Hello EveryOne!! Querido y estimado lector de Obss, los  Cio y/o Ciso me enfrento casi de forma diaria a desafíos en el ámbito de la ciberseguridad, a veces los calificaría como esperpénticos 😜. Uno de los más recurrentes es la necesidad de reforzar las configuraciones de seguridad en entornos Microsoft 365, un ecosistema que, por defecto, ofrece una amplia gama de posibilidades a los usuarios finales. Esta flexibilidad, aunque beneficiosa en muchos aspectos para los usuarios, a menudo entra en conflicto con las políticas de seguridad corporativas y las regulaciones del sector.

A nadie se le ocurre discutir las medidas de seguridad en un edificio o en un espectáculo, pero hay muchos usuarios que se hacen los remolones e intentan evitar las medidas de ciberseguridad por comodidad en pos de una mal llamada productividad.

En este artículo, quiero compartir  mi experiencia en la implementación de políticas de Acceso Condicional, centrándome en cómo abordar el delicado equilibrio entre la seguridad y la usabilidad del sistema (productividad del usuario). A través de casos prácticos y lecciones aprendidas, vamos a explorar estrategias efectivas para gestionar este cambio de manera que proteja los recursos  de la organización sin alienar a los usuarios finales.

El Escenario: Libertad vs. Seguridad en Microsoft 365

Vamos a imaginar un escenario típico en muchas organizaciones, espero que cada vez sean menos: por defecto, los usuarios han podido acceder a las aplicaciones de Microsoft 365 desde cualquier dispositivo y en cualquier lugar. 

Los usuarios han podido iniciar sesión en cualquier dispositivo Windows personal, familiar, etc., es decir no corporativo, instalar las aplicaciones desde el portal de Microsoft 365, y acceder inmediatamente a todos los correos electrónicos corporativos, datos de Sharepoint, archivos de OneDrive, etc.

Esta flexibilidad, plantea serios riesgos de seguridad. Sin la capacidad de gestionar estos dispositivos personales (BYOD), los departamentos de TI no podemos  garantizar la implementación de medidas críticas de protección de datos como BitLocker, o herramientas de seguridad como soluciones Antivirus/XDR.

El dilema del Cio

Como Cio, nos encontramos en una encrucijada. 

Por un lado, somos conscientes de la necesidad de implementar políticas de Acceso Condicional (dentro de la implementación de una política Zero Trust) para proteger nuestros datos y nuestros recursos corporativos.  (👉accede al artículo donde describo cuáles son las Políticas de Acceso Condicional que recomiendo)

Por otro, somos conscientes que restringir el acceso va a generar fricción con los usuarios, al menos con algunos (los ínclitos corchos. 👉 accede al post de los corchos) y potencialmente vamos a obstaculizar su productividad 😒. Desde mi experiencia perspectiva, entiendo que la seguridad es un prerequisito, sine qua non, para lograr una buena productividad.”

En este punto es donde debe entrar en juego nuestro enfoque pragmático y nuestra visión 360. 

En lugar de optar por una solución drástica que va a generar resistencia, propongo un enfoque gradual y centrado en el usuario.

La estrategia: Un enfoque en tres fases

1. Comunicación efectiva

El primer pilar de nuestra estrategia es la comunicación. Antes de implementar cualquier cambio técnico, es crucial iniciar un diálogo abierto con los usuarios finales. 

Esta fase implica:

a) Explicar el por qué: Es fundamental formar a los usuarios, proceso de evangelización lo llamo yo, para que comprendan las razones existentes detrás de los cambios propuestos. 

Debemos explicar claramente los riesgos asociados con el acceso no controlado a datos corporativos desde dispositivos no gestionados. 

Debemos utilizar ejemplos concretos y escenarios del mundo real para ilustrar las potenciales consecuencias de una brecha de seguridad.

b) Presentar alternativas: Junto con la explicación de los riesgos, debemos ofrecer soluciones alternativas que permitan a los usuarios mantener su productividad. Esto puede incluir:

• Promoción del uso de clientes web para acceder a servicios de Microsoft 365.
• Guías paso a paso sobre cómo acceder de forma segura desde dispositivos gestionados.

c) Establecer canales de feedback:

Debemos implantar al menos una vía, para que los usuarios nos expresen sus preocupaciones y hagan preguntas. Esto puede incluir sesiones de preguntas y respuestas, un buzón de correo dedicado o foros internos.

d) Integrar la seguridad en el proceso de incorporación de nuevos usuarios: Nos vamos a asegurar que los nuevos empleados reciban esta información como parte de su proceso de incorporación, estableciendo desde el principio una cultura de concienciación sobre la seguridad.

