Si tu empresa usa Microsoft 365 Business Premium, ya tiene buena parte de las herramientas para cumplir los controles técnicos de la ISO 27001: verificación en dos pasos, acceso condicional, cifrado de los portátiles, protección contra virus, prevención de fugas de datos y registro de actividad. Lo que falta casi siempre no es comprar más, sino configurarlo bien, documentarlo y guardar la evidencia que pedirá el auditor.
En otros artículos hemos explicado qué es la ISO 27001, las fases para implantarla con Microsoft 365 y cuánto cuesta certificarse. Este es el más práctico: una lista, control por control, de qué hay que activar y qué enseñarás en la auditoría. Está pensada para que la entienda quien no es informático y pueda revisarla con su proveedor.
Los códigos (A.5.15, A.8.5…) corresponden al Anexo A de la ISO 27001:2022. Si quieres entender cómo está organizado, lo explicamos en el Anexo A de ISO 27001 explicado para gerentes.
Paso 0: antes de tocar nada
- Define el alcance. Qué parte de la empresa entra en la certificación. Sin esto no sabes qué usuarios, equipos y datos tienes que cubrir.
- Comprueba las licencias. Esta guía asume Microsoft 365 Business Premium. Con Business Standard faltan piezas clave (gestión de equipos con Intune, acceso condicional, Defender para empresas).
- Mira tu punto de partida. El Secure Score de Microsoft 365 te da una nota y una lista de mejoras. Haz una captura: es tu evidencia de «antes».
Paso 1: identidades y accesos
| Control | Qué configurar en Microsoft 365 | Evidencia para el auditor |
|---|---|---|
| A.8.5 Autenticación segura | Verificación en dos pasos (MFA) obligatoria para todos, con la app Microsoft Authenticator | Informe de usuarios con MFA registrado |
| A.5.15 Control de acceso | Acceso condicional: bloquear países donde no trabajas y el acceso desde aplicaciones antiguas | Captura de las directivas activas |
| A.8.2 Accesos privilegiados | Cuentas de administrador separadas de las de uso diario, solo para quien las necesita | Listado de administradores y su justificación |
| A.5.18 Derechos de acceso | Procedimiento de altas y bajas: al irse alguien, se bloquea la cuenta el mismo día | Registro de las bajas de los últimos meses |
| A.5.17 Información de autenticación | Política de contraseñas y un gestor de contraseñas para las cuentas compartidas | Política aprobada y uso del gestor |
Si en tu empresa las contraseñas siguen en un Excel, empieza por aquí: riesgos de compartir contraseñas por Excel.
Paso 2: ordenadores y móviles
| Control | Qué configurar | Evidencia |
|---|---|---|
| A.8.1 Dispositivos de usuario | Todos los equipos registrados en Intune, con una configuración común | Inventario de dispositivos desde Intune |
| A.8.24 Criptografía | Cifrado del disco (BitLocker) en todos los portátiles, con las claves guardadas en Microsoft 365 | Informe de cifrado por equipo |
| A.8.7 Protección contra malware | Defender para empresas activo en todos los equipos | Panel de estado de protección |
| A.8.8 Vulnerabilidades técnicas | Actualizaciones automáticas de Windows y de Office gestionadas desde Intune | Informe de cumplimiento de actualizaciones |
| A.8.9 Gestión de la configuración | Configuraciones de seguridad base aplicadas a todos los equipos | Directivas asignadas y su estado |
| A.7.9 / A.8.1 Equipos fuera de la oficina | Borrado remoto activado para portátiles y móviles de empresa | Procedimiento y prueba de borrado |
Paso 3: correo y documentos
| Control | Qué configurar | Evidencia |
|---|---|---|
| A.5.14 Transferencia de información | Bloquear el reenvío automático de correo a direcciones externas (cómo hacerlo) | Directiva antispam saliente |
| A.8.23 Filtrado web | Filtrado de categorías web peligrosas desde Defender | Directiva activa |
| A.8.7 (correo) | Protección de adjuntos y enlaces (Defender para Office 365) y autenticación del dominio con DMARC (guía) | Directivas y registro DMARC publicado |
