Un lunes, el contador recibe un correo del "gerente general" pidiendo una transferencia urgente. El correo sale de la cuenta real del gerente: alguien le robó la contraseña la semana anterior y entró sin que nada lo detuviera. La empresa pagaba Microsoft 365 hace años. Lo que nunca hizo fue configurarlo.
La seguridad de Microsoft 365 en la empresa depende menos de la licencia que se compra y más de lo que se activa después. En las revisiones que hacemos aparecen casi siempre los mismos vacíos: MFA a medias, acceso condicional sin usar, documentos sin clasificar, ninguna regla contra fugas de datos y permisos de SharePoint abiertos a toda la organización. Ese último punto se volvió urgente con Copilot, que responde con todo lo que cada usuario puede ver.
Abajo va cada uno, con la licencia que pide.
1. MFA para todos, no solo para los administradores
Microsoft ya exige MFA para entrar a sus portales de administración. Según su documentación sobre MFA obligatoria, la exigencia empezó en octubre de 2024 para el portal de Azure, el centro de administración de Entra y el de Intune, y en febrero de 2025 llegó al centro de administración de Microsoft 365. Eso protege a quien administra el tenant. El correo del gerente o la carpeta de finanzas quedan fuera.
Para el resto de los usuarios hay dos caminos:
- Valores predeterminados de seguridad (security defaults): vienen con todas las suscripciones, sin costo adicional. Obligan a todos a registrar MFA, la piden a los administradores en cada inicio de sesión y bloquean los protocolos de autenticación heredada. Microsoft los describe en su guía de valores predeterminados.
- Acceso condicional, más flexible, que requiere otra licencia (punto siguiente).
Un detalle que se olvida: la autenticación heredada (clientes de correo antiguos, impresoras que envían por SMTP con usuario y contraseña) no admite MFA. Si no se bloquea, un atacante puede entrar por ahí aunque el resto esté protegido.
2. Acceso condicional en vez de reglas parejas para todos
Con acceso condicional se decide quién entra, desde dónde, con qué dispositivo y con qué método. Por ejemplo: exigir MFA resistente a phishing a los administradores, bloquear inicios de sesión desde países donde la empresa no opera o permitir el correo en celulares personales solo a través de aplicaciones aprobadas.
Requiere Microsoft Entra ID P1, que viene incluido en Microsoft 365 Business Premium y en Microsoft 365 E3. Las políticas basadas en riesgo de inicio de sesión necesitan Entra ID P2 (incluido en E5).
Dos advertencias. Acceso condicional y valores predeterminados no se combinan: para crear políticas propias hay que desactivar los valores predeterminados, y en ese momento conviene activar de inmediato las políticas administradas por Microsoft que cubren lo mismo. Y cada política nueva debe probarse primero en modo de solo informe. Una regla mal escrita puede dejar a toda la empresa sin acceso, incluido el equipo de TI.
3. Etiquetas de confidencialidad
Mientras un documento no esté clasificado, el sistema no puede tratarlo distinto del menú del casino. Las etiquetas de confidencialidad de Microsoft Purview marcan cada archivo o correo (por ejemplo: Público, Interno, Confidencial) y pueden aplicar cifrado, marcas de agua o restricciones para compartir.
Según la documentación de Business Premium, ese plan incluye etiquetas para correos, archivos y reuniones de Teams. En la comparación de planes empresariales de Microsoft, E3 permite el etiquetado manual y E5 agrega el etiquetado automático.
Nuestra recomendación es partir con tres o cuatro etiquetas. Con doce opciones, la gente elige cualquiera o no elige ninguna.
4. Prevención de pérdida de datos (DLP)
Las etiquetas dicen qué es sensible. DLP decide qué pasa cuando alguien intenta sacarlo: un correo con RUT y números de cuenta a una dirección externa, una planilla de remuneraciones compartida con un enlace público. La política puede advertir al usuario, pedirle una justificación o bloquear el envío.
Business Premium incluye DLP para correo y archivos, y E3 trae las capacidades básicas. Además, Purview ya permite políticas DLP para Copilot que excluyen contenido sensible de lo que el asistente usa para responder.
