Guía de estudio · Resumen
SC-900 Security, Compliance, and Identity Fundamentals
Lo esencial de cada dominio del examen, con los servicios que más preguntan. Toca un servicio para ver su detalle.
Fundamentos~50 min de lectura4 dominios
Qué cubre el examen
D1 · 10–15% del examen
Conceptos de seguridad, cumplimiento e identidad
Modelo de responsabilidad compartida
En la nube, la seguridad se reparte entre Microsoft y el cliente. Cuanto más administrado es el servicio, más responsabilidad asume Microsoft. Pero hay cosas que nunca se delegan.
| Responsabilidad | On-premises | IaaS | PaaS | SaaS |
|---|---|---|---|---|
| Datos, configuraciones, identidades y usuarios | Cliente | Cliente | Cliente | Cliente |
| Dispositivos cliente | Cliente | Cliente | Cliente | Compartida |
| Aplicaciones | Cliente | Cliente | Compartida | Compartida |
| Controles de red | Cliente | Cliente | Compartida | Microsoft |
| Sistema operativo | Cliente | Cliente | Microsoft | Microsoft |
| Hosts físicos, red física y datacenter | Cliente | Microsoft | Microsoft | Microsoft |
En cualquier modelo, el cliente siempre conserva sus datos, sus identidades y accesos, sus endpoints y la configuración de su tenant. El datacenter físico nunca es responsabilidad del cliente en la nube.
Para soluciones con IA, Microsoft agrega un modelo de responsabilidad compartida de IA en 3 capas: la plataforma de IA (infraestructura, modelo y filtros de seguridad), la aplicación de IA (configuración, conectores, plugins) y el uso de la IA (qué datos y prompts introducen las personas). El cliente siempre responde por sus datos, el acceso, la configuración y riesgos como la inyección de prompts.
Defensa en profundidad
Varias capas de seguridad para que, si una falla, la siguiente frene al atacante. Ninguna capa depende de otra.
Física
Acceso controlado al datacenter
Identidad y acceso
MFA, RBAC y Conditional Access
Perímetro
Protección DDoS y firewalls
Red
Segmentación y reglas de tráfico
Cómputo
VMs y puertos protegidos y parcheados
Aplicación
Código seguro, sin secretos expuestos
Datos
Cifrado y control de quién accede
Todas las capas buscan proteger la tríada CIA: confidencialidad, integridad y disponibilidad (availability).
Modelo Zero Trust
Zero Trust asume que no existe una red de confianza: cada solicitud se verifica como si viniera de una red abierta. Su lema es "nunca confíes, siempre verifica".
Verificar explícitamente
Autenticar y autorizar con todas las señales disponibles: identidad, ubicación, dispositivo, servicio y riesgo.
Usar acceso con privilegios mínimos
Dar solo el acceso necesario y por el tiempo necesario (just-in-time y just-enough-access).
Asumir una brecha
Segmentar el acceso, cifrar de extremo a extremo y usar analítica para detectar amenazas y limitar el radio de impacto.
Zero Trust se aplica sobre 7 pilares: identidades, dispositivos, aplicaciones, datos, infraestructura y redes, más un séptimo, visibilidad, automatización y orquestación, que junta las señales de los otros seis (ahí entran SIEM y SOAR).
Cifrado y hashing
| Concepto | Cómo funciona | Uso típico |
|---|---|---|
| Cifrado simétrico | Una misma clave cifra y descifra | Cifrar grandes volúmenes de datos |
| Cifrado asimétrico | Par de claves: pública cifra, privada descifra | TLS, firmas digitales, intercambio de claves |
| Cifrado en reposo | Datos cifrados mientras están almacenados | Discos, bases de datos, Storage |
| Cifrado en tránsito | Datos cifrados mientras viajan por la red | HTTPS / TLS |
| Cifrado en uso | Datos protegidos mientras se procesan en memoria | Confidential computing (enclaves seguros) |
| Firma digital | Se firma con la clave privada y se verifica con la pública | Probar autenticidad e integridad |
| Hashing | Función unidireccional: el mismo texto da siempre el mismo hash y no se puede revertir | Guardar contraseñas con salt, verificar integridad |
El hashing no es cifrado: no tiene clave y no se puede revertir. Si la pregunta dice "no se puede recuperar el valor original", es hashing.
