La gestión de identidades en M365 que nadie hace (y por q...

Su empresa puede estar protegiendo la puerta de enfrente mientras deja las ventanas abiertas. Muchas organizaciones invierten fortunas en firewalls, sistemas de detección de intrusiones y capacitación en concientización, pero ignoran el talón de Aquiles de la seguridad moderna: la gobernanza de identidades en Microsoft 365. Creen que habilitar la autenticación multifactor (MFA) y establecer políticas de contraseñas fuertes es suficiente. No lo es. Y esta brecha cuesta caro, en dinero, reputación y ventaja competitiva.

El Informe de Defensa Digital de Microsoft 2024 revela que el 73% de los ataques exitosos contra organizaciones de tamaño medio comienzan con el compromiso de una identidad. No estamos hablando de exploits complejos o vulnerabilidades de día cero. Estamos hablando de cuentas de servicio sin rotación de contraseñas durante años, permisos de compartición externa otorgados sin criterio, usuarios que salieron de la empresa pero aún acceden a SharePoint, y aplicaciones de terceros con acceso irrestricto a su tenant. Estas son las vulnerabilidades silenciosas que ningún firewall detecta.

El problema invisible de las identidades no humanas

El primer choque de realidad para la mayoría de los gestores ocurre cuando descubren cuántas identidades no humanas existen en el propio ambiente. Cuentas de servicio para integraciones, dispositivos registrados, aplicaciones con permisos delegados, entidades de automatización como bots y flujos de Power Automate. Cada una de ellas es una identidad plena dentro de Microsoft Entra ID (anteriormente Azure AD), con capacidad de autenticación y acceso a recursos.

Según el Gartner Magic Quadrant for Access Management 2025, el 42% de las organizaciones no tienen un inventario actualizado de cuentas de servicio. Esto significa que casi la mitad de las empresas no sabe cuántas identidades no humanas operan en sus tenants, y mucho menos qué permisos tienen. Cuando un auditor o un invasor descubre esto antes de su equipo de TI, el daño ya está hecho.

El impacto financiero es directo. Cada cuenta de servicio mal gestionada puede ser un vector de ataque. Un invasor que compromete una cuenta de servicio con permisos de administrador global puede exfiltrar toda la bandeja de entrada ejecutiva, paralizar operaciones con ransomware o acceder a datos de clientes almacenados en SharePoint. El costo promedio de una violación de datos que involucra identidades comprometidas es de US$ 4,35 millones, según el IBM Cost of a Data Breach Report 2023. Para empresas de mediano tamaño, este valor puede representar meses de ingresos.

Y no es solo seguridad. Cuentas huérfanas continúan consumiendo licencias de Microsoft 365. Un usuario que salió de la empresa pero no fue deshabilitado genera un costo recurrente de suscripción, además de riesgo. En un tenant con 500 empleados, se estima que entre el 5% y el 8% de las cuentas están huérfanas en algún momento. Multiplique por el valor mensual de cada licencia y proyecte a lo largo de un año: es dinero que se va por el desagüe sin generar valor.

Permisos excesivos: el veneno silencioso

Otro punto ciego común es el exceso de permisos para usuarios externos. El intercambio de archivos a través de un enlace, invitaciones B2B en Entra ID, grupos de equipos con acceso irrestricto a invitados. En teoría, son funcionalidades legítimas para la colaboración. En la práctica, se convierten en puertas abiertas que nadie monitorea.

Considere un escenario real: una empresa de servicios profesionales comparte una carpeta de SharePoint con un socio de proyecto. El socio, a su vez, reenvía el enlace internamente sin control. Meses después, el contrato termina, pero el acceso permanece. El invitado aún puede leer, editar y descargar documentos confidenciales de nuevos clientes. La empresa no sabe, no audita, no revoca. Este es el costo de una gobernanza de identidades frágil: exposición continua de datos críticos.

Lo mismo aplica a permisos delegados en aplicaciones. Al otorgar consentimiento a una aplicación OAuth, el usuario puede estar autorizando acceso amplio a correos electrónicos, archivos o contactos sin pasar por revisión de TI. El invasor no necesita romper la contraseña; solo necesita engañar a un colaborador para que acepte un aviso de consentimiento malicioso. El resultado es el mismo: datos exfiltrados, reputación dañada.

¿Qué está en juego en el negocio?

