MFA en Microsoft 365: guía práctica para una implementación sin pánico

MFA (autenticación multifactor) es la medida de seguridad más económica y eficaz para la mayoría de las empresas. Detiene la gran mayoría de los ataques basados en contraseñas robadas. Sin embargo, en muchos equipos sigue siendo opcional porque es "molesta" o porque "ya lo planeamos para el próximo trimestre".

Antes de la activación

1. Verifique quién tiene cuentas activas (y límpielas)
2. Defina los métodos: la aplicación Authenticator es el primario, el SMS la reserva
3. Prepare una guía interna corta con capturas de pantalla
4. Anuncie la activación con al menos unos días de antelación
5. Determine un horario fuera de las horas críticas

Activación por fases

Primero IT y la dirección (como piloto), luego el resto de departamentos progresivamente. Con las reglas de Conditional Access, puede excluir cuentas de servicio y casos especiales, y exigir uniformidad para lo demás.

Políticas de acceso condicional más rentables

• Bloqueo de inicios de sesión desde países donde no tiene usuarios
• Requisito de MFA para todos, excepto para ubicaciones de confianza (opcional)
• Bloqueo de protocolos antiguos (POP, IMAP, basic auth)
• Reglas especiales para cuentas de administrador

Lo que solemos olvidar

• Cuentas de servicio (escaneo a correo, integraciones ERP) sin MFA: al menos acceso condicional por IP
• Los dispositivos móviles de antiguos empleados permanecen registrados
• Dispositivo MFA de respaldo (qué pasa si el usuario pierde el teléfono)

¿Se puede activar el MFA sin interrumpir el trabajo?

Sí, si se realiza por fases y con previo aviso. Es importante tener preparado un método de reserva (por ejemplo, SMS o código de respaldo) y una instrucción clara para los usuarios.

¿Es suficiente el SMS como MFA?

Mejor que nada, pero más débil que la aplicación. Recomendamos Microsoft Authenticator como método principal y el SMS como reserva.

¿Qué pasa si el usuario pierde el teléfono?

Defina el procedimiento de antemano: quién vuelve a registrar el dispositivo, cómo se verifica la identidad y cuánto tiempo toma. Esto no debe ser una improvisación.