Tema 5 de 6
Riesgo interno y cumplimiento de comunicaciones
No todas las amenazas vienen de fuera. Un empleado que se va con la cartera de clientes, otro que comparte un archivo por descuido, un mensaje de acoso en un chat. Purview tiene soluciones específicas para estos riesgos, diseñadas para equilibrar la protección de la empresa con la privacidad de las personas.
Contenido
¿Qué es el riesgo interno?
Es el riesgo que generan personas con acceso legítimo: empleados, contratistas o socios. Ya están dentro, así que firewalls y antivirus no los detienen.
Accidental
Compartir un archivo con la persona equivocada, subir datos de clientes a un servicio personal sin pensar.
Malintencionado
Robo de propiedad intelectual, fraude, sabotaje, uso de información privilegiada.
Insider Risk Management
Ayuda a detectar, investigar y actuar ante actividades internas de riesgo: fugas de datos, violaciones de confidencialidad, robo de propiedad intelectual, fraude, uso de información privilegiada y violaciones normativas. Se basa en cuatro principios:
Transparencia
Privacidad por diseño, equilibrada con el riesgo de la organización
Configurable
Políticas según industria, geografía y grupos de negocio
Integrado
Flujo de trabajo común con otras soluciones de Purview
Accionable
Notificaciones, revisiones de datos e investigaciones de usuarios
Privacidad
Los nombres de usuario aparecen seudonimizados por defecto: los analistas ven la actividad sin saber de quién es hasta que hace falta. Además, el acceso está controlado por roles, para que solo personas autorizadas investiguen.
Antes de crear políticas, los análisis de riesgo interno evalúan la actividad de la organización y muestran dónde hay más riesgo, sin configuración previa.
Escenarios que cubre
Las políticas se crean a partir de plantillas por escenario:
Robo de datos por usuarios que se van
Descargas masivas o correos a cuentas personales cerca de la fecha de salida, conocida por un conector de RR. HH.
Fugas de datos
Uso compartido inapropiado, accidental o intencionado, de información sensible.
Violaciones de directivas de seguridad
Desactivar la seguridad o instalar apps no autorizadas, con señales de Defender for Endpoint.
Uso de IA de riesgo
Inyección de prompts o envío de datos sensibles a servicios de IA no controlados.
Usuarios prioritarios
Directivos o administradores con acceso sensible, con supervisión más estricta.
Comportamiento de riesgo y estrés laboral
Malas evaluaciones o degradaciones, conocidas mediante conectores de RR. HH.
Uso indebido de datos de pacientes
Accesos indebidos a historiales médicos en organizaciones sanitarias (en vista previa).
Pruebas forenses
Capturas visuales de la actividad en dispositivos para investigaciones, con aprobación.
Cómo funciona una política
| Pieza | Qué es | Ejemplo |
|---|---|---|
| Usuarios | A quién se aplica | Todo el departamento de ventas |
| Evento desencadenante | Lo que hace que se empiece a puntuar la actividad de un usuario | Fecha de renuncia registrada en RR. HH. |
| Indicadores | Actividades que se vigilan | Descargar de SharePoint, copiar a USB, enviar a correo personal |
| Puntuación de riesgo | Combina indicadores, frecuencia y contexto | Descargar 500 archivos confidenciales puntúa más que 5 |
Flujo de trabajo
Políticas
Plantillas predefinidas y condiciones: indicadores, usuarios, servicios y período de supervisión.
Alertas
Se generan cuando la actividad coincide con las condiciones de la política.
Triaje
Las alertas pendientes de revisión se convierten en caso, se asignan a uno existente o se descartan. Un agente de triaje con IA ayuda a priorizarlas.
Investigar
Casos con la actividad del usuario, Content explorer, notas del caso y gráfico de riesgo de datos (con Sentinel).
Acción
Enviar al usuario un recordatorio de la directiva, resolver el caso o escalarlo a eDiscovery (Premium) para revisión legal.
Protección adaptativa
Aplicar los controles más estrictos a todo el mundo frena el trabajo; aplicarlos a nadie deja huecos. La protección adaptativa usa aprendizaje automático y los niveles de riesgo interno para aplicar controles dinámicos desde tres soluciones: DLP, Data Lifecycle Management y Acceso condicional de Entra. Los controles se endurecen o relajan solos según cambia el riesgo de cada usuario.
| Nivel | Ejemplo en DLP | Ejemplo en Acceso condicional |
|---|---|---|
| Menor | Sugerencia de directiva educativa | Aceptar términos de uso |
| Moderado | Advertencia con justificación | Bloquear apps muy sensibles |
| Elevado | Bloquear guardar o compartir fuera | Bloquear todas las apps |
En Data Lifecycle Management, lo que un usuario de riesgo elevado borra de SharePoint, OneDrive o Exchange se conserva 120 días, para evitar que destruya pruebas.
