La mayoría de las organizaciones no descubre sus puntos débiles durante una auditoría. Los descubre cuando ya se ha producido un incidente.
- Una cuenta sin MFA.
- Un administrador con más permisos de los necesarios.
- Un dispositivo sin gestionar accediendo a información sensible.
- Un acceso que nadie sabía que seguía activo.
La mayoría de las brechas de seguridad modernas no se producen porque la empresa carezca de tecnología. Ocurren porque existen puntos débiles que nadie sabía que estaban ahí.
Por eso Microsoft ha desarrollado el Zero Trust Assessment, una evaluación diseñada para analizar de forma automatizada el nivel de madurez de seguridad de una organización y detectar riesgos antes de que puedan convertirse en un problema.
La pregunta que debería hacerse cualquier empresa no es si tiene herramientas de seguridad, sino si realmente las está utilizando de la forma correcta.
Antes de empezar: ¿qué significa realmente Zero Trust?
Durante años la seguridad corporativa se basó en una idea sencilla: proteger el perímetro de la organización. Si alguien conseguía acceder a la red interna, se asumía que era un usuario legítimo.
El problema es que ese modelo ya no encaja con la realidad actual. Hoy los empleados trabajan desde cualquier lugar, utilizan múltiples dispositivos, acceden a aplicaciones en la nube y comparten información constantemente.
Por eso surge el modelo Zero Trust, basado en un principio muy simple:
Nunca confiar por defecto. Verificar siempre.
Cada acceso debe validarse independientemente de dónde se origine, quién lo solicite o qué recurso quiera utilizar. Esto implica comprobar continuamente la identidad del usuario, el estado de su dispositivo, el nivel de riesgo asociado a la sesión y la sensibilidad de la información a la que intenta acceder.
Paso 1: Analizar la situación actual
El primer error que cometen muchas organizaciones es intentar mejorar la seguridad sin saber cuál es su punto de partida.
Aquí es donde entra en juego el Zero Trust Assessment. La herramienta revisa automáticamente cientos de configuraciones dentro del entorno Microsoft y compara los resultados con las recomendaciones de seguridad definidas por Microsoft, NIST, CISA y otros estándares internacionales. Entre otros elementos analiza:
- Identidad y acceso.
- Protección de cuentas privilegiadas.
- Configuración de Microsoft Entra ID.
- Gestión de dispositivos con Intune.
- Protección de datos.
- Aplicaciones corporativas.
- Acceso condicional.
- Cumplimiento de requisitos de seguridad.
El objetivo no es únicamente detectar errores. También permite identificar rápidamente qué áreas presentan mayor nivel de exposición.
Lo que suele aparecer en una primera revisión
En muchas organizaciones encontramos situaciones como:
- Usuarios sin MFA efectivo.
- Cuentas antiguas todavía activas.
- Administradores globales innecesarios.
- Aplicaciones con permisos excesivos.
- Dispositivos personales accediendo a información corporativa.
- Configuraciones heredadas que nadie revisa desde hace años.
Y lo más llamativo es que muchas veces estos riesgos son completamente desconocidos para la organización.
Paso 2: Revisar la identidad, el activo más atacado
Si existe un punto de entrada favorito para los ciberdelincuentes, ese es la identidad digital. Las credenciales robadas siguen siendo una de las principales causas de compromiso en entornos corporativos. Por ello, una de las primeras áreas que deberían revisarse es:
- ¿Todos los usuarios tienen MFA habilitado?
- ¿Las cuentas administrativas cuentan con medidas adicionales de protección?
- ¿Existen usuarios que nunca utilizan MFA?
- ¿Se siguen utilizando protocolos de autenticación heredados?
- ¿Hay cuentas inactivas que continúan teniendo acceso?
Es habitual encontrar organizaciones que consideran implantada la autenticación multifactor cuando en realidad solo una parte de los usuarios la utiliza. La diferencia entre tener MFA parcialmente implementado y aplicarlo de forma global puede suponer la diferencia entre detener un ataque o sufrir una brecha.
Hoy la identidad se ha convertido en el nuevo perímetro de seguridad.
Paso 3: Controlar los privilegios antes de que se conviertan en un problema
Muchos incidentes no comienzan con una cuenta de administrador comprometida. Comienzan con una cuenta básica que, tras una serie de movimientos laterales, termina obteniendo permisos que nunca debería haber tenido.
