Microsoft 365: postura de seguridad frente a las líneas base de Zero Trust, DISA STIG y CISA.

Secure Score cuenta cuántas de las recomendaciones de Microsoft ha completado. Es un dato más, no un marco. EtherInsights lee cada control de Secure Score con su plan de acción e historial, muestra el tenant frente a la Zero Trust Assessment de Microsoft y las guías de DISA STIG, CISA ScubaGear, NSA y NIST, sigue los cambios entre revisiones y convierte cada brecha en una acción con responsable y evidencia adjunta.

EtherInsights ejecuta en su tenant, mediante Microsoft Graph, más de cien comprobaciones de la Zero Trust Assessment de código abierto de Microsoft y puntúa la tasa de aprobados en cuatro pilares: identidad, dispositivos, red y datos. No evalúa los pilares de aplicaciones ni de infraestructura. Los resultados guardan historial y se exportan a PDF.

Sí, para Microsoft 365. EtherInsights comprueba 29 reglas DISA STIG. Las reglas de Entra ID, como MFA para administradores, el bloqueo de la autenticación heredada, el bloqueo de cuentas y el tiempo de espera de sesión, se comprueban configuración a configuración, con el ID de regla de DISA cuando DISA lo publica. Para Windows 11, Edge y Aplicaciones de Microsoft 365, comprueba que haya una línea base de seguridad en Intune; no lee la configuración STIG de cada dispositivo. Informa de la conformidad y no aplica la configuración STIG.

El proyecto Secure Cloud Business Applications (SCuBA) de CISA publica líneas base mínimas de configuración segura para Microsoft 365, que se comprueban con su herramienta ScubaGear. Se crearon para las agencias federales de EE. UU., pero se publican abiertamente y se usan mucho como referencia. EtherInsights puntúa su tenant frente a ellas junto con las guías de DISA STIG, NSA y NIST y las líneas base de Microsoft.

Sí. Los informes de conformidad están pensados para usarse una y otra vez en toda una cartera de clientes, con las mismas evidencias de línea base, capas adicionales y deriva por tenant, en lugar de un formato de evaluación puntual que hay que rehacer a mano en cada revisión.

Las líneas base y sus capas adicionales cambian poco, pero la configuración del tenant sí: nuevas licencias, directivas de acceso condicional modificadas, registros de aplicaciones y cambios de administración. Una reevaluación mensual o trimestral detecta la deriva antes de que se convierta en un hallazgo de auditoría; EtherInsights sigue la deriva de forma continua entre los ciclos formales de revisión, no solo cuando toca un informe programado.