Communication Compliance
Solución de riesgo interno que detecta, captura y actúa sobre mensajes inapropiados, en texto e imagen, en Teams, Viva Engage, Outlook, WhatsApp y prompts y respuestas de Microsoft 365 Copilot.
Directivas corporativas
Lenguaje ofensivo, acoso, amenazas o discriminación.
Gestión de riesgos
Comunicaciones no autorizadas sobre proyectos confidenciales, como una fusión.
Cumplimiento normativo
Supervisar a brókeres por uso de información privilegiada, blanqueo o soborno.
Configurar: Elegir qué comunicaciones, de quién y qué condiciones (clasificadores, palabras clave).
Investigar: Revisar los mensajes marcados, con el historial y el contexto.
Corregir: Resolver, etiquetar, notificar al usuario, escalar o quitar el mensaje de Teams.
Mantener: Ajustar las políticas con el tiempo según los resultados.
El control de acceso por roles separa a los administradores de TI de los revisores de cumplimiento, y los nombres también pueden seudonimizarse.
Barreras de información
Las barreras de información (information barriers) impiden que ciertos grupos se comuniquen o colaboren entre sí en Teams, SharePoint y OneDrive. Se usan cuando hay un conflicto de intereses o una exigencia normativa: por ejemplo, separar a los banqueros de inversión de los analistas que publican recomendaciones.
Están en el área Risk & Compliance del portal de Purview. No analizan el contenido de los mensajes: simplemente bloquean la comunicación entre los segmentos definidos.
¿Qué solución elegir?
| Insider Risk | Communication Compliance | Barreras de información | |
|---|---|---|---|
| Se fija en | Actividades (descargar, copiar, compartir) | Contenido de los mensajes | Quién puede hablar con quién |
| Ejemplo | Exfiltración antes de dejar la empresa | Acoso en Teams | Separar dos departamentos |
| Tipo | Detectar e investigar | Detectar y corregir | Prevenir |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Detectar si un empleado que se va descarga muchos archivos | Insider Risk Management (usuarios que se van) | Usa la fecha de salida como evento desencadenante. |
| Detectar a alguien que desactiva el antivirus e instala herramientas de hacking | Insider Risk (violaciones de directivas de seguridad) | Usa señales de Defender for Endpoint. |
| Detectar acoso o lenguaje ofensivo en chats de Teams | Communication Compliance | Analiza el contenido de los mensajes. |
| Revisar si los brókeres comparten información privilegiada | Communication Compliance (normativo) | Supervisión de comunicaciones reguladas. |
| Que los controles DLP se endurezcan solos para usuarios de riesgo elevado | Protección adaptativa | Ajusta controles según el nivel de riesgo. |
| Impedir que dos departamentos se comuniquen por Teams | Barreras de información | Separa grupos por un conflicto de intereses. |
| Saber dónde hay más riesgo antes de crear políticas | Análisis de riesgo interno | Evalúa sin configuración previa. |
| Pasar un caso de riesgo interno al departamento legal | Escalar a eDiscovery (Premium) | Preserva y revisa las pruebas. |
Trampas frecuentes del examen
❓ Se quiere detectar acoso en los mensajes de Teams. ¿Insider Risk o Communication Compliance?
Communication Compliance: analiza el contenido de las comunicaciones. Insider Risk se centra en actividades como la exfiltración.
❓ ¿Los analistas de Insider Risk ven el nombre de los usuarios desde el principio?
No. Los nombres están seudonimizados por defecto.
❓ ¿Qué tres soluciones usa la protección adaptativa?
DLP, Data Lifecycle Management y Acceso condicional de Microsoft Entra.
❓ ¿Cuánto tiempo conserva Data Lifecycle Management lo que borra un usuario de riesgo elevado?
120 días.
❓ ¿Las barreras de información analizan el contenido de los mensajes?
No. Solo impiden la comunicación entre segmentos definidos.
❓ ¿Communication Compliance supervisa solo el correo?
No. También Teams, Viva Engage, WhatsApp y las interacciones con Microsoft 365 Copilot.
❓ Un caso de Insider Risk necesita revisión legal. ¿A dónde se escala?
A eDiscovery (Premium).
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un empleado presentó su renuncia y la empresa quiere detectar si descarga grandes volúmenes de archivos o los envía a su correo personal antes de irse. ¿Qué solución usa?
¿Listo para poner a prueba "Riesgo interno y cumplimiento de comunicaciones"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro