Cómo establecer una línea base de seguridad de Microsoft 365

Una línea base de seguridad de Microsoft 365 es un conjunto mínimo y documentado de configuraciones de seguridad que se aplica de forma coherente en Microsoft Entra ID, Exchange Online, SharePoint, Microsoft Teams, Intune y Microsoft Purview. Para establecerla hay que evaluar el tenant, elegir un marco de referencia, reforzar primero la identidad, desplegar en modo de prueba y supervisar las desviaciones.

La mayoría de las organizaciones ya ha activado controles importantes en Microsoft 365: autenticación multifactor para casi todos los usuarios, algunas directivas de acceso condicional y cierto nivel de protección del correo. Muchas menos pueden responder a tres preguntas más difíciles:

• ¿Cumple nuestro tenant un estándar de seguridad definido?
• ¿Siguen vigentes hoy esas configuraciones?
• ¿Podríamos demostrarlo mañana ante un auditor?

Esa brecha no es un problema tecnológico. Es la ausencia de una línea de base de seguridad.

¿Qué es una línea base de seguridad de Microsoft 365?

Una línea base de seguridad de Microsoft 365 es la configuración mínima de seguridad que una organización exige en su tenant, con responsables definidos, excepciones aprobadas y verificación continua.

Suele abarcar seis ámbitos:

• Identidad
• Correo
• Colaboración (SharePoint, OneDrive y Microsoft Teams)
• Dispositivos
• Protección de datos
• Servicios de IA

Lo que la convierte en una línea base, y no en un proyecto puntual, es que es obligatoria, está versionada y se supervisa. Cada nuevo usuario, sitio, dispositivo o agente la hereda por defecto.

Línea base vs. buenas prácticas de seguridad

Las buenas prácticas describen lo que se recomienda en general. La línea base describe lo que es obligatorio en su organización, con qué nivel, para quién y con qué excepciones documentadas.

Una buena práctica dice “active el MFA”. Una línea base dice: “El MFA resistente a la suplantación de identidad es obligatorio para todos los roles con privilegios. Los usuarios estándar deben usar MFA mediante acceso condicional. Las excepciones requieren la aprobación del CISO y caducan a los 90 días”.

La diferencia es la rendición de cuentas.

Línea base vs. Microsoft Secure Score

Microsoft Secure Score mide cuántas acciones recomendadas por Microsoft se han implementado, ponderadas por puntos. Es un KPI útil, pero no es un estándar.

Un tenant puede subir su puntuación completando muchas acciones de bajo impacto y dejar abierta una brecha crítica, como la autenticación heredada en una cuenta de servicio. Use Secure Score para medir el progreso y la línea base para definir qué significa “suficientemente seguro” para su negocio.

Por qué las buenas prácticas de seguridad en Microsoft 365 no bastan sin una línea base

Tres factores hacen cada vez más arriesgado un enfoque informal de la seguridad en Microsoft 365.

Desviaciones de configuración. Los administradores crean excepciones para resolver problemas urgentes, las nuevas cargas de trabajo llegan con valores permisivos y Microsoft introduce ajustes nuevos de forma continua. Sin un estado de referencia, nadie percibe cuándo un tenant reforzado se vuelve permisivo poco a poco.

Evidencias para auditoría. Reguladores, aseguradoras de ciberriesgo y clientes empresariales piden cada vez más que las organizaciones demuestren control, no que describan intenciones. Una línea base supervisada genera esa evidencia bajo demanda y facilita el cumplimiento normativo.

Una superficie de ataque en expansión. Las amenazas basadas en identidad, como el phishing y el robo de credenciales, siguen siendo la principal vía de entrada a Microsoft 365. Copilot y los agentes de IA amplifican ahora el impacto de cada permiso débil, porque pueden localizar información y actuar sobre ella a velocidad de máquina.

¿Qué marco de referencia debe seguir su línea base?

No es necesario inventar una línea base desde cero. Seis referencias dominan el mercado de Microsoft 365, y cada una cumple una función distinta.

Las guías CCN-STIC de la serie 885 están diseñadas para configurar Microsoft 365 conforme a la categoría ALTA del Esquema Nacional de Seguridad (ENS). Son la referencia natural para organismos públicos españoles y para las empresas que les prestan servicios.

