Cómo auditar la seguridad de varios tenants de Microsoft 365 (guía para MSP)

El problema de gestionar muchos tenants

Un MSP que gestiona veinte, cincuenta o doscientos clientes de Microsoft 365 tiene veinte, cincuenta o doscientas configuraciones de seguridad distintas. Cada tenant se configuró en un momento diferente, por técnicos diferentes, y desde entonces ha ido cambiando: un administrador nuevo por aquí, una exclusión "temporal" en el acceso condicional por allá, un invitado que nadie dio de baja.

Revisar cada tenant a mano desde sus portales no escala. Y sin una visión conjunta es imposible responder a preguntas básicas como "¿qué clientes tienen administradores sin MFA?" o "¿a quién le caduca este mes el secreto de una integración?".

Paso 1: un acceso de auditoría separado y de solo lectura

No audites con las mismas cuentas con las que administras. Las dos opciones habituales son:

• GDAP (Granular Delegated Admin Privileges): si eres partner CSP, usa relaciones GDAP con los roles mínimos necesarios (por ejemplo, Global Reader o Security Reader para auditar) y con duración limitada. El antiguo modelo de Global Admin delegado permanente es justo lo que hay que evitar.
• App registration de solo lectura en cada tenant: una aplicación con permisos de aplicación de Microsoft Graph exclusivamente de lectura (Directory.Read.All, Policy.Read.All, AuditLog.Read.All, etc.) y el consentimiento del administrador del cliente. Es el modelo que usa 365toControl: la aplicación no puede modificar nada en el tenant.

En ambos casos, protege estas credenciales como lo que son: llaves de acceso a los datos de tus clientes. MFA resistente al phishing para tus técnicos, secretos con caducidad y un inventario de cuándo vence cada uno.

Paso 2: una línea base común

Para comparar tenants necesitas medirlos contra lo mismo. No hace falta inventarla: el CIS Microsoft 365 Foundations Benchmark y las recomendaciones de Microsoft son buenos puntos de partida. Como mínimo, tu línea base debería cubrir:

• Identidad: MFA para todos, métodos fuertes para administradores, menos de cinco administradores globales y cuentas break-glass.
• Acceso: acceso condicional (o valores predeterminados de seguridad) y bloqueo de la autenticación heredada.
• Correo: SPF, DKIM y DMARC en todos los dominios, y sin reenvíos externos sospechosos.
• Aplicaciones: consentimientos OAuth revisados y secretos de app registrations vigentes.
• Colaboración: invitados revisados y sin cuentas inactivas.

Paso 3: audita con una periodicidad fija

Una auditoría puntual es una foto; lo que interesa es la película. Programa una revisión de cada tenant al menos una vez al mes y guarda los resultados para compararlos. Así detectas la deriva de configuración: cambios que nadie planificó y que suelen estar detrás de los incidentes.

Paso 4: prioriza por severidad en toda la cartera

Con veinte tenants auditados no puedes atacarlo todo a la vez. Ordena los hallazgos por severidad a nivel de cartera, no de cliente: un Global Admin sin MFA en el cliente más pequeño es más urgente que un DMARC en modo monitorización en el más grande.

Documenta también los riesgos que el cliente decide aceptar, con su justificación. Así el mismo hallazgo no reaparece en cada informe y queda constancia de que se le comunicó.

Paso 5: convierte la auditoría en un informe para el cliente

Para el cliente, la seguridad es invisible hasta que algo falla. Un informe mensual con la evolución de su puntuación, los hallazgos corregidos y los pendientes hace visible tu trabajo y justifica la cuota del servicio gestionado. Si el cliente está afectado por NIS2, ese mismo informe le sirve como evidencia de evaluación periódica (Art. 21.2.f).

Además, NIS2 considera a los proveedores de servicios gestionados parte de la cadena de suministro de sus clientes (Art. 21.2.d), y los propios MSP pueden ser entidades reguladas según su tamaño. Demostrar un proceso de auditoría ordenado es cada vez más un argumento comercial. Si quieres repasar los requisitos, tienes nuestro checklist NIS2 para Microsoft 365.

Qué herramientas usar

• Scripts propios con PowerShell y Graph: flexibles y gratuitos, pero hay que mantenerlos, ejecutarlos tenant a tenant y convertir la salida en algo presentable para el cliente.
• Herramientas open source: proyectos como ScubaGear (de CISA) o Maester evalúan un tenant contra una línea base. Son muy completos, pero normalmente se ejecutan tenant a tenant y requieren un perfil técnico.
• Microsoft 365 Lighthouse: el portal de Microsoft para partners CSP ofrece una vista multi-tenant orientada a la gestión de clientes pyme; lo que puedes ver depende de las licencias de cada cliente.
• Plataformas de auditoría multi-tenant: centralizan las conexiones, ejecutan las comprobaciones en todos los tenants y generan los informes.

Cómo lo resuelve 365toControl para MSP

El plan MSP / Enterprise de 365toControl reúne todos los tenants de tus clientes en un solo panel. Cada tenant se conecta con una app registration de solo lectura y se audita con más de 68 comprobaciones. El panel ordena los clientes por severidad y te deja filtrar los que tienen hallazgos críticos. Cada auditoría queda en el histórico para compararla con las anteriores, puedes documentar los riesgos aceptados y entregas a cada cliente un informe PDF profesional. Consulta el plan MSP o solicita una demo.