2. Implementación gradual

Una vez establecida la base de comunicación, procedemos con la implementación técnica. Nuestro enfoque se debe centrar en minimizar la disrupción, mientras avanzamos hacia un estado de seguridad mejorado.

a) Segmentación de usuarios:

• Crearemos un grupo de seguridad en Entra ID (anteriormente Azure AD) para los usuarios existentes.
• Este grupo lo excluiremos de forma inicial de las nuevas políticas de Acceso Condicional, permitiéndoles continuar con sus prácticas de trabajo actuales.

b) Aplicación a nuevos usuarios:

• Configuraremos las políticas de Acceso Condicional para aplicarse a Todos los usuarios, con la excepción del grupo creado anteriormente.
• Con esto nos vamos a asegura que todos los usuarios nuevos van a estar sujetos a las nuevas políticas de seguridad desde el inicio.

c) Monitoreo y ajuste:

• Implementaremos herramientas de monitoreo para rastrear el impacto y el resultado de las nuevas políticas en los nuevos usuarios.
• Recopilaremos feedback y ajustaremos las políticas según sea necesario para abordar cualquier problema imprevisto.

3. Migración progresiva

Con las nuevas políticas en funcionamiento para los nuevos usuarios, iniciaremos el proceso de migrar gradualmente a los usuarios existentes.

a) Análisis de uso:

• Utilizaremos herramientas de análisis para identificar patrones de uso entre los usuarios existentes.
• Identificaremos a aquellos que no utilizan aplicaciones de Microsoft 365 en dispositivos personales, priorizándolos para la migración.

b) Migración por lotes:

• Comenzaremos removiendo del grupo de exclusión a los usuarios que no se verán afectados por el cambio.
• Procederemos con lotes pequeños de usuarios, comunicándonos con ellos antes de la migración.

c) Soporte dedicado:

• Estableceremos un soporte especializado para manejar las consultas y problemas relacionados con la migración.
• Ofreceremos sesiones de capacitación y recursos de autoayuda para facilitar la transición.

d) Casos especiales:

Una de mis máximas es que no podemos normalizar las excepciones, por eso:

• Para usuarios que requieren acceso desde dispositivos personales por motivos justificados y documentados, deberemos  evaluar opciones como Windows 365 o soluciones de virtualización de escritorio.

Aspectos técnicos de las Políticas de Acceso Condicional

Es importante profundizar en los aspectos técnicos de las políticas de Acceso Condicional que estamos implementando. 

Estas políticas son el corazón de nuestra estrategia de seguridad y merecen una explicación detallada.

1. Configuración de Políticas básicas:

a) Autenticación Multifactor (MFA):

• Requeriremos MFA para todos los accesos remotos y para todos los usuarios a recursos de Microsoft 365.
• Configuraremos excepciones para redes corporativas confiables.

b) Restricción de recursos :

• Limitaremos el acceso a aplicaciones móviles y clientes de escritorio solo a recursos compatibles o unidos híbridos.
• Definiremos el término compatibilidad, basándonos en criterios como la presencia de software antivirus actualizado, cifrado de disco y parches de sistema operativo al día.

c) Controles de aplicaciones:

• Restringiremos el acceso a aplicaciones específicas de alto riesgo (por ejemplo, SharePoint o OneDrive) solo a dispositivos gestionados.

2. Políticas avanzadas:

a) Geolocalización:

• Implementaremos restricciones basadas en la ubicación geográfica del usuario, bloqueando accesos desde países de alto riesgo.

b) Detección de riesgos:

• Utilizaremos las capacidades de detección de riesgos de Azure AD Identity Protection para aplicar controles adicionales en situaciones de alto riesgo.

c) Restricciones de sesión:

• Configuraremos políticas para limitar las acciones que los usuarios pueden realizar en sesiones de alto riesgo (por ejemplo, impedir descargas)

3. Monitoreo y ajuste continuo:

a) Logs y Alertas:

• Configuraremos logs detallados de todas las decisiones de Acceso Condicional.
• Estableceremos alertas para patrones de acceso inusuales o intentos de evasión de políticas.

b) Revisiones periódicas:

• Programaremos revisiones trimestrales de las políticas para asegurar su efectividad continua.
• Ajustaremos las políticas basándonos en cambios en el panorama de amenazas y feedback de usuarios.

Gestión del cambio y adopción del usuario

La implementación técnica es solo una parte de la ecuación. El éxito a largo plazo va a depender en gran medida de cómo gestionemos el cambio y fomentemos la adopción por parte de los usuarios.

1. Programa de Seguridad:

Debemos crear un grupo de trabajo con usuarios de diferentes departamentos con los que:

• Ofreceremos capacitación avanzada sobre las nuevas políticas y su importancia.
• Actuarán como punto de contacto inicial para preguntas y preocupaciones de sus compañeros de área.
• Nos proporcionarán feedback valioso sobre la adopción y los desafíos en sus respectivas áreas.

