Guía práctica TopEmpresa
Cómo auditar un tenant de Microsoft 365
Checklist para revisar identidad, privilegios, colaboración, dispositivos, seguridad, cumplimiento, licencias, aplicaciones y operación.
Respuesta rápida
Una auditoría útil combina inventario, configuración y riesgo. Revisa Entra ID y privilegios; Exchange, Teams, SharePoint y OneDrive; Intune y dispositivos; Defender y Purview; aplicaciones y terceros; licencias, continuidad, logs y operación. Cada hallazgo necesita evidencia, impacto, prioridad, responsable y plan de remediación.
Paso 1
Define alcance y recoge evidencias
Identifica tenants, dominios, usuarios, invitados, licencias, cargas, dispositivos, aplicaciones y requisitos regulatorios. Asegura acceso de solo lectura cuando sea posible.
Guarda exportaciones, fecha, fuente y alcance de cada evidencia para que el informe sea reproducible.
- Tenants, dominios y geografías.
- Roles, permisos y conectores.
- Licencias, cargas y volumen.
- Regulación y tolerancia al riesgo.
Paso 2
Revisa identidad, privilegios y dispositivos
Comprueba cuentas administrativas, MFA resistente al phishing, acceso condicional, emergencia, invitados, aplicaciones empresariales y consentimiento.
Evalúa inscripción, cumplimiento, cifrado, actualización, privilegios locales y respuesta de endpoints.
- Roles mínimos y PIM.
- MFA y acceso condicional.
- Identidades externas y aplicaciones.
- Intune, cumplimiento y Defender for Endpoint.
Paso 3
Audita datos, colaboración y seguridad
Revisa correo, protección antiphishing, compartición externa, Teams, sitios, permisos, propietarios y ciclo de vida.
Valora clasificación, DLP, retención, eDiscovery, auditoría, alertas, incidentes y capacidad de recuperar datos.
- Exchange, SPF, DKIM y DMARC.
- Teams, SharePoint y OneDrive.
- Defender XDR y Secure Score.
- Purview, retención y auditoría.
Paso 4
Prioriza y convierte hallazgos en cambios seguros
Asigna riesgo, esfuerzo, dependencia, responsable y fecha objetivo. Distingue quick wins de cambios que exigen piloto o comunicación.
Prueba cada control, prepara reversión y mide el resultado. Una puntuación no sustituye comprobar exposiciones y procesos reales.
- Riesgo y evidencia.
- Acción y criterio de cierre.
- Piloto, cambio y reversión.
- Métrica y revisión periódica.
Marco de decisión
Qué diferencia una propuesta Microsoft sólida
La marca o la posición no bastan. Compara ambas propuestas contra estas seis dimensiones y exige evidencias y compromisos escritos para tu entorno.
Alcance y compatibilidad
Inventario por workload, objetos soportados, versiones, permisos, identidades, dominios, aplicaciones, exclusiones y tratamiento de excepciones.
Método de ejecución
Assessment, arquitectura, piloto, precarga, deltas, oleadas, cutover, reversión, reconciliación, aceptación y estabilización.
Seguridad y gobierno
MFA, mínimo privilegio, PIM o GDAP, trazabilidad, protección de datos, cambios aprobados, retirada de accesos y gestión de incidentes.
Evidencia comparable
Casos de escala y ruta equivalentes, equipo nominal, credenciales vigentes, referencias contrastables y resultados vinculados a un alcance concreto.
Soporte y transferencia
Cobertura horaria, SLA, hypercare, backlog de excepciones, documentación, formación, transferencia de conocimiento y modelo operativo posterior.
Coste total y salida
Servicios, licencias, herramientas, consumos, terceros, cambios, costes recurrentes, propiedad de la información y asistencia para una transición ordenada.
Qué debe quedar por escrito
- Alcance y acceso controlado.
- Entra ID, privilegios y aplicaciones.
- Dispositivos y endpoints.
- Correo y colaboración.
- Defender, Purview y continuidad.
- Informe, remediación y verificación.
Autoría y revisión: equipo editorial de TopEmpresa · metodología · solicitar corrección.
Documentación y fuentes de referencia
learn.microsoft.com
Microsoft 365 security documentation
Guías oficiales de seguridad para Microsoft 365.
learn.microsoft.com
Zero Trust guidance
Marco oficial de Microsoft para identidad, dispositivos, datos y aplicaciones.
Respuestas directas
Preguntas frecuentes
¿Qué incluyen las guías de TopEmpresa?
Incluyen criterios de comparación, riesgos, preguntas para proveedores, errores frecuentes y fuentes externas.
¿Las guías sustituyen asesoramiento profesional?
No. Sirven para preparar una decisión, pero algunos proyectos requieren asesoramiento técnico, jurídico, médico o financiero específico.
¿Cómo se eligen las fuentes?
Se priorizan organismos públicos, documentación oficial, fabricantes, registros y evidencias directamente relacionadas con la afirmación.