Seguridad en Microsoft 365: qué debería revisar una empresa para proteger sus cuentas y datos

• Lunes, 07 Sept 2026

Microsoft 365 se ha convertido en una pieza crítica para muchas empresas. Correo electrónico, documentos, Teams, SharePoint, OneDrive y buena parte de la comunicación interna dependen de la misma plataforma.

Por eso, proteger Microsoft 365 no consiste únicamente en activar una contraseña compleja o disponer de antivirus en los equipos.

Una cuenta comprometida puede dar acceso al correo corporativo, documentación interna, conversaciones, contactos, archivos compartidos y otros recursos de la organización.

La pregunta que debería hacerse una empresa no es solo “¿tenemos Microsoft 365?”, sino otra más importante:

¿Tenemos Microsoft 365 correctamente configurado, supervisado y revisado desde el punto de vista de la ciberseguridad?

En este artículo repasamos los principales aspectos que una empresa debería revisar para mejorar la seguridad de Microsoft 365 y reducir el riesgo de accesos no autorizados, phishing, pérdida de información o configuraciones inseguras.

Por qué Microsoft 365 es un objetivo especialmente importante

En muchas empresas, una cuenta de Microsoft 365 es mucho más que una cuenta de correo.

Dependiendo de la configuración y de los permisos del usuario, puede proporcionar acceso a:

• Correo electrónico corporativo.
• Teams.
• SharePoint.
• OneDrive.
• Calendarios y contactos.
• Documentación interna.
• Aplicaciones empresariales conectadas.

Esto convierte las identidades de usuario en uno de los principales activos que deben protegerse.

Además, muchos ataques actuales no necesitan explotar una vulnerabilidad técnica compleja. Puede ser suficiente con conseguir unas credenciales mediante phishing, reutilizar una contraseña filtrada o aprovechar una aplicación previamente autorizada.

1. Comprobar que MFA está realmente implantado

La autenticación multifactor (MFA) es una de las medidas más importantes para proteger las cuentas de Microsoft 365.

Pero no basta con comprobar que “tenemos MFA”. Conviene revisar:

• Qué usuarios lo tienen activado.
• Si existen cuentas excluidas.
• Cómo están protegidas las cuentas administrativas.
• Qué métodos de autenticación se utilizan.
• Qué ocurre cuando un usuario pierde o cambia su dispositivo.

Un error frecuente es aplicar MFA únicamente a administradores o a determinados perfiles mientras siguen existiendo usuarios sin protección adicional.

También es importante revisar periódicamente las excepciones. Una exclusión temporal que no se elimina puede convertirse en una debilidad permanente.

Si quieres profundizar en este punto, puedes consultar nuestro artículo sobre MFA para empresas.

2. Revisar las cuentas con privilegios administrativos

Las cuentas administrativas tienen capacidad para realizar cambios importantes en el entorno de Microsoft 365.

Por eso deberían existir únicamente las necesarias.

Una revisión básica debería responder preguntas como:

• ¿Cuántos administradores existen actualmente?
• ¿Todos siguen necesitando esos permisos?
• ¿Se utilizan cuentas administrativas para el trabajo diario?
• ¿Están protegidas con MFA?
• ¿Existen cuentas antiguas con privilegios que nadie utiliza?

Aplicar el principio de mínimo privilegio ayuda a reducir el impacto potencial si una cuenta se ve comprometida.

3. Eliminar o bloquear correctamente usuarios antiguos

Cuando un empleado abandona la empresa, no basta con retirar su portátil.

Es necesario gestionar correctamente sus accesos.

Un proceso de baja debería contemplar, según cada caso:

• Bloqueo de la cuenta.
• Revocación de sesiones activas.
• Revisión de dispositivos asociados.
• Gestión del correo y archivos.
• Eliminación de permisos o grupos.
• Revisión de aplicaciones autorizadas.

También conviene revisar periódicamente cuentas que llevan meses sin utilizarse.

Las cuentas olvidadas son especialmente problemáticas porque pueden seguir teniendo permisos sin que nadie las supervise.

4. Revisar los accesos e inicios de sesión sospechosos

Activar controles de seguridad es importante, pero también lo es revisar qué está ocurriendo.

Microsoft 365 y Microsoft Entra proporcionan información sobre accesos e identidades que puede ayudar a detectar comportamientos anómalos.

La empresa debería definir quién revisa situaciones como:

• Inicios de sesión desde ubicaciones inesperadas.
• Intentos de acceso fallidos repetidos.
• Accesos desde dispositivos no habituales.
• Cambios de credenciales inesperados.
• Actividad administrativa no reconocida.

No se trata de revisar manualmente cada login, sino de disponer de criterios, alertas y responsabilidades.

Una alerta que nadie revisa aporta poco valor.

5. Proteger el correo frente a phishing y suplantación

El correo sigue siendo una de las principales puertas de entrada para los atacantes.

Los ataques de phishing intentan conseguir credenciales, provocar pagos fraudulentos, introducir malware o engañar a empleados mediante suplantación de identidad.