2. Gamificación de la Seguridad:

Implementaremos elementos de gamificación para incentivar comportamientos seguros:

- Podemos crear un sistema de puntos y reconocimientos para usuarios que adoptan rápidamente las nuevas prácticas de seguridad.

- Podemos organizar reuniones de trabajo entre departamentos para promover la adopción de las nuevas políticas.

3. Sesiones de Capacitación continua:

Debemos desarrollar un programa de capacitación continua en el que incluyamos, al menos:

• Webinars mensuales sobre diferentes aspectos de las nuevas políticas de seguridad.
• Módulos de e-learning actualizados regularmente con las últimas mejores prácticas.
• Sesiones prácticas donde los usuarios pueden experimentar con las nuevas configuraciones en un entorno seguro.

4. Feedback Loop y mejora continua:

Establecemos un sistema robusto de feedback:

• Encuestas regulares para medir la satisfacción del usuario y identificar áreas de mejora.
• Un portal dedicado donde los usuarios pueden sugerir mejoras o reportar problemas.
• Reuniones trimestrales con representantes de diferentes departamentos para discutir el impacto de las políticas y posibles ajustes.

Medición del exito y ROI

Para justificar la inversión en estas nuevas medidas de seguridad y poder demostrar su valor a la dirección, es crucial que establezcamos métricas de medición.

1. Indicadores Clave de rendimiento (KPIs):

a) Seguridad:

• Reducción en el número de incidentes de seguridad relacionados con accesos no autorizados.
• Disminución en el tiempo de detección y respuesta a amenazas.

b) Adopción del usuario:

• Porcentaje de usuarios que han migrado exitosamente a las nuevas políticas.
• Tasa de cumplimiento de las nuevas políticas de seguridad.

c) Productividad:

• Número de tickets de soporte relacionados con problemas de acceso.
• Tiempo promedio de resolución de problemas de acceso.

2. Análisis de Costo-beneficio:

Realizaremos un análisis detallado de costo-beneficio en el que incluiremos:

• Costes de implementación (software, hardware, capacitación, horas de trabajo).
• Ahorros estimados por prevención de brechas de seguridad.
• Mejoras en la productividad debido a un acceso más seguro y eficiente.

3. Benchmarking:

Compararemos nuestros resultados con estándares de la nuestro sector y mejores prácticas:

• Utilizamos informes de seguridad del sector para contextualizar nuestras mejoras.
• Participaremos en grupos de usuarios de Microsoft 365 para compartir experiencias y aprender de otros.

Lecciones aprendidas y mejores prácticas

A lo largo de múltiples implementaciones, hemos recopilado valiosas lecciones que pueden beneficiar a otras organizaciones en situaciones similares:

1. La importancia de la planificación:

 Una planificación detallada que incluya análisis de impacto, plan de comunicación y estrategia de rollback es crucial. Hemos comprobado que las implementaciones más exitosas son aquellas que dedican suficiente tiempo a la fase de planificación.

2. No subestimar la resistencia al cambio:

Incluso con una comunicación efectiva y un plan detallado, siempre habrá cierta resistencia, sobre todo de los denominados corchos ( os vuelvo a dejar el enlace de nuestros amigos los corchos👉 accede al post de los corchos).

Es importante tener estrategias preparadas para manejar esta resistencia, incluyendo planes de contingencia para usuarios críticos que puedan necesitar excepciones temporales.

3. La flexibilidad es clave:

Debemos estar dispuestos a ajustar el plan basándonos en el feedback y los resultados iniciales. Hemos encontrado que un enfoque iterativo, con ciclos cortos de implementación y revisión, es más efectivo que un despliegue monolítico.

4. Involucrar a todas las partes interesadas:

Asegurarnos de que todas las partes interesadas, desde TI hasta recursos humanos y la dirección, estén alineadas y comprometidas con el cambio. Esto facilitará una implementación más fluida y una adopción más rápida.

5. No descuidar la capacitación del personal de TI:

Debemos asegurarnos que el equipo de TI esté completamente capacitado no solo en los aspectos técnicos de las nuevas políticas, sino también en cómo comunicar efectivamente estos cambios a los usuarios finales.

El camino hacia adelante

A modo de resumen, la implementación de políticas de Acceso Condicional en entornos Microsoft 365 es un viaje, no es un destino. 

Requiere, por nuestro lado, un equilibrio cuidadoso entre la seguridad y la usabilidad, una comunicación constante y una disposición para adaptar y mejorar continuamente.

Como Cio, nuestro papel va más allá de la mera implementación técnica. Somos agentes de cambio, educadores y estrategas​​​​​​​​​​​​​​​​.

Si te interesa el contenido no olvides suscribirte a mi blog o a la comunidad de WhatsApp.

Nos vemos en las redes!!