Gobernanza, riesgo y cumplimiento (GRC)
Gobernanza
Reglas, prácticas y procesos que dirigen y controlan la organización.
Riesgo
Identificar, evaluar y responder a amenazas que afectan los objetivos del negocio.
Cumplimiento
Seguir las leyes, regulaciones y estándares que aplican (GDPR, ISO, etc.).
| Término | Significado |
|---|---|
| Residencia de datos | Dónde se almacenan físicamente los datos y qué leyes aplican ahí |
| Soberanía de datos | Los datos quedan sujetos a las leyes del país donde se recopilan o almacenan |
| Privacidad de datos | Ser transparente sobre qué datos personales se recopilan y cómo se usan |
Conceptos de identidad
Hoy los usuarios trabajan desde cualquier lugar y dispositivo, así que el perímetro de red ya no basta: la identidad es el perímetro de seguridad principal.
| Concepto | Qué responde | Ejemplo |
|---|---|---|
| Autenticación (AuthN) | ¿Quién eres? | Contraseña + código de Authenticator |
| Autorización (AuthZ) | ¿Qué puedes hacer? | Rol de Lector sobre un grupo de recursos |
| Proveedor de identidad (IdP) | Quién emite y valida la identidad | Microsoft Entra ID, Google, Facebook |
| Servicio de directorio | Dónde se guardan usuarios y objetos | Active Directory Domain Services (local) |
| Federación | Confianza entre varios proveedores | Iniciar sesión en una app con tu cuenta corporativa |
Los 4 pilares de una infraestructura de identidad: administración, autenticación, autorización y auditoría. La federación no requiere confianza bidireccional: A puede confiar en B sin que B confíe en A.
D2 · 25–30% del examen
Capacidades de Microsoft Entra
Microsoft Entra ID y tipos de identidad
Toca un servicio para ver su detalle.
| Tipo de identidad | Qué es |
|---|---|
| Usuarios (miembros) | Empleados de la organización |
| Invitados (B2B collaboration) | Socios externos que se autentican con su propia organización y se agregan como invitados |
| Workload identities | Aplicaciones, service principals e identidades administradas |
| Agentes de IA (Entra Agent ID) | Identidades creadas desde un blueprint, con un sponsor humano responsable |
| Dispositivos | Registrados, unidos a Entra o unidos a Entra híbrido |
| Grupos | De seguridad o de Microsoft 365; con miembros asignados o dinámicos |
| Microsoft Entra External ID | Para qué |
|---|---|
| B2B collaboration | Invitar socios a tu tenant de fuerza laboral (workforce) |
| B2B direct connect | Confianza mutua entre dos organizaciones de Entra (canales compartidos de Teams); los usuarios no se agregan como invitados |
| CIAM (tenant externo) | Registro e inicio de sesión de clientes en tus apps, incluso con cuentas sociales |
Autenticación: métodos, MFA y contraseñas
Toca un servicio para ver su detalle.
| Método | Resistente al phishing | Nota |
|---|---|---|
| Passkey (FIDO2) | Sí | Llave física o passkey en el teléfono |
| Windows Hello for Business | Sí | Biometría o PIN ligado al equipo |
| Autenticación basada en certificados | Sí | Certificados X.509 o smart cards |
| Passkey en Microsoft Authenticator | Sí | La passkey vive en la app del teléfono |
| Microsoft Authenticator (push) | No | Number matching frena la fatiga de MFA |
| SMS / llamada de voz | No | Vulnerables al phishing |
Password protection
Lista global y personalizada de contraseñas prohibidas
Smart lockout
Bloquea a atacantes que prueban contraseñas, no al usuario real
SSPR
Self-service password reset: el usuario restablece su contraseña sin llamar a soporte
Security defaults
Gratis: exige registro de MFA y bloquea la autenticación heredada
Gestión de acceso: Conditional Access y roles
Toca un servicio para ver su detalle.