Nuestra recomendación: no utilice varios marcos como estándares en competencia. Combínelos, cada uno con un papel definido:

1. Adopte Microsoft Baseline Security Mode como suelo innegociable.
2. Adopte el nivel 1 de CIS como línea base formal; si su organización está sujeta al ENS, incorpore los requisitos de las guías CCN-STIC 885.
3. Use ScubaGear y Zero Trust Assessment como validación independiente.
4. Presente Secure Score a la dirección como métrica de tendencia.

Las organizaciones de sectores muy regulados pueden adoptar después, de forma selectiva, controles del nivel 2 de CIS para los grupos de usuarios de mayor riesgo. En nuestro artículo sobre el Benchmark de Seguridad de Microsoft 365 de CIS profundizamos en este marco.

Cómo establecer una línea base de seguridad de Microsoft 365 en 8 pasos

Paso 1: Evaluar el estado de seguridad actual del tenant

Antes de cambiar nada, mida dónde se encuentra su tenant respecto al marco elegido.

• Revise el panel de Baseline Security Mode y sus informes de impacto en Configuración de la organización > Seguridad y privacidad, dentro del centro de administración de Microsoft 365.
• Ejecute ScubaGear y Zero Trust Assessment para obtener resultados independientes y de solo lectura.
• Haga un inventario de licencias, porque muchos controles dependen de Entra ID P1/P2, Intune, Defender o Purview.
• Documente las dependencias híbridas: Active Directory local, objetos de directiva de grupo y aplicaciones que usan protocolos heredados.

Atención: las herramientas de evaluación requieren permisos de lectura privilegiados. Trate sus registros de aplicación como identidades sensibles y elimínelos al terminar la evaluación.

Paso 2: Definir alcance, niveles de riesgo y excepciones

Una línea base debe especificar a quién se aplica y con qué nivel, no solo qué configuraciones contiene.

• Defina niveles para usuarios estándar, administradores con privilegios, invitados, cuentas de servicio y agentes de IA.
• Asigne los controles de nivel 1 a todos los niveles y los de nivel 2 a los de mayor riesgo, como finanzas, dirección y administradores.
• Cree un registro de excepciones con responsable de negocio, justificación, controles compensatorios y fecha de caducidad.
• Traduzca la línea base en políticas de seguridad escritas, aprobadas formalmente por el CISO y la dirección.

Atención: las excepciones sin fecha de caducidad son la causa más habitual de que una línea base se degrade.

Paso 3: Reforzar la identidad con Microsoft Entra ID

La identidad es el plano de control de Microsoft 365, por lo que aquí la línea base ofrece la mayor reducción de riesgo.

• Exija autenticación multifactor a todos los usuarios mediante directivas de acceso condicional, y MFA resistente a la suplantación de identidad (FIDO2 o claves de acceso) para los administradores.
• Bloquee los protocolos de autenticación heredada en todo el tenant.
• Cree directivas de acceso condicional que combinen riesgo de usuario, riesgo de inicio de sesión y cumplimiento del dispositivo.
• Aplique acceso administrativo just-in-time con Privileged Identity Management y un modelo de control de acceso basado en roles (RBAC) de mínimo privilegio.
• Mantenga al menos dos cuentas de acceso de emergencia supervisadas y excluidas del acceso condicional.
• Evalúe la protección de tokens para Exchange Online, SharePoint y Teams, ya incluida en CIS v7.0.0.

Nota de licencias: el acceso condicional requiere Microsoft Entra ID P1, incluido en Microsoft 365 E3 y Business Premium. Las directivas basadas en riesgo y PIM requieren Entra ID P2, incluido en Microsoft 365 E5.

Atención: muchos tenants antiguos conservan configuraciones heredadas de Azure AD. Revíselas en lugar de dar por hecho que los valores predeterminados son seguros. Si desea profundizar en las opciones de autenticación, consulte nuestro artículo sobre métodos de autenticación con Microsoft 365.

Paso 4: Proteger el correo y la colaboración

El correo sigue siendo el principal canal de phishing, y la configuración de colaboración determina hasta dónde puede viajar la información.

• Publique registros SPF, DKIM y DMARC, y lleve DMARC progresivamente hacia una política de rechazo.
• Bloquee el reenvío automático a dominios externos en Exchange Online.
• Aplique las directivas de seguridad preestablecidas Estándar o Estricta de Microsoft Defender para Office 365, incluidos Vínculos seguros y Datos adjuntos seguros.
• Restrinja el uso compartido externo en SharePoint y OneDrive, y establezca como tipo de vínculo predeterminado “personas específicas” o “personas de su organización”.
• Defina las directivas de acceso externo y de invitados en Microsoft Teams.

