ISO 27001 con Microsoft 365: qué controles cubren Entra ID, Intune, Defender y Purview

Si ya sabes qué es la ISO 27001 y si la necesita tu empresa, la siguiente pregunta suele ser práctica: con lo que ya pago de Microsoft 365, ¿qué tengo cubierto? Esta guía relaciona los controles del Anexo A de la ISO/IEC 27001:2022 con las herramientas de Microsoft que los apoyan. Citamos los controles por su número, sin reproducir el texto de la norma, que conviene consultar en la edición oficial.

Lo que Microsoft 365 hace y lo que no hace por tu certificación

Microsoft certifica sus propios servicios en la nube. Lo explica en su página sobre la oferta de cumplimiento ISO/IEC 27001. Esa certificación cubre los centros de datos y la plataforma que Microsoft opera, no tu empresa.

Tu certificación depende de tu sistema de gestión de seguridad de la información (SGSI): tu alcance, tu análisis de riesgos, tu declaración de aplicabilidad y las evidencias de que cada control funciona. Microsoft 365 aporta muchas de esas evidencias técnicas si está bien configurado. Si no lo está, tener las licencias no prueba nada ante un auditor.

Qué controles cubre Microsoft Entra ID

Entra ID es el directorio de identidades de Microsoft 365, y es la pieza que más controles de acceso apoya:

• 5.15 Control de acceso: grupos, roles y acceso condicional para decidir quién entra, desde dónde y con qué dispositivo.
• 5.16 Gestión de identidades: una cuenta por persona, con su ciclo de alta, cambio y baja.
• 5.17 Información de autenticación y 8.5 Autenticación segura: MFA, métodos sin contraseña y políticas de contraseñas.
• 5.18 Derechos de acceso: asignación por grupos y revisiones de acceso periódicas.
• 8.2 Derechos de acceso privilegiado: roles de administración separados y limitados.

El proceso de altas y bajas, que es donde más falla este bloque, lo desarrollamos en altas y bajas de empleados sin agujeros. El servicio que prestamos está en gestión de identidades y accesos.

Qué controles cubre Microsoft Intune

Intune gestiona portátiles, ordenadores y móviles. Apoya sobre todo estos controles:

• 5.9 Inventario de información y otros activos asociados: el inventario de dispositivos de Intune muestra los equipos, su propietario y su estado.
• 8.1 Dispositivos de punto final de usuario: políticas de cumplimiento, bloqueo de pantalla y borrado remoto.
• 8.9 Gestión de la configuración: perfiles de configuración aplicados igual a todos los equipos.
• 8.8 Gestión de vulnerabilidades técnicas: anillos de actualización de Windows y aplicaciones.
• 8.24 Uso de la criptografía: cifrado de disco exigido y comprobado desde la consola.

Qué controles cubre Microsoft Defender

Bajo la marca Defender hay varias herramientas: para equipos, para correo y colaboración, y para identidades. Según la licencia, apoyan:

• 8.7 Protección contra el malware: antivirus y detección en equipos, y filtrado de adjuntos y enlaces en el correo.
• 8.8 Gestión de vulnerabilidades técnicas: detección de software vulnerable en los equipos.
• 8.16 Actividades de monitorización: alertas sobre comportamientos anómalos.
• 5.24 a 5.26 Gestión de incidentes: registro, investigación y respuesta a cada alerta.

Qué incluye cada licencia lo resumimos en Microsoft 365 E3 o E5 y la parte de protección de cuentas en cómo proteger Microsoft 365.

Qué controles cubre Microsoft Purview

Purview se ocupa de la información en sí, no de quién entra:

• 5.12 Clasificación y 5.13 Etiquetado de la información: etiquetas de confidencialidad en documentos y correos.
• 8.12 Prevención de la fuga de datos: las directivas de prevención de pérdida de datos avisan o bloquean al compartir información sensible.
• 8.15 Registro: registro de auditoría de la actividad en Microsoft 365.
• 5.33 Protección de los registros: directivas de retención.

Purview incluye además el Administrador de cumplimiento, que ayuda a seguir el estado de los controles con evaluaciones basadas en normas y en acciones de mejora.

Qué parte de la ISO 27001 queda fuera de Microsoft 365

Aunque configures todo lo anterior, hay controles que ninguna herramienta resuelve por ti:

Sobre las copias, Microsoft 365 conserva datos durante un tiempo pero no sustituye una copia propia. Lo explicamos en por qué necesitas un backup externo de Microsoft 365.

Por dónde empezar si ya usas Microsoft 365

1. Inventario de usuarios, dispositivos, aplicaciones e información. Tienes el detalle en inventario de activos para NIS2 e ISO 27001.
2. Revisión de licencias, para saber qué funciones tienes ya pagadas y cuáles no.
3. Identidades primero: MFA para todos, acceso condicional y cuentas de administración separadas.
4. Dispositivos: todos en Intune, con cifrado y actualizaciones obligatorias.
5. Información: etiquetas y prevención de fuga de datos para lo más sensible.
6. Evidencias: guarda capturas, informes y registros de cada control para la declaración de aplicabilidad.

En 3L Systems no emitimos certificaciones. Configuramos Microsoft 365 para que los controles técnicos funcionen y queden documentados, y trabajamos junto al consultor o la entidad que lleve tu certificación.