Señales
Usuario o grupo, ubicación, dispositivo, aplicación, riesgo en tiempo real
Decisión
Bloquear, conceder con controles (MFA, dispositivo compatible) o conceder
Aplicación
La política se aplica y el usuario accede (o no) al recurso
| Aspecto | Roles de Microsoft Entra | Roles de Azure RBAC |
|---|---|---|
| Controlan | Objetos del directorio: usuarios, grupos, apps | Recursos de Azure: VMs, Storage, redes |
| Ámbito | Tenant o unidad administrativa | Management group, suscripción, grupo de recursos o recurso |
| Ejemplos | Administrador global, Administrador de usuarios | Owner, Contributor, Reader |
Los roles integrados no se modifican. Si ninguno se ajusta, se crea un rol personalizado (requiere Entra ID P1) con solo los permisos necesarios: privilegios mínimos.
Global Secure Access es la solución Security Service Edge (SSE) de Microsoft: lleva Conditional Access al tráfico de red. Entra Internet Access es un Secure Web Gateway (filtrado web, inspección TLS) y Entra Private Access reemplaza la VPN con acceso por aplicación (ZTNA).
Protección y gobernanza de identidades
Toca un servicio para ver su detalle.
| Licencia | Qué habilita (ejemplos) |
|---|---|
| Entra ID Free | Usuarios y grupos, SSO, security defaults |
| Entra ID P1 | Conditional Access, roles personalizados, grupos dinámicos |
| Entra ID P2 | ID Protection, PIM, access reviews y entitlement management básicos |
| Entra ID Governance | Todo lo de gobernanza de P2, más lifecycle workflows y capacidades avanzadas |
Access reviews revisan si un acceso todavía es necesario. PIM controla cuándo se usa un rol privilegiado. ID Protection detecta si una cuenta parece comprometida. Son tres respuestas distintas a tres preguntas distintas.
D3 · 35–40% del examen
Soluciones de seguridad de Microsoft
Seguridad de infraestructura en Azure
Toca un servicio para ver su detalle.
La base de todo es la segmentación con redes virtuales: cada VNet está aislada por defecto, y dividirla en subredes limita hasta dónde puede moverse un atacante.
| Escenario | Servicio |
|---|---|
| Bloquear el puerto 3389 desde internet hacia una subred | NSG |
| Proteger un sitio web de inyección SQL | WAF |
| Un punto central que filtre por FQDN el tráfico de salida | Azure Firewall |
| Administrar VMs sin exponerlas a internet | Azure Bastion |
| Sacar la contraseña de la base de datos del código | Azure Key Vault |
| Tráfico masivo intenta tumbar una app pública | DDoS Protection |
Gestión de la seguridad con Defender for Cloud
Toca un servicio para ver su detalle.
| Pilar | Qué hace | Ejemplo |
|---|---|---|
| CSPM (postura) | Encuentra configuraciones débiles y da recomendaciones | Storage con acceso público, VM sin parches |
| CWP (cargas de trabajo) | Detecta amenazas activas y genera alertas | Defender for Servers, Storage, SQL, Containers |
| DevSecOps | Seguridad del código y los pipelines | Escaneo de repositorios e infraestructura como código |
Política
Una regla de Azure Policy evalúa una configuración (ej. "el Storage debe usar HTTPS")
Estándar
Un conjunto de políticas, como el Microsoft cloud security benchmark (aplicado por defecto)
Recomendación
Lo que no cumple aparece con pasos para corregirlo
Secure score
Cada recomendación corregida sube la puntuación de postura
Foundational CSPM es gratis (políticas, recomendaciones, secure score y cobertura multinube). Defender CSPM agrega rutas de ataque y cumplimiento regulatorio; los planes de protección de cargas de trabajo agregan alertas de amenazas.
Microsoft Sentinel: SIEM y SOAR
Toca un servicio para ver su detalle.