Para el socio o propietario, el riesgo es patrimonial. Una violación grave puede llevar a multas regulatorias (LGPD, GDPR, CCPA), acciones legales de clientes y pérdida de contratos. Para el C-Level, es la imprevisibilidad: costos de remediación de emergencia, horas extras de TI, contratación de forense digital, comunicación de crisis. Para el equipo de TI interno, es la sobrecarga: intentar gobernar identidades manualmente, en hojas de cálculo, sin herramientas adecuadas, mientras el negocio presiona por agilidad.

El problema no es técnico. Es de gestión. La falta de gobernanza de identidades no es un error; es una elección organizacional. Y como toda elección, tiene consecuencias.

Caminos prácticos para salir de la zona de riesgo

Resolver este problema no requiere una revolución tecnológica. Requiere un enfoque estratégico, con procesos claros y herramientas adecuadas al tamaño de la empresa. Aquí están los pilares que un socio de tecnología (MSP) debe ofrecer para transformar la gestión de identidades de pasivo en activo.

Ciclo de vida de identidades automatizado

La primera capa es establecer gobernanza desde la incorporación hasta la desvinculación. Cada nueva identidad debe ser creada con el menor privilegio necesario, y cada desvinculación debe deshabilitar automáticamente la cuenta, revocar permisos y eliminar licencias. Herramientas como Microsoft Entra ID Governance permiten automatizar este ciclo con reglas de negocio. Para empresas de 50 a 5,000 empleados, esto es factible y con retorno inmediato en reducción de riesgo y costo.

Revisión periódica de acceso (access reviews)

No sirve de nada configurar una vez y olvidar. La revisión de acceso debe ser recurrente, con periodicidad definida por criticidad. Accesos privilegiados cada 30 días; accesos de terceros cada 90 días; accesos comunes cada 180 días. El propio Microsoft 365 ofrece recursos nativos de access reviews en Entra ID Governance. El desafío es ejecutarlos de manera consistente, con responsables claros y evidencias para auditoría.

Gestión de Identidades Privilegiadas (PIM) para cuentas administrativas

El PIM (Gestión de Identidades Privilegiadas) es una funcionalidad de Microsoft Entra ID que permite activar permisos elevados solo cuando es necesario, por tiempo limitado y con aprobación. Para empresas de mediano tamaño, es una de las medidas de mayor impacto con menor costo. Elimina el riesgo de cuentas de administrador permanentemente activas. El invasor necesita comprometer la sesión activa; si la elevación es temporal, la ventana de oportunidad se reduce drásticamente.

Monitoreo de consentimiento y permisos OAuth

Las aplicaciones de terceros con permisos delegados son uno de los vectores más explotados. Configurar políticas de consentimiento en Entra ID para exigir revisión administrativa de permisos de alto riesgo es esencial. Además, una auditoría trimestral de todas las aplicaciones con permisos de Graph API puede revelar sorpresas desagradables.

5 preguntas que todo gestor debería hacer sobre identidades en M365

1. ¿Cuántas identidades no humanas (cuentas de servicio, dispositivos, aplicaciones) existen en su tenant y quién las controla?
2. ¿Cómo identificar y remediar permisos excesivos concedidos a usuarios externos a través de compartición o B2B?
3. ¿Cuál es el impacto financiero de cuentas huérfanas que continúan consumiendo licencias y accediendo a datos sensibles?
4. ¿Qué prácticas de revisión de acceso privilegiado (PIM/PAM) son factibles para empresas de mediano tamaño?
5. ¿Cómo diferenciar identidad gestionada de identidad segura en la práctica de un MSP?

1. ¿Cuántas identidades no humanas (cuentas de servicio, dispositivos, aplicaciones) existen en su tenant y quién las controla?

Esta pregunta es el punto de partida. Sin un inventario preciso, no hay gobernanza. En la práctica, la mayoría de los gestores subestiman el número de identidades no humanas. En un tenant de 200 usuarios, es común encontrar de 30 a 50 cuentas de servicio, decenas de aplicaciones registradas con permisos y cientos de dispositivos. Cada una de ellas representa una superficie de ataque.

El control debe incluir propietario identificado, justificación de existencia, contraseña rotada (preferiblemente con un gestor de secretos) y permisos mínimos. Si no sabes quién creó una cuenta de servicio hace dos años, considérela comprometida hasta prueba en contrario. Un MSP competente debe ofrecer un escaneo automatizado de Entra ID e informes de identidades no humanas con recomendaciones de acción.