| A.5.12 / A.5.13 Clasificación y etiquetado | Etiquetas de confidencialidad (por ejemplo «Interno» y «Confidencial») | Etiquetas publicadas y ejemplos de uso |
| A.8.12 Prevención de fuga de datos | Reglas que avisen o bloqueen al compartir DNI, cuentas bancarias o datos de salud | Directivas DLP y sus alertas |
| A.5.10 Uso aceptable | Limitar el uso compartido de SharePoint y OneDrive con personas externas | Configuración de uso compartido |
Paso 4: copias, registro y vigilancia
Aquí es donde Microsoft 365, por sí solo, se queda corto:
| Control | Qué configurar | Ojo |
|---|---|---|
| A.8.13 Copias de seguridad | Copia de correo, OneDrive, SharePoint y Teams fuera de Microsoft | La papelera y la retención no son una copia de seguridad. Lo explicamos en por qué la copia nativa no basta |
| A.8.15 Registro de eventos | Registro de auditoría de Microsoft 365 activado | La retención incluida es limitada; para guardar los registros más tiempo hace falta una capa adicional |
| A.8.16 Monitorización | Alertas de inicios de sesión raros, reglas de reenvío nuevas y cambios de configuración | Alguien tiene que mirarlas: sin vigilancia, son alertas que nadie lee |
| A.5.24–A.5.26 Gestión de incidentes | Procedimiento escrito: quién avisa, quién decide y qué se hace | Registro de incidentes y de cómo se resolvieron |
Paso 5: personas y documentación
- A.6.3 Concienciación: formación periódica al equipo (phishing, contraseñas, uso de datos), con registro de asistencia. Si es formación bonificada, mejor: lo contamos en formación en ciberseguridad para empleados.
- Declaración de aplicabilidad: el documento que dice qué controles aplicas, cuáles no y por qué. Es lo primero que mirará el auditor.
- Políticas: control de acceso, uso de dispositivos, copias de seguridad, gestión de incidentes. Cortas, aprobadas por dirección y conocidas por el equipo.
Microsoft Purview Compliance Manager ayuda a seguir todo esto dentro de Microsoft 365; lo vimos en SGSI con Microsoft 365: Purview Compliance Manager y el Anexo A.
Los cinco errores que más vemos
- MFA «para casi todos». Las excepciones (la cuenta de recepción, el administrador antiguo) son justo las que se usan en los ataques.
- Portátiles sin cifrar porque «se configuraron antes de Intune».
- Confundir retención con copia de seguridad.
- Alertas activadas que nadie revisa. Para el auditor, un control sin seguimiento no está funcionando.
- Configurarlo todo y no guardar evidencias. Haz capturas y exporta informes conforme avanzas, con fecha.
Preguntas frecuentes
¿Basta con Microsoft 365 para aprobar la ISO 27001? No. Microsoft 365 cubre gran parte de los controles técnicos, pero la norma exige también análisis de riesgos, políticas, formación y revisión por dirección. Es la herramienta, no el sistema completo.
¿Puedo hacer esta lista yo solo? Muchos puntos sí, con paciencia. Donde suele hacer falta ayuda es en el acceso condicional, la prevención de fuga de datos y en dejar las evidencias en orden para la auditoría.
¿Cuánto tiempo se tarda en configurarlo todo? Depende de tu punto de partida y del número de equipos. Con una base razonable, la parte técnica se resuelve en semanas, no en meses.
¿Qué pasa con los controles que no aplican? Se excluyen en la declaración de aplicabilidad, explicando por qué. Es normal que una pyme excluya algunos.
Te acompañamos hasta la auditoría
En Kualum Solutions preparamos la ISO 27001 sobre tu Microsoft 365: alcance, riesgos, controles técnicos, documentación y acompañamiento hasta la auditoría, con una capa propia de monitorización para lo que Microsoft no cubre. Después, el plan Premium de mantenimiento mantiene los controles al día.
👉 Ver la preparación de ISO 27001 con Microsoft 365 o reserva una reunión de 30 minutos y revisamos tu punto de partida.