Por eso una revisión Zero Trust presta especial atención a aspectos como:
- Número de administradores globales.
- Uso de privilegios permanentes.
- Cuentas con permisos excesivos.
- Accesos privilegiados sin supervisión.
Una buena práctica consiste en aplicar el principio de mínimo privilegio: cada usuario debe disponer únicamente de los permisos estrictamente necesarios para desarrollar su trabajo. Nada más.
Paso 4: Verificar los dispositivos que acceden a los datos corporativos
Otro de los errores más frecuentes consiste en asumir que todos los dispositivos utilizados por los empleados son seguros. La realidad es que muchos accesos se producen desde equipos personales, dispositivos sin actualizar o terminales que no cumplen los estándares corporativos.
Una estrategia Zero Trust exige responder preguntas como:
- ¿Los equipos están gestionados?
- ¿Se aplican actualizaciones de seguridad?
- ¿Existe cifrado de disco?
- ¿Se utilizan soluciones de protección frente a amenazas?
- ¿Puede acceder cualquier dispositivo a los recursos corporativos?
Si no conocemos el estado del dispositivo, tampoco deberíamos confiar automáticamente en él.
Paso 5: Proteger la información, no solo la infraestructura
Uno de los aspectos más interesantes del modelo Zero Trust es que desplaza el foco desde la red hacia los datos. Porque en realidad lo que los atacantes buscan no son servidores ni dispositivos, buscan información.
Por eso resulta fundamental revisar:
- Dónde se almacenan los datos sensibles.
- Quién puede acceder a ellos.
- Desde qué ubicaciones se consultan.
- Qué mecanismos existen para evitar fugas de información.
- Cómo se clasifican y protegen los documentos corporativos.
Esta parte cobra todavía más relevancia con la llegada de Microsoft 365 Copilot y los agentes de IA.
La inteligencia artificial accederá a la información que tenga permiso para consultar. Si los permisos son excesivos o están mal definidos, el riesgo también aumentará.
Paso 6: Convertir los resultados en un plan de mejora
Uno de los errores más habituales tras realizar una evaluación de seguridad es tratar el informe como un documento estático. El verdadero valor del Zero Trust Assessment aparece cuando los resultados se convierten en acciones concretas.
Una buena estrategia suele seguir este orden:
- Primero, corregir riesgos críticos relacionados con identidad y accesos.
- Después, reforzar la gestión de dispositivos y el acceso condicional.
- A continuación, revisar privilegios administrativos y protección de datos.
- Por último, establecer mecanismos de supervisión continua que permitan detectar desviaciones futuras.
La seguridad no es un proyecto con fecha de finalización. Es un proceso de mejora permanente.
¿Qué impacto puede tener en el negocio?
Más allá de los aspectos técnicos, una evaluación Zero Trust puede ayudar a reducir riesgos relacionados con:
- Interrupciones operativas.
- Accesos no autorizados.
- Fugas de información.
- Incumplimientos normativos.
- Impacto reputacional.
La seguridad moderna no consiste únicamente en proteger sistemas. Consiste en proteger la capacidad de la organización para seguir operando con normalidad.
Lo que el Zero Trust Assessment puede revelar en pocas horas
En muchas organizaciones, una evaluación de este tipo descubre problemas que llevaban años pasando desapercibidos:
- Administradores globales innecesarios.
- Usuarios sin MFA.
- Aplicaciones con permisos excesivos.
- Accesos desde dispositivos no gestionados.
- Configuraciones heredadas que siguen activas.
- Datos sensibles accesibles por usuarios que no deberían consultarlos.
Detectar estos problemas antes de que lo haga un atacante es precisamente el motivo por el que la evaluación resulta tan valiosa.
¿Está preparada tu organización?
Responde mentalmente a estas preguntas:
- ¿Todos los usuarios utilizan MFA?
- ¿Conoces cuántos administradores globales existen?
- ¿Controlas qué dispositivos acceden a la información corporativa?
- ¿Tienes identificadas las aplicaciones con permisos elevados?
- ¿Sabes quién puede acceder a los datos más sensibles?
Si varias respuestas generan dudas, probablemente existe margen para mejorar la visibilidad y la postura de seguridad de la organización.
La mayoría de los incidentes no aparecen por una gran vulnerabilidad desconocida. Aparecen porque pequeños riesgos permanecen invisibles durante demasiado tiempo.
No se puede proteger aquello que no se conoce.