2. ¿Cómo identificar y remediar permisos excesivos concedidos a usuarios externos a través de compartición o B2B?

La compartición externa es un arma de doble filo. Facilita la colaboración, pero sin controles se convierte en un desagüe de datos. La primera acción es auditar todas las invitaciones B2B activas en Entra ID: cuántas, para quién, con qué permisos, desde hace cuánto tiempo. A continuación, configurar políticas de compartición que limiten enlaces a destinatarios específicos y exijan expiración.

La remediación implica revocar accesos innecesarios e implementar revisiones trimestrales de invitados. Herramientas como Entra ID External Identities permiten categorizar y gestionar usuarios externos con los mismos criterios de gobernanza que los internos. La ganancia de negocio es directa: reducción del riesgo de filtración de información estratégica y cumplimiento con políticas de privacidad.

3. ¿Cuál es el impacto financiero de cuentas huérfanas que continúan consumiendo licencias y accediendo a datos sensibles?

El cálculo es simple, pero rara vez se hace. Para cada cuenta huérfana, suma el costo mensual de la licencia (de US$ 12 a US$ 57 por usuario, dependiendo del plan) y multiplica por 12 meses. En una empresa de 500 empleados con un 7% de cuentas huérfanas, el desperdicio anual puede llegar a US$ 25,000 a US$ 30,000. Este valor es pura pérdida, sin ningún retorno.

Además del costo directo de licenciamiento, está el costo de oportunidad del equipo de TI que necesita investigar incidentes causados por accesos no autorizados. Cada hora gastada remediando un acceso fantasma es una hora no dedicada a proyectos de innovación. Las auditorías de licenciamiento de Microsoft también pueden señalar discrepancias y generar multas contractuales. La gobernanza de identidades no es un gasto; es una inversión con retorno medible.

4. ¿Qué prácticas de revisión de acceso privilegiado (PIM/PAM) son factibles para empresas de mediano tamaño?

Para empresas de 50 a 2,000 empleados, el Privileged Identity Management (PIM) de Microsoft Entra ID es la herramienta más accesible y eficaz. Permite que las cuentas administrativas se activen bajo demanda, con tiempo limitado (ej.: 4 horas), justificación y aprobación de un supervisor. Elimina el riesgo de cuentas de administrador global permanentemente activas, que son el objetivo preferido de ataques.

Por otro lado, el Privileged Access Management (PAM) implica un control más granular sobre tareas específicas en servidores y estaciones de trabajo, requiriendo soluciones como Microsoft Purview Access Policies o herramientas de terceros. Para la mayoría de las empresas de mediano tamaño, comenzar con PIM para las 10 a 20 cuentas más privilegiadas ya cubre el 80% del riesgo. El siguiente paso es extenderse a cuentas de servicio críticas. Un MSP debe estructurar esta implementación en fases, con capacitación y seguimiento.

5. ¿Cómo diferenciar identidad gestionada de identidad segura en la práctica de un MSP?

Identidad gestionada significa que la cuenta existe en un sistema central (Entra ID), tiene propietario, está en un grupo y pasa por revisiones. Identidad segura va más allá: tiene contraseña rotada automáticamente, MFA obligatorio, acceso just-in-time, permisos mínimos comprobados y monitoreo de comportamiento anómalo.

En la práctica, un MSP debe ofrecer informes que muestren no solo cuántas identidades existen, sino cuántas cumplen con el estándar de seguridad definido en contrato. El indicador clave es el porcentaje de identidades con postura segura. Por debajo del 80% es señal de trabajo por hacer. Por encima del 95% es madurez de gobernanza. El valor para el cliente es previsibilidad: saber que la superficie de ataque está bajo control y que ninguna identidad olvidada generará una crisis.

El costo de ignorar la gobernanza de identidades en Microsoft 365 es alto, pero la solución está al alcance. No se trata de tecnología, sino de decisión estratégica. Las empresas que tratan la identidad como un activo a ser gestionado, y no como un detalle técnico, protegen mejor sus datos, gastan menos en licencias innecesarias y duermen tranquilos sabiendo que sus ventanas no están abiertas.

El primer paso es un diagnóstico honesto. ¿Quieres saber cuántas identidades no gestionadas existen en tu tenant y cuál es el riesgo real para tu negocio? Habla con Zamak Technologies y solicita una Consultoría Inicial de Cortesía.