Políticas de acceso condicional imprescindibles para pymes

Qué es el acceso condicional y qué necesitas

El acceso condicional (Conditional Access) es el motor de políticas de Microsoft Entra ID. Cada vez que alguien inicia sesión, evalúa quién es, desde dónde entra, con qué dispositivo y a qué aplicación, y decide si permite el acceso, exige MFA o lo bloquea.

Necesitas Entra ID P1, incluido en Microsoft 365 Business Premium, E3 y E5. Si no lo tienes, la alternativa son los valores predeterminados de seguridad (security defaults): gratuitos y razonables, pero sin posibilidad de ajustarlos. No se pueden usar a la vez que el acceso condicional.

Antes de crear ninguna política

• Crea dos cuentas de emergencia (break-glass): cuentas solo cloud, con contraseña larga custodiada y excluidas de todas las políticas mediante un grupo dedicado. Si te equivocas en una política, son las que te permiten volver a entrar.
• Empieza siempre en modo solo informe: la política se evalúa y queda registrada, pero no bloquea nada. Revisa los resultados una o dos semanas antes de activarla.
• Usa la herramienta What If: simula un inicio de sesión de un usuario concreto y te dice qué políticas se le aplicarían.
• Pon nombres claros: algo como "CA01 - Todos - MFA" o "CA02 - Admins - MFA resistente al phishing" facilita mucho el mantenimiento.

Si en tu tenant ves políticas creadas por Microsoft en modo solo informe, son las políticas administradas por Microsoft. Revísalas: suelen coincidir con las primeras de esta lista.

1. MFA para administradores

Es la más importante. Una cuenta de administrador comprometida da acceso a todo el tenant.

• Usuarios: roles de directorio privilegiados (Global Administrator, Security Administrator, Exchange Administrator, SharePoint Administrator, User Administrator, Privileged Role Administrator, Conditional Access Administrator, etc.).
• Recursos de destino: todos los recursos.
• Conceder: requerir MFA o, mejor, una intensidad de autenticación resistente al phishing (FIDO2, passkeys o Windows Hello for Business).

2. MFA para todos los usuarios

• Usuarios: todos, excluyendo las cuentas de emergencia. Si sincronizas con Active Directory mediante Entra Connect, excluye también la cuenta de sincronización de directorio.
• Recursos de destino: todos los recursos.
• Conceder: requerir MFA.

Antes de activarla, comprueba que los usuarios tienen MFA registrado. Si no, el primer inicio de sesión tras la activación les pedirá registrarlo y te llegarán dudas al soporte.

3. Bloquear la autenticación heredada

Los protocolos heredados (POP3, IMAP, SMTP AUTH, ActiveSync básico) no admiten MFA, así que cualquiera con la contraseña se salta las dos políticas anteriores. La política bloquea las aplicaciones cliente Exchange ActiveSync y Otros clientes. Tienes el paso a paso, incluidas las alternativas para impresoras, en cómo bloquear la autenticación heredada.

4. Proteger el registro de métodos MFA

Si un atacante tiene la contraseña de un usuario que aún no ha registrado MFA, puede registrar su propio móvil. Una política sobre la acción de usuario Registrar información de seguridad que exija estar en una ubicación de confianza (la oficina) o usar un pase de acceso temporal (TAP) cierra esa puerta.

5. Inicios de sesión y usuarios de riesgo (Entra ID P2)

Con Entra ID P2 (incluido en Microsoft 365 E5), Identity Protection calcula el riesgo de cada inicio de sesión y de cada usuario:

• Inicio de sesión de riesgo alto o medio: exigir MFA. Cubre casos como viajes imposibles, IPs anónimas o tokens anómalos.
• Usuario de riesgo alto: exigir MFA y cambio de contraseña. Cubre credenciales filtradas o comportamientos claramente comprometidos.

Si no tienes P2, estas dos no están disponibles. Refuerza entonces las políticas 1 a 4 y la de ubicación.

6. Restricción por ubicación

Si tu empresa solo opera en España o en la UE, no tiene sentido permitir inicios de sesión desde cualquier país. Crea una ubicación con nombre con los países permitidos y una política que bloquee el acceso desde el resto.

No es una barrera infalible (una VPN la salta), pero elimina mucho ruido de ataques automatizados. Piensa en los usuarios que viajan: es mejor excluir temporalmente a un usuario concreto que abrir la política a todos.

7. Dispositivos compatibles

Si gestionas los equipos con Intune, puedes exigir que el acceso se haga desde un dispositivo compatible o unido a Entra ID. Empieza por los administradores y por las aplicaciones más sensibles, y amplíalo cuando tengas todos los equipos inscritos.

Dos errores de mantenimiento que vemos a menudo

• Exclusiones que crecen: cada vez que una política molesta a alguien, se le excluye "temporalmente". Al cabo de un año la política de MFA tiene diez exclusiones y nadie sabe por qué. Usa un grupo de exclusiones documentado y revísalo cada trimestre.
• Políticas olvidadas en solo informe: el modo solo informe no protege. Una política que lleva meses así da una falsa sensación de seguridad.

Orden recomendado

Si partes de cero, activa las políticas en este orden: MFA para administradores, bloqueo de la autenticación heredada, MFA para todos, protección del registro de MFA y, después, riesgo, ubicación y dispositivos. Cada paso en solo informe primero.

Cómo lo revisa 365toControl

365toControl analiza todas tus políticas de acceso condicional con 9 reglas: MFA para administradores, MFA para todos los usuarios, bloqueo de la autenticación heredada, inicios de sesión de riesgo, usuarios de riesgo, restricciones por ubicación, dispositivos compatibles, políticas con más de 5 exclusiones y políticas en modo solo informe. Si una política cubre el caso pero está en solo informe, te lo indica para que sepas que no está protegiendo.