Entra ID: Wer hat hier eigentlich die Schlüssel?

Microsoft Entra ID es el producto de gestión de identidades y accesos más utilizado en el mundo. Sin embargo, su complejidad puede ocultar riesgos graves. No se trata solo de errores obvios, sino de la interacción entre permisos que, por separado, parecen inofensivos, pero que juntos permiten a un usuario o a una aplicación controlar procesos críticos y escalar privilegios sin tener un rol de administrador.

Para realizar una primera revisión, se recomienda responder tres preguntas clave: ¿Quién o qué tiene acceso privilegiado (administradores, aplicaciones, identidades gestionadas)? ¿Qué mecanismos de protección funcionan realmente (autenticación de múltiples factores o MFA, acceso condicional y cuentas de emergencia)? y ¿Existen métodos de autenticación obsoletos o excepciones de seguridad activas?

Aunque herramientas como Microsoft Secure Score ayudan a identificar fallos evidentes, no muestran de forma sistemática los caminos de ataque completos o las dependencias híbridas. Para una auditoría más profunda, se sugieren estándares como los CISA-SCuBA-Baselines o el CIS Microsoft 365 Foundations Benchmark, que ayudan a traducir amenazas en requisitos de configuración concretos.

La seguridad en la nube no es algo que se revisa una sola vez. Los cambios constantes en roles, grupos, nuevas aplicaciones y, especialmente, las excepciones temporales (como cuando un empleado no puede usar su celular para el segundo factor de autenticación y se le permite saltarse la regla), suelen quedarse abiertas permanentemente. Por esto, se recomienda realizar controles regulares y, de ser posible, automatizados para detectar cambios en la configuración.

Qué significa para una pyme colombiana y cucuteña: Si su empresa usa Microsoft 365, no se confíe solo de que todo esté 'bien'. Revise especialmente las 'excepciones' que hayan creado para sus empleados (por ejemplo, cuando alguien no pudo usar el código de su celular y le permitieron entrar sin MFA); esas excepciones suelen olvidarse y son la puerta de entrada para un ataque. Use el 'Identity Secure Score' dentro de su panel de Microsoft para ver qué tan vulnerables están sus cuentas hoy mismo.