Tema 1 de 6
Confianza, privacidad y Compliance Manager
Dónde consigue un auditor los informes de Microsoft, qué promete Microsoft sobre tus datos y cómo mide una organización su avance en cumplimiento. Es la puerta de entrada al dominio de cumplimiento.
Contenido
Por qué el cumplimiento es difícil
Una organización moderna guarda datos en Microsoft 365, en otras nubes, en servidores locales y, cada vez más, en conversaciones con apps de IA. Al mismo tiempo debe cumplir regulaciones que cambian (GDPR, HIPAA, ISO, normas de IA) y responder a auditores, clientes y reguladores.
Datos dispersos
Correo, archivos, chats, bases de datos y apps SaaS: es difícil saber dónde está la información sensible.
Regulaciones cambiantes
Cada sector y país añade requisitos, y traducirlos a controles técnicos lleva tiempo.
Confianza en el proveedor
Si los datos están en la nube, hay que demostrar que el proveedor también cumple su parte.
Este artículo cubre las tres respuestas de Microsoft a ese reto: el Service Trust Portal (lo que Microsoft demuestra), sus principios de privacidad (lo que Microsoft promete) y Microsoft Purview con Compliance Manager (lo que tú gestionas). Los demás artículos de D4 desarrollan el resto de Purview.
Service Trust Portal (STP)
Sitio público de Microsoft para publicar informes de auditoría y otra información de cumplimiento de sus servicios en la nube. Se descargan informes de auditores externos y whitepapers sobre cómo Microsoft protege tus datos.
Algunos recursos requieren iniciar sesión con una cuenta organizacional de Microsoft Entra.
Certificaciones, regulaciones y estándares
Información de implementación y diseño por marco, por ejemplo documentos ISO/IEC.
Informes, whitepapers y artefactos
Continuidad de negocio y recuperación ante desastres, pruebas de penetración, privacidad y protección de datos, FAQ.
Recursos por industria y región
Servicios financieros, salud, medios, gobierno de EE. UU. y regulaciones regionales.
Recursos para tu organización
Documentos restringidos por tenant según tu suscripción y permisos.
My Library guarda documentos en un solo lugar y envía notificaciones por correo cuando Microsoft los actualiza.
Para qué sirve en la práctica
En el modelo de responsabilidad compartida, Microsoft es responsable de parte de los controles. El STP es donde la organización consigue la prueba de que Microsoft los cumple, por ejemplo un informe SOC 2 o una certificación ISO 27001, para entregarla a su propio auditor.
Principios de privacidad de Microsoft
El compromiso de Microsoft, respaldado por contratos y descrito en el Trust Center, cubre cuatro áreas:
Tú controlas tus datos
Puedes acceder, modificar o borrar tus datos. Microsoft no los usa sin tu acuerdo ni los comparte con servicios con publicidad ni los explota para marketing. Cumple ISO/IEC 27018, el primer código internacional de privacidad en la nube.
Sabes dónde están tus datos
Eliges la ubicación en Azure, Dynamics 365 y Microsoft 365, con opciones de residencia en todo el mundo.
Datos protegidos en reposo y en tránsito
Cifrado hasta AES-256 en reposo, TLS e IPsec en tránsito, y Azure Key Vault para controlar claves y secretos.
Microsoft defiende tus datos
Las solicitudes de gobiernos deben dirigirse a ti. Microsoft no da acceso directo a ningún gobierno, notifica cuando la ley lo permite e impugna en los tribunales las solicitudes que puede impugnar.
El portal de Microsoft Purview
Microsoft Purview es la familia de soluciones de seguridad de datos, gobernanza de datos y cumplimiento de Microsoft. Ayuda a conocer, proteger y gobernar los datos allí donde estén: Microsoft 365, otras nubes, servidores locales y apps de IA.
Su portal unificado organiza las soluciones por área:
Core
Audit, Data Map, Settings y Workflows.
Risk & Compliance
Communication Compliance, Compliance Manager, eDiscovery, Information Barriers y Records Management.
Data Governance
Data Catalog, Data Lifecycle Management y Data Policy.
Data Security
Data Loss Prevention, Information Protection e Insider Risk Management.
Compliance Manager
Evalúa y gestiona el cumplimiento de forma automática en un entorno multinube, no solo Microsoft 365. Ayuda a identificar riesgos, implementar controles, seguir regulaciones y reportar a auditores.