Recopilar
Conectores de datos de Microsoft y de terceros
Detectar
Reglas de análisis e IA que generan incidentes
Investigar
Grafo de incidentes y hunting con KQL
Responder
Playbooks con Azure Logic Apps
SIEM (Security Information and Event Management) recopila y correlaciona datos para detectar amenazas. SOAR (Security Orchestration, Automation and Response) automatiza la respuesta. Sentinel es ambos.
Protección contra amenazas con Defender XDR
Toca un servicio para ver su detalle.
| Producto | Protege | Capacidad clave |
|---|---|---|
| Defender for Endpoint | Dispositivos (PCs, servidores, móviles) | EDR y reducción de la superficie de ataque |
| Defender for Office 365 | Correo, Teams, SharePoint y OneDrive | Safe Links y Safe Attachments |
| Defender for Identity | Active Directory local | Sensores en los controladores de dominio |
| Defender for Cloud Apps | Apps SaaS (CASB) | Descubrir shadow IT y controlar sesiones |
| Defender Vulnerability Management | Inventario de software y configuración | Priorizar vulnerabilidades por riesgo |
| Microsoft Threat Intelligence | Contexto sobre atacantes | Intel explorer y reportes de threat analytics en el portal de Defender |
| Microsoft Security Exposure Management | Toda la superficie de ataque | Mapa de la superficie, rutas de ataque y activos críticos |
El portal de Microsoft Defender reúne todo en un solo lugar: incidentes y alertas de XDR, Sentinel, búsqueda avanzada, Threat Intelligence, Exposure Management y Microsoft Secure Score. Microsoft Security Copilot se integra ahí para resumir incidentes y escribir consultas en lenguaje natural.
Defender for Cloud (postura y cargas de trabajo en Azure, AWS y GCP) y Defender XDR (endpoints, identidad, correo y SaaS) son productos distintos con nombres parecidos. Hoy los dos se ven en el portal de Defender, pero cada uno protege superficies distintas.
D4 · 20–25% del examen
Soluciones de cumplimiento de Microsoft
Service Trust Portal y principios de privacidad
El Service Trust Portal publica los informes de auditoría independientes (ISO, SOC, GDPR, FedRAMP, PCI), whitepapers y documentación de cómo Microsoft protege los datos en sus servicios en la nube. Algunos documentos piden iniciar sesión con una cuenta de organización y aceptar un acuerdo de confidencialidad.
El compromiso de privacidad de Microsoft se organiza en 4 áreas:
Tú controlas tus datos
Son tuyos: los ves, cambias o borras. No se usan para publicidad
Sabes dónde están tus datos
Eliges la ubicación y hay opciones de residencia de datos
Datos seguros en reposo y en tránsito
Cifrado hasta AES-256, TLS e IPsec
Microsoft defiende tus datos
Las solicitudes de gobiernos se redirigen a ti y se impugnan en tribunales
El material oficial actual del SC-900 presenta la privacidad en 4 áreas: control de los datos, ubicación de los datos, seguridad de los datos y defensa de los datos. Las guías viejas hablan de 6 principios (control, transparencia, seguridad, protecciones legales, sin publicidad por contenido y beneficios para ti).
Gestión del cumplimiento con Microsoft Purview
Toca un servicio para ver su detalle.
| Elemento de Compliance Manager | Qué es |
|---|---|
| Controles | Requisitos de una regulación; los implementa Microsoft, el cliente o ambos (compartidos) |
| Evaluaciones | Grupos de controles de una regulación (ej. ISO 27001) |
| Regulaciones | Más de 360 plantillas listas para crear evaluaciones, o plantillas propias |
| Acciones de mejora | Pasos concretos para cumplir un control, con instrucciones |
| Tipo de acción | Puntos |
|---|---|
| Preventiva obligatoria | 27 |
| Preventiva discrecional | 9 |
| Detectiva o correctiva obligatoria | 3 |
| Detectiva o correctiva discrecional | 1 |
El compliance score mide tu progreso al completar acciones de mejora. Una puntuación alta no certifica que la organización cumpla una regulación.