Nota de licencias: Defender para Office 365 Plan 1 está incluido en Business Premium; el Plan 2, en Microsoft 365 E5.

Atención: pasar DMARC a rechazo antes de identificar todos los remitentes externos legítimos puede bloquear correo de negocio sin que nadie lo note.

Paso 5: Exigir el cumplimiento de dispositivos y aplicaciones con Intune

Los dispositivos deben demostrar que están en buen estado antes de acceder a los datos corporativos.

• Use Microsoft Intune como plataforma de gestión y convierta el cumplimiento del dispositivo en requisito del acceso condicional.
• Desde el centro de administración de Microsoft Intune, despliegue las líneas base de seguridad para dispositivos Windows, empezando por la línea base para Windows 10 y posterior, que también se aplica a Windows 11.
• Añada la línea base de Microsoft Defender para punto de conexión y confirme la incorporación en Windows, macOS y dispositivos móviles. Organice los equipos en grupos de dispositivos con niveles de automatización adecuados.
• Aplique las líneas base de Microsoft Edge y de Aplicaciones de Microsoft 365 para empresas, incluido el bloqueo de macros procedentes de Internet.
• Para servidores Windows unidos a dominio y entornos híbridos, aplique las líneas base de directiva de grupo del Microsoft Security Compliance Toolkit.

Atención: las configuraciones contradictorias entre directivas de grupo, perfiles de Intune y líneas base provocan comportamientos impredecibles en la seguridad de punto de conexión. Asigne una única fuente autoritativa a cada ajuste.

Paso 6: Proteger los datos con Microsoft Purview

Una línea base debe proteger la información en sí, no solo los caminos que llevan a ella.

• Publique etiquetas de confidencialidad de Microsoft Purview Information Protection alineadas con su esquema de clasificación.
• Despliegue directivas de prevención de pérdida de datos (DLP), empezando en modo de simulación.
• Confirme que el registro de auditoría unificado está activo y que la retención cumple sus requisitos regulatorios.
• Identifique y corrija los sitios de SharePoint con exceso de permisos mediante las capacidades de postura de seguridad de datos de Purview.
• Aplique directivas de retención al contenido regulado.

Nota de licencias: el etiquetado básico y la DLP están disponibles en Microsoft 365 E3. El etiquetado automático, la retención de auditoría ampliada y las capacidades avanzadas suelen requerir Microsoft 365 E5 o complementos E5 Compliance.

Atención: etiquetar sin aplicar protección crea una falsa sensación de seguridad. Cada etiqueta debe corresponder a un cifrado o a una directiva DLP concreta.

Paso 7: Extender la línea base a Copilot y los agentes de IA

Los agentes de IA son un nuevo tipo de identidad, y su línea base debe gobernarlos igual que a los usuarios.

• Corrija el exceso de permisos antes de ampliar Microsoft 365 Copilot, ya que Copilot muestra todo aquello a lo que el usuario ya tiene acceso.
• Asigne al menos una directiva DLP de Microsoft Purview a las interacciones de Microsoft 365 Copilot y Copilot Chat, como recomienda ahora CIS v7.0.0.
• Inventaríe los agentes mediante Microsoft Entra Agent ID y asigne un responsable a cada uno.
• Aplique acceso condicional a las identidades de agente con las plantillas de Microsoft para agentes autónomos y agentes que actúan en nombre de usuarios.
• Defina directivas de datos para los conectores, fuentes de conocimiento y acciones de Copilot Studio.

Nota de licencias: a octubre de 2026, el acceso condicional para agentes requiere una licencia de Microsoft Agent 365 o Microsoft 365 E7, además de Entra ID P1/P2.

Atención: el número de agentes crece más rápido que el de cualquier tipo de identidad anterior. El inventario y la asignación de responsables deben preceder a la aplicación de controles.

Paso 8: Desplegar de forma segura y supervisar las desviaciones

Una línea base que se despliega una vez y nunca se verifica se desviará en pocos meses.

• Ejecute las nuevas directivas de acceso condicional en modo solo informe y use grupos piloto antes de aplicarlas a todo el tenant.
• Use los informes de impacto de Baseline Security Mode para identificar usuarios y aplicaciones afectados antes de aplicar cambios.
• Capture una instantánea del estado deseado y supervísela con las API de Unified Tenant Configuration Management (UTCM), en versión preliminar desde enero de 2026.
• Gestione la configuración como código con Microsoft365DSC.
• Programe ejecuciones trimestrales de Zero Trust Assessment y ScubaGear, y configure alertas sobre cambios de directivas en Microsoft Sentinel para reforzar la detección de amenazas.