Además de las capacidades de protección disponibles en Microsoft 365, la empresa debería trabajar aspectos como:

• Configuración adecuada de la protección del correo.
• Revisión de mensajes sospechosos.
• Formación de usuarios.
• Procedimiento para comunicar intentos de phishing.
• Protección especial de cuentas sensibles como dirección, administración o finanzas.

Una empresa puede disponer de buenos controles técnicos y seguir siendo vulnerable si sus usuarios no saben cómo reaccionar ante un correo sospechoso.

6. Revisar las aplicaciones que tienen acceso a Microsoft 365

Este es uno de los puntos que más fácilmente se pasa por alto.

Microsoft 365 puede integrarse con numerosas aplicaciones externas. Algunas necesitan permisos para acceder al correo, archivos, perfil del usuario u otros recursos.

Por eso conviene revisar periódicamente:

• Qué aplicaciones están autorizadas.
• Quién las autorizó.
• Qué permisos tienen.
• Si siguen siendo necesarias.
• Si existen aplicaciones que ya no se utilizan.

El riesgo no siempre está en que alguien robe una contraseña. Una aplicación autorizada con permisos excesivos también puede convertirse en una vía de acceso a información corporativa.

Este control debería formar parte de una revisión periódica del entorno.

7. Controlar cómo se comparte información en SharePoint y OneDrive

SharePoint y OneDrive facilitan enormemente la colaboración, pero también pueden provocar exposición de información cuando no existen criterios claros de compartición.

Conviene revisar:

• Qué documentos pueden compartirse externamente.
• Quién puede crear enlaces públicos o externos.
• Qué usuarios externos siguen teniendo acceso.
• Qué sitios contienen información sensible.
• Si existen permisos heredados o excesivos.

El problema suele aparecer con el tiempo: se comparte un documento para resolver una necesidad puntual y el acceso permanece activo mucho después.

8. Revisar desde qué dispositivos se accede

Microsoft 365 permite trabajar prácticamente desde cualquier lugar, lo que aporta flexibilidad pero también aumenta la superficie de exposición.

Una empresa debería tener claro:

• Qué dispositivos pueden acceder a la información corporativa.
• Si se permite el acceso desde equipos personales.
• Qué ocurre si un dispositivo se pierde o es robado.
• Cómo se gestionan los dispositivos corporativos.
• Qué requisitos mínimos deben cumplir antes de acceder.

La estrategia debe adaptarse al tamaño y realidad de cada empresa, pero permitir cualquier acceso desde cualquier dispositivo sin control puede aumentar innecesariamente el riesgo.

9. No confundir Microsoft 365 con una estrategia completa de copias de seguridad

Otro error habitual es asumir que utilizar Microsoft 365 elimina automáticamente la necesidad de definir una estrategia de recuperación.

La empresa debería analizar:

• Qué información es crítica.
• Qué mecanismos de recuperación existen.
• Durante cuánto tiempo puede recuperarse determinada información.
• Qué ocurriría ante un borrado accidental o malicioso.
• Qué dependencias existen entre Microsoft 365 y otros sistemas.

La cuestión importante no es únicamente si existen copias o mecanismos de recuperación, sino si la empresa puede recuperar la información que necesita dentro del tiempo que necesita.

10. Supervisar los cambios de configuración

Microsoft 365 no es una plataforma que se configure una vez y pueda olvidarse durante años.

Con el tiempo cambian:

• Usuarios.
• Permisos.
• Administradores.
• Aplicaciones.
• Dispositivos.
• Licencias.
• Proveedores.
• Necesidades del negocio.

Por eso es importante establecer revisiones periódicas.

Una configuración que era adecuada hace dos años puede no serlo hoy.

Errores habituales en la seguridad de Microsoft 365

Muchas empresas disponen de Microsoft 365 correctamente implantado desde el punto de vista funcional, pero mantienen carencias de seguridad que pasan desapercibidas.

Algunos errores habituales son:

• Activar MFA solo para algunos usuarios.
• Mantener demasiadas cuentas administrativas.
• No revisar usuarios inactivos.
• No controlar aplicaciones de terceros.
• Permitir demasiada compartición externa.
• No revisar alertas ni registros.
• No disponer de un procedimiento claro cuando se compromete una cuenta.
• No revisar periódicamente la configuración de seguridad.

El problema no suele ser una única configuración incorrecta. Suele ser la acumulación de pequeñas decisiones y excepciones que nadie ha revisado durante meses o años.

Qué hacer si sospechas que una cuenta de Microsoft 365 está comprometida

Cuando existen indicios de compromiso, conviene actuar con rapidez y de forma ordenada.

Dependiendo del caso, puede ser necesario:

• Bloquear temporalmente la cuenta afectada.
• Cambiar o restablecer credenciales.
• Revocar sesiones activas.
• Revisar métodos de autenticación.
• Comprobar reglas de correo creadas recientemente.
• Revisar aplicaciones autorizadas.
• Analizar actividad e inicios de sesión.
• Determinar si se ha accedido a información sensible.
• Evaluar si existen otras cuentas afectadas.

