
Bloqueo del reenvío externo	Fuga silenciosa de información	Bajo
Políticas de filtrado de correo	Phishing y malware	Moderado
Límites al uso compartido externo	Exposición accidental de datos	Bajo a moderado
Registro de auditoría	Puntos ciegos durante un incidente	Bajo

Notas sobre licencias

Algunas funciones dependen de su plan de Microsoft 365. El acceso condicional y Defender para Office 365 Plan 1 están incluidos en Microsoft 365 Business Premium, mientras que otros planes pueden requerir complementos. Revise sus licencias actuales antes de planificar cambios y evite pagar por funciones que no va a configurar.

Preguntas frecuentes

¿Son suficientes los valores predeterminados de seguridad para una pequeña empresa?

Para muchas oficinas pequeñas, Security Defaults es un buen punto de partida porque exige MFA y bloquea la autenticación heredada. Las empresas que necesitan excepciones, reglas por ubicación o requisitos de dispositivos suelen pasar al acceso condicional.

¿Activar la MFA afectará el trabajo de mi personal?

Hay un breve período de adaptación. Planifique la implementación, comuníquela con anticipación en los idiomas que usa su personal y ayude a cada persona a registrar sus dispositivos. Después de la configuración, el inicio de sesión suele ser rápido.

¿Con qué frecuencia deben revisarse estas configuraciones?

Revíselas al menos varias veces al año y cada vez que Microsoft anuncie cambios importantes. Aparecen nuevas funciones y nuevas amenazas con regularidad.

Solicite una revisión de seguridad de Microsoft 365

Core Florida IT revisa entornos de Microsoft 365 para empresas de todo el sur de Florida como parte de nuestros servicios de ciberseguridad. Nuestra evaluación de IT gratuita señala las configuraciones que necesitan atención y las explica en lenguaje claro, en español o en inglés. Solicite su evaluación de IT gratuita.