En Chile hay un motivo más. La Ley 21.719 exige medidas de seguridad apropiadas al riesgo del tratamiento de datos personales. Su entrada en vigencia sigue fijada para el 1 de diciembre de 2026: el proyecto que la posterga a diciembre de 2027 fue aprobado en general por la Comisión de Constitución del Senado, pero todavía no es ley. Una política DLP documentada sirve como evidencia concreta de esas medidas.
5. Revisar permisos de SharePoint antes de activar Copilot
Aquí es donde más sorpresas encontramos. Microsoft lo reconoce en su guía de preparación para Copilot: por defecto, SharePoint deja la configuración de uso compartido en la opción más permisiva. Con los años se acumulan sitios abiertos a "todos excepto usuarios externos", enlaces que nadie revoca y carpetas que heredaron permisos que ya no corresponden.
Antes de Copilot, ese desorden quedaba escondido porque nadie buscaba ahí. Copilot sí busca, y responde con cualquier archivo al que el usuario tenga acceso. Si la planilla de sueldos está en un sitio abierto, basta con que alguien pregunte por ella.
Para ordenarlo, Microsoft ofrece:
- Informes de gobernanza de acceso a datos en el centro de administración de SharePoint, que muestran sitios sobrecompartidos, enlaces de uso compartido y permisos por sitio.
- Detección restringida de contenido, que saca sitios específicos de las respuestas de Copilot mientras se revisan.
- Revisiones de acceso delegadas a los dueños de cada sitio, que conocen mejor que TI quién debería entrar.
Estas funciones son parte de SharePoint Advanced Management, que según Microsoft viene incluido con la licencia de Microsoft Copilot (el producto que antes se llamaba Microsoft 365 Copilot) o se compra como complemento. Profundizamos en el tema en seguridad de datos en Copilot.
Resumen: qué licencia pide cada ajuste
| Ajuste | Qué evita | Licencia mínima (según Microsoft Learn) |
|---|---|---|
| MFA con valores predeterminados | Robo de credenciales | Cualquier suscripción |
| Acceso condicional | Accesos desde lugares o equipos no confiables | Entra ID P1 (Business Premium, E3) |
| Etiquetas de confidencialidad | Documentos sensibles tratados como cualquier otro | Business Premium o E3 (manual); E5 (automático) |
| DLP | Envío o publicación de datos personales | Business Premium o E3 (básico); E5 (más cobertura) |
| Revisión de permisos de SharePoint | Que Copilot muestre lo que no debe | Informes con SharePoint Advanced Management (incluido con Copilot o como complemento) |
Un dato extra sobre correo: desde el 1 de julio de 2026, Defender for Office 365 Plan 1 (Safe Links, Safe Attachments y protección contra phishing avanzado) viene incluido en Microsoft 365 E3 y Office 365 E3, además de Business Premium. Si su empresa tiene alguno de esos planes, probablemente ya lo esté pagando. Falta revisar que esté configurado.
Preguntas frecuentes
¿Basta con los valores predeterminados de seguridad?
Para una empresa pequeña sin Entra ID P1, son un buen punto de partida. Si tiene Business Premium o E3, acceso condicional le da más control y vale la pena migrar.
¿Necesito Microsoft 365 E5 para proteger bien la información?
No necesariamente. Business Premium y E3 cubren MFA, acceso condicional, etiquetas manuales y DLP básico. E5 agrega automatización y detección basada en riesgo.
¿Por qué revisar SharePoint antes de Copilot y no después?
Porque Copilot responde con todo lo que cada usuario puede ver. Si los permisos están abiertos de más, el asistente puede mostrar esos documentos desde el primer día.
Cómo lo trabajamos en Disrupsoft
Partimos con un diagnóstico del estado actual del tenant. Después definimos las políticas de identidad, acceso y datos, las implementamos con las herramientas de Microsoft Security que su licencia ya incluye y mantenemos el monitoreo y la respuesta ante incidentes. Si quiere saber cuáles de estos cinco ajustes le faltan, revise nuestro servicio de seguridad y conversemos.
