10 ajustes que todo tenant nuevo de Microsoft 365 necesita el día uno

Un tenant nuevo es el momento más barato para hacer bien la seguridad. Nadie depende todavía de los malos valores por defecto, así que nada se rompe cuando los cambias.

Este es el orden en que trabajo. Primero identidad, porque ahí empiezan la mayoría de incidentes reales. Después correo. Después compartir.

Nota de licencias: Conditional Access necesita Entra ID P1, que viene con Microsoft 365 Business Premium, E3 y E5. En Business Standard o Basic, usa los valores predeterminados de seguridad (security defaults).

1. Crea dos cuentas de emergencia (break-glass)

Dos cuentas de administrador solo en la nube, en tu dominio *.onmicrosoft.com, que no pertenezcan a ninguna persona. Protégelas con una llave FIDO2 o passkey, exclúyelas de las políticas de Conditional Access que podrían dejarte fuera y crea una alerta para cada inicio de sesión.

Si falla tu proveedor de identidad o el teléfono de tu único admin, por aquí vuelves a entrar.

2. Exige MFA a todos, y MFA resistente al phishing a los admins

Activa los security defaults, o una política de Conditional Access que exija MFA a todos los usuarios. Para los roles de administrador, ve más lejos: exige una fuerza de autenticación de MFA resistente al phishing (FIDO2, passkeys, Windows Hello for Business).

El SMS y las notificaciones push son mejor que nada. No detienen un proxy AiTM.

3. Bloquea la autenticación heredada

Los protocolos heredados no soportan MFA, así que son una puerta trasera a todo lo del paso 2. Crea una política de Conditional Access que bloquee las condiciones "Exchange ActiveSync clients" y "Other clients" para todos los usuarios.

Déjala una semana en modo solo informe y revisa los registros de inicio de sesión por si algo todavía los usa. Los escáneres e impresoras viejas que envían correo por SMTP AUTH son los sospechosos de siempre.

4. Mantén entre dos y cuatro Global Administrators

Cada Global Admin es un compromiso total del tenant esperando a pasar. Dale a cada persona el rol más acotado que le sirva: Exchange Administrator, User Administrator, Security Reader. Si tienes Entra ID P2, usa PIM para que los roles de admin se activen solo cuando hacen falta.

5. Evita que los usuarios autoricen cualquier aplicación

El consentimiento ilícito es phishing sin contraseña. En el centro de administración de Entra, en Enterprise applications → Consent and permissions, permite el consentimiento de usuarios solo para editores verificados y permisos de bajo riesgo, y activa el flujo de consentimiento de administrador para que pidan el resto.

6. Confirma que el registro de auditoría unificado está activo

No puedes investigar lo que no registraste. Viene activo por defecto en tenants nuevos, pero confírmalo:

Connect-ExchangeOnline
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
 
# Si devuelve False:
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

7. Publica SPF, activa DKIM, empieza con DMARC

Para cada dominio propio que envía correo:

• SPF: v=spf1 include:spf.protection.outlook.com -all
• DKIM: actívalo en el portal de Defender, en Email authentication settings, después de publicar los dos registros CNAME que te da.
• DMARC: empieza monitoreando y luego ajusta.

_dmarc.contoso.com  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Lee los reportes de dos a cuatro semanas, corrige los remitentes que fallan, y pasa a p=quarantine y finalmente a p=reject.

8. Aplica la directiva de seguridad preestablecida Standard

En el portal de Defender, Email & collaboration → Policies & rules → Threat policies → Preset security policies, aplica Standard protection a todos los usuarios. Configura anti-phishing, anti-spam y anti-malware con los valores recomendados por Microsoft, y los mantiene al día cuando cambian las recomendaciones.

9. Bloquea el reenvío automático a direcciones externas

Un buzón comprometido con una regla de reenvío filtra información en silencio durante meses. Los tenants nuevos lo bloquean por defecto, pero déjalo explícito:

Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

Si un equipo de verdad necesita reenvío externo, crea una política aparte solo para ese grupo.

10. Restringe el uso compartido externo en SharePoint y OneDrive

De fábrica, compartir está muy abierto, incluidos los enlaces "Anyone" que no piden iniciar sesión. Limítalo a invitados existentes y haz que "personas específicas" sea el tipo de enlace por defecto:

Connect-SPOService -Url https://contoso-admin.sharepoint.com
Set-SPOTenant -SharingCapability ExistingExternalUserSharingOnly -DefaultSharingLinkType Direct

Puedes abrir sitios puntuales cuando haya una razón de negocio. Es más fácil que descubrir qué se compartió ya.

Después, mídelo

Secure Score no te dice todo, pero es una lista de pendientes gratis que muestra el avance. Revísalo después de estos diez, anota el número y vuelve a mirarlo en un mes.

Nada de esto necesita una licencia extra ni una herramienta nueva. De eso se trata.