Valores predeterminados de seguridad o acceso condicional: cuál elegir

Todo tenant de Microsoft 365 necesita una base de seguridad. Microsoft ofrece dos formas de conseguirla: los valores predeterminados de seguridad (gratuitos) y el acceso condicional (con licencia). No se pueden usar a la vez, así que conviene elegir bien.

Qué son los valores predeterminados de seguridad

Son un conjunto fijo de protecciones que Microsoft activa con un solo interruptor. Vienen activados en los tenants creados en los últimos años. Incluyen:

• Registro obligatorio de MFA para todos los usuarios (con Microsoft Authenticator).
• MFA siempre para los administradores.
• MFA para usuarios cuando Microsoft lo considera necesario (por ejemplo, un inicio de sesión desde un sitio inusual).
• Bloqueo de la autenticación heredada (protocolos antiguos que no admiten MFA).
• Protección de las actividades privilegiadas, como el acceso al portal de Azure.

Ventajas: gratis, sin configuración y con una protección muy superior a no tener nada.

Limitaciones: no admiten excepciones. No puedes excluir una cuenta de servicio ni decidir que el MFA se pida solo fuera de la oficina.

Qué es el acceso condicional

El acceso condicional es el motor de políticas de Microsoft Entra ID: si se cumple esta condición, aplica este control. Por ejemplo:

• Si el usuario es administrador → exigir MFA resistente al phishing.
• Si el inicio de sesión viene de fuera de España → bloquear.
• Si el dispositivo no está administrado → permitir solo acceso web sin descargas.
• Si Identity Protection detecta riesgo alto → exigir cambio de contraseña.

Requiere Microsoft Entra ID P1, incluido en Microsoft 365 Business Premium, E3 y E5.

Comparativa rápida

¿Cuándo dar el salto?

Quédate con los valores predeterminados si tu empresa es pequeña, todos trabajan con Microsoft 365 en la nube y no tienes licencias P1.

Pasa a acceso condicional si:

• Ya tienes Microsoft 365 Business Premium (lo estás pagando y no lo aprovechas).
• Necesitas excepciones: cuentas de emergencia, cuentas de servicio o dispositivos compartidos.
• Quieres exigir dispositivos administrados con Intune o bloquear países.
• Tienes requisitos de cumplimiento (ISO 27001, ENS, NIS2).

Cómo migrar sin quedarte sin protección

1. Crea las políticas equivalentes en modo solo informe: MFA para todos, MFA para administradores y bloqueo de autenticación heredada.
2. Revisa su impacto unos días en los registros de inicio de sesión.
3. Desactiva los valores predeterminados de seguridad y, en el mismo momento, activa las políticas.
4. Excluye siempre las cuentas de acceso de emergencia.

El paso 3 es delicado: durante unos minutos puedes quedarte sin protección si las políticas no están listas.

Qué dice la documentación oficial de Microsoft

• Valores predeterminados de seguridad: Microsoft los presenta como la base para quien no tiene acceso condicional, no como la solución final.
• Directiva común: bloquear la autenticación heredada: una de las primeras directivas a crear al migrar.

Conclusión

Los valores predeterminados son el mínimo imprescindible. El acceso condicional es lo que permite una seguridad a la medida de la empresa. Si ya pagas Business Premium, casi siempre compensa usarlo.

¿Quieres que diseñemos tus políticas de acceso condicional? Mira nuestros servicios de MFA y acceso condicional o escríbenos.