La respuesta debería estar integrada dentro del plan de respuesta a incidentes de la empresa.

Puedes ampliar este punto en nuestro artículo sobre cómo preparar un plan de respuesta a incidentes de ciberseguridad.

Cómo saber si Microsoft 365 está correctamente protegido

La mejor forma de saberlo no es comprobar una única opción del panel de administración.

Conviene evaluar el entorno de forma global:

• Identidades y autenticación.
• Administradores y privilegios.
• Correo electrónico.
• Aplicaciones conectadas.
• Compartición de información.
• Dispositivos.
• Alertas y supervisión.
• Procedimientos de respuesta.
• Recuperación y continuidad.

Una auditoría de ciberseguridad puede ayudar a identificar configuraciones débiles, accesos innecesarios y carencias organizativas que no siempre son visibles en el funcionamiento diario.

La seguridad de Microsoft 365 también necesita gobierno

Este es probablemente el punto más importante.

La seguridad de Microsoft 365 no depende únicamente de Microsoft ni del proveedor que implantó inicialmente la plataforma.

La empresa necesita decidir:

• Quién revisa los riesgos.
• Quién aprueba excepciones.
• Quién supervisa administradores y permisos.
• Quién revisa aplicaciones autorizadas.
• Quién analiza alertas relevantes.
• Quién coordina la respuesta ante un incidente.

Cuando estas responsabilidades no están definidas, muchas configuraciones permanecen sin revisar simplemente porque “siempre han estado así”.

Y ahí es donde la ciberseguridad deja de ser un problema exclusivamente técnico y se convierte en un problema de gobierno.

Microsoft 365 y el papel de un vCISO

Para muchas pymes no tiene sentido disponer de un CISO interno a tiempo completo.

Pero eso no significa que la seguridad pueda gestionarse sin dirección.

Un servicio de vCISO para pymes puede ayudar a revisar periódicamente riesgos, priorizar mejoras, coordinar proveedores, definir responsabilidades y asegurar que las medidas implantadas siguen siendo adecuadas con el paso del tiempo.

Microsoft 365 es solo una parte de ese trabajo. También deben considerarse servidores, copias de seguridad, dispositivos, proveedores, aplicaciones, continuidad y otros sistemas críticos para el negocio.

Cómo puede ayudar Berna Network

En Berna Network ayudamos a las empresas a revisar su nivel de ciberseguridad desde una perspectiva técnica y de negocio.

En entornos Microsoft 365 podemos ayudar a identificar configuraciones mejorables, revisar riesgos relacionados con identidades, accesos, permisos y aplicaciones, y establecer una hoja de ruta de mejora adaptada al tamaño y necesidades de la organización.

Este trabajo puede formar parte de una auditoría de ciberseguridad o integrarse dentro de un servicio continuado de vCISO.

El objetivo no es implantar herramientas por implantar, sino asegurar que las medidas existentes responden a los riesgos reales de la empresa.

Preguntas frecuentes sobre seguridad en Microsoft 365

¿Microsoft 365 es seguro por defecto?

Microsoft 365 dispone de numerosas capacidades de seguridad, pero la protección final depende también de cómo esté configurado el entorno, qué licencias y funcionalidades se utilicen, cómo se gestionen las identidades y qué controles haya implantado la empresa.

¿Es suficiente activar MFA?

No. MFA es una medida fundamental, pero debe complementarse con gestión de privilegios, revisión de aplicaciones, supervisión de accesos, protección del correo, control de compartición y procedimientos de respuesta.

¿Cada cuánto debería revisarse la seguridad de Microsoft 365?

No existe una periodicidad única válida para todas las empresas. Conviene establecer revisiones periódicas y realizarlas también cuando se producen cambios importantes en usuarios, proveedores, aplicaciones, responsables o infraestructura.

¿Una pyme necesita un especialista dedicado exclusivamente a Microsoft 365?

No necesariamente. Lo importante es que exista una responsabilidad clara sobre la seguridad del entorno y que se realicen revisiones periódicas. Esa función puede ser interna, compartida con un proveedor o formar parte de un servicio de vCISO.

¿Una auditoría puede revisar Microsoft 365?

Sí. Una auditoría de ciberseguridad puede incluir la revisión de identidades, MFA, administradores, aplicaciones, compartición, accesos y otros controles relacionados con Microsoft 365, además del resto de sistemas relevantes de la empresa.

¿Cuándo fue la última vez que alguien revisó realmente la seguridad de tu Microsoft 365?

Tener Microsoft 365 funcionando no significa necesariamente que todas sus configuraciones sigan siendo adecuadas.

Si no sabes qué administradores existen, qué aplicaciones tienen acceso, qué usuarios están excluidos de determinados controles o quién revisa las alertas, puede ser un buen momento para evaluar el entorno.

En Berna Network podemos ayudarte a revisar la situación actual, identificar carencias y establecer una hoja de ruta realista para mejorar la seguridad.

¿Quieres saber si tu entorno Microsoft 365 está correctamente protegido?

CONTÁCTANOS