Protección de la información y ciclo de vida de los datos
Toca un servicio para ver su detalle.
| Capacidad | Para qué |
|---|---|
| Tipos de información confidencial | Detectar patrones como números de tarjeta o de pasaporte |
| Clasificadores entrenables | Reconocer contenido por su contexto (contratos, currículums) con IA |
| Data explorer (antes Content explorer) | Ver qué elementos tienen etiquetas o datos sensibles y dónde están |
| Activity explorer | Ver qué se hizo con esos datos: etiquetado, copiado, eliminado |
| Data Loss Prevention (DLP) | Evitar que datos sensibles se compartan de forma indebida, en Exchange, SharePoint, OneDrive, Teams, dispositivos y más |
El temario oficial todavía dice Content explorer, pero en el portal de Purview hoy se llama Data explorer. Las políticas de DLP se prueban primero en modo simulación antes de aplicarlas.
| Elemento | Se aplica a | Para qué |
|---|---|---|
| Política de retención | Ubicaciones completas (Exchange, SharePoint) | Conservar y/o eliminar todo el contenido |
| Etiqueta de retención | Elementos individuales | Retención por documento o correo |
| Política de etiquetas de retención | Ubicaciones y usuarios | Publicar o aplicar automáticamente las etiquetas |
| Records management | Contenido declarado como registro | Registros inmutables con eliminación revisable |
Principios de retención: la retención gana a la eliminación, y si hay varios periodos de retención, gana el más largo.
Riesgo interno, eDiscovery y auditoría
| Solución | Qué resuelve | Detalle clave |
|---|---|---|
| Insider Risk Management | Riesgos de personas internas: robo o fuga de datos | Usa plantillas de políticas; los usuarios aparecen seudonimizados por defecto |
| eDiscovery | Buscar y conservar contenido para casos legales | Casos, búsquedas, retenciones (holds) y exportación; las funciones premium (review sets, analítica) requieren E5 |
| Audit (Standard) | Registrar actividades de usuarios y administradores | Activado por defecto, retención de 180 días |
| Audit (Premium) | Investigaciones forenses más profundas | 1 año por defecto para Entra, Exchange, OneDrive y SharePoint; hasta 10 años con complemento |
Si el escenario es "un empleado que se va descarga miles de archivos", la respuesta es Insider Risk Management. Si es "un abogado necesita todos los correos de un caso", es eDiscovery.
Tips para el día del examen
- Divide cada pregunta por familia: Entra = identidad, Defender = amenazas, Sentinel = SIEM/SOAR, Purview = cumplimiento y datos. Ubicar la familia descarta la mitad de las opciones.
- Zero Trust tiene 3 principios: verificar explícitamente, usar acceso con privilegios mínimos y asumir una brecha. "Nunca confíes, siempre verifica".
- En responsabilidad compartida, los datos, los dispositivos y las cuentas siempre son del cliente, sin importar si es IaaS, PaaS o SaaS.
- Licencias: Conditional Access requiere P1. ID Protection y PIM requieren P2. Security defaults son gratis.
- PIM = just-in-time. Si la pregunta habla de activar un rol por tiempo limitado, con aprobación o justificación, la respuesta es PIM.
- NSG filtra IP y puertos (capa 4). WAF protege apps web de inyección SQL y XSS (capa 7). Azure Firewall protege toda la red. Bastion = RDP/SSH sin IP pública.
- Defender for Cloud: CSPM mejora la postura (secure score, recomendaciones). CWP protege cargas de trabajo con alertas de amenazas.
- SIEM recopila y detecta; SOAR automatiza la respuesta. Sentinel hace ambas, y sus playbooks se construyen con Logic Apps.
- Etiqueta de confidencialidad = clasificar y proteger. Etiqueta de retención = conservar o eliminar. Son conceptos distintos que el examen mezcla a propósito.
- Compliance score mide tu progreso en acciones de mejora. No significa que la organización cumpla una norma.
Pon a prueba lo que aprendiste de SC-900
Preguntas originales, cada una con su explicación.
Empezar un simulacro¿Te fue útil esta guía?