Atención: UTCM detecta desviaciones, pero aún no las corrige automáticamente. Sigue necesitando un proceso definido de cambio y remediación.

Checklist de la línea base de seguridad de Microsoft 365

Use este checklist como punto de partida. Valide las licencias y referencias en su propio tenant antes de adoptarlo.

Este checklist puede ofrecerse en versión descargable como recurso para captar leads.

Cómo vincular la línea base con el cumplimiento normativo

Una línea base bien documentada genera evidencias que sirven para varios marcos a la vez. No garantiza el cumplimiento normativo por sí sola, pero contribuye de forma significativa a demostrar los controles técnicos.

• ENS (Real Decreto 311/2022): el ENS exige aplicar guías de configuración segura adaptadas a la categoría del sistema. Una línea base alineada con las guías CCN-STIC 885 aporta evidencia directa para las medidas de control de acceso, configuración de seguridad y registro de actividad.
• ISO/IEC 27001:2022: contribuye a los controles del Anexo A sobre gestión de la configuración (8.9), control de acceso (5.15) y autenticación segura (8.5).
• NIST CSF 2.0: respalda la función Proteger, en particular las prácticas de gestión de la configuración (PR.PS-01) y de identidad y control de acceso (PR.AA).
• NIS2: a octubre de 2026, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone la directiva en España, sigue en tramitación parlamentaria. Las medidas del artículo 21 de la directiva (higiene cibernética, control de acceso y autenticación multifactor) ya son una referencia útil, y la línea base aporta evidencia técnica para varias de ellas.
• DORA: respalda el marco de gestión del riesgo TIC con configuraciones de seguridad documentadas, probadas y supervisadas.
• ISO/IEC 42001: extiende las evidencias de identidad, DLP y supervisión a Copilot y los agentes de IA.

Errores habituales al establecer una línea base

• Tratar Secure Score como la línea base. Una puntuación es una medida, no un estándar. Defina primero el estándar y use la puntuación para seguirlo.
• Desplegar valores predeterminados sin leerlos. Las plantillas de Microsoft son un buen punto de partida, pero cada ajuste debe revisarse frente a sus procesos de negocio.
• Ejecutar varios marcos en paralelo. Tres estándares generan tres listas de tareas y ningún responsable claro. Elija una línea base autoritativa y mapee las demás a ella.
• Ignorar el entorno híbrido. Un tenant en la nube reforzado puede verse comprometido a través del Active Directory local.
• Aprobar excepciones sin fecha de caducidad. Cada excepción necesita un responsable, un control compensatorio y una fecha de revisión.
• Dejar los agentes de IA fuera de la línea base. Los agentes con permisos amplios y sin responsable son la nueva TI en la sombra.
• Revisar una vez al año. Las revisiones anuales no pueden seguir el ritmo de los cambios semanales. La supervisión de desviaciones debe ser continua.

Una línea base sólida también es el primer paso hacia un modelo de Confianza Cero en Microsoft 365, en el que ninguna identidad, dispositivo o aplicación recibe confianza por defecto.

Conclusión: de las buenas prácticas a una línea base operada

Microsoft 365 ya ofrece las capacidades de ciberseguridad que necesitan las empresas. La diferencia entre un tenant seguro sobre el papel y uno seguro en la práctica es una línea de base de seguridad definida, aplicada y supervisada de forma continua.

Las organizaciones que dan este paso mejoran su postura de seguridad y además obtienen beneficios de negocio:

• Menor esfuerzo de auditoría
• Menor coste de respuesta ante incidentes
• Una adopción más segura de Copilot
• Una visión clara y medible del riesgo para la dirección

ne Digital acompaña a las organizaciones en todo el ciclo de vida de su línea base:

• Evaluación del tenant frente a Baseline Security Mode, CIS, CCN-STIC y SCuBA
• Selección y combinación de los marcos adecuados
• Implantación en Microsoft Entra ID, Microsoft Defender XDR, Intune, Microsoft Purview y Sentinel
• Operación continua con supervisión de desviaciones y servicios gestionados

Empiece con una evaluación de seguridad de Microsoft 365 o descubra nuestros servicios gestionados de Microsoft 365 para mantener su línea base aplicada a medida que evoluciona su entorno.