Lo que aprenderás
Objetivos de aprendizaje
- Explicar por qué la configuración en la nube sigue siendo tu responsabilidad
- Evaluar el consentimiento de aplicaciones y el alcance del uso compartido
- Planificar una respuesta contenida ante un acceso sospechoso
Empieza por la identidad y la propiedad
Un proveedor de nube gestiona partes del servicio, mientras que la organización sigue controlando los usuarios, los permisos, la configuración y muchas decisiones sobre el uso compartido de datos. Identifica a los administradores y usa cuentas privilegiadas independientes. Revisa los métodos de autenticación y recuperación. Mantén el acceso de emergencia documentado y supervisado en lugar de depender de una única cuenta de administrador de uso diario.
Trata el consentimiento de aplicaciones como acceso
El permiso de una aplicación puede dar acceso continuo sin robar una contraseña. Revisa el editor, los permisos solicitados y la finalidad de negocio. Prefiere el acceso mínimo necesario y exige un proceso de aprobación para permisos amplios. Revisa las concesiones cuando se retire una aplicación; una aplicación de prueba olvidada puede conservar el acceso mucho después de que su propietario deje de usarla.
Revisa el uso compartido y las evidencias de respuesta
Elige valores predeterminados de uso compartido acordes con la sensibilidad de la información. Revisa los documentos compartidos externamente y los usuarios invitados. Cuando aparezca un inicio de sesión sospechoso o una concesión a una aplicación, conserva las evidencias de auditoría relevantes, evalúa el alcance y revoca el acceso inapropiado mediante un proceso aprobado. Restablecer la contraseña por sí solo no revoca necesariamente la concesión a una aplicación.
Ejemplo aplicado
Ponlo en contexto
Un equipo de ventas ficticio aprueba un complemento de informes que solicita leer todos los buzones. El alcance solicitado supera la tarea declarada. Un administrador comprueba la necesidad, rechaza el acceso excesivo y documenta una alternativa aprobada.
Escenario ilustrativo con fines de aprendizaje, no una afirmación sobre un incidente verificado de un cliente.Errores frecuentes
- Suponer que el proveedor protege todos los ajustes del tenant
- Aprobar permisos amplios para aplicaciones por comodidad
- Restablecer una contraseña sin revisar las concesiones
Tu lista de verificación práctica
Las marcas de la lista de verificación son temporales y no se registran como progreso de la cuenta.
Resumen breve
En las plataformas de colaboración, las decisiones sobre identidad y permisos forman parte del perímetro de seguridad.