- Evaluaciones prediseñadas por regulación y estándar, y evaluaciones personalizadas
- Flujos de trabajo para completar evaluaciones de riesgo
- Acciones de mejora paso a paso; algunas las gestiona Microsoft
- Puntuación de cumplimiento para medir el avance
Beneficios: traduce regulaciones complejas a lenguaje simple, mapea controles a acciones de mejora y prioriza por impacto en la puntuación.
Controles, evaluaciones y acciones
Controles
Un requisito de una regulación, estándar o política. Compliance Manager los evalúa escaneando tu entorno de Microsoft 365 de forma continua.
Administrados por Microsoft
Microsoft los implementa en sus servicios en la nube
Tus controles
Los implementa y gestiona la organización
Compartidos
Responsabilidad de la organización y Microsoft
Evaluaciones
Agrupación de controles de una regulación concreta, por ejemplo ISO 27001. Incluye servicios en alcance, los tres tipos de controles y una puntuación. Se crean desde plantillas.
Regulaciones
Más de 360 plantillas regulatorias, incluidas plantillas para regulaciones y estándares de IA.
Acciones de mejora
Guía recomendada que se asigna a usuarios para implementar y probar, con documentación, notas y estado.
Cómo se trabaja con Compliance Manager
Elegir una plantilla: Por ejemplo, ISO 27001 o GDPR, entre las más de 360 disponibles.
Crear la evaluación: Se agrupan los controles de esa regulación para los servicios en alcance.
Revisar los controles: Los administrados por Microsoft ya aparecen con sus puntos; quedan los tuyos y los compartidos.
Implementar acciones de mejora: Se asignan a personas, que las implementan, las prueban y adjuntan documentación.
Seguir la puntuación: Las acciones que Compliance Manager comprueba automáticamente actualizan su estado en un plazo de 24 horas.
Puntuación de cumplimiento
Mide el avance en las acciones de mejora: tus puntos más los puntos administrados por Microsoft. La puntuación inicial se basa en la evaluación Microsoft 365 data protection baseline, que toma elementos de NIST CSF, ISO, FedRAMP y GDPR.
| Tipo de acción | Obligatoria | Discrecional |
|---|---|---|
| Preventiva | 27 | 9 |
| Detectiva | 3 | 1 |
| Correctiva | 3 | 1 |
Obligatoria frente a discrecional
Obligatoria: no se puede saltar (política de contraseñas central). Discrecional: depende de que el usuario cumpla (bloquear el equipo al irse).
Preventiva, detectiva, correctiva
Preventiva: cifrado, separación de funciones. Detectiva: auditoría de accesos. Correctiva: respuesta a incidentes de privacidad.
Importante
Las recomendaciones de Compliance Manager no garantizan el cumplimiento. La organización debe validar la eficacia de sus controles según su entorno regulatorio.
| Puntuación de cumplimiento | Microsoft Secure Score | |
|---|---|---|
| Mide | Avance frente a regulaciones y estándares | Postura de seguridad frente a amenazas |
| Dónde | Microsoft Purview (Compliance Manager) | Portal de Microsoft Defender |
| Se mejora con | Acciones de mejora | Recomendaciones de seguridad |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un auditor pide el informe ISO 27001 de Microsoft 365 | Service Trust Portal | Publica los informes de auditoría de Microsoft. |
| Recibir un aviso cuando Microsoft actualice un documento de cumplimiento | My Library (STP) | Guarda documentos y notifica cambios. |
| Medir el avance de la organización frente a GDPR | Compliance Manager | Evaluación desde una plantilla de GDPR. |
| Asignar a un administrador la tarea de activar MFA para cumplir un control | Acción de mejora | Se asigna, implementa, prueba y documenta. |
| Saber qué parte del cumplimiento ya cubre Microsoft | Controles administrados por Microsoft | Suman puntos sin trabajo tuyo. |
| Evaluar el cumplimiento de recursos en AWS además de Microsoft 365 | Compliance Manager (multinube) | No se limita a Microsoft 365. |
| Conocer cómo responde Microsoft a peticiones de datos de gobiernos | Principios de privacidad (defender tus datos) | Redirige la petición al cliente. |
| Medir la postura de seguridad técnica frente a amenazas | Microsoft Secure Score (no Compliance Manager) | Seguridad, no cumplimiento normativo. |
Trampas frecuentes del examen
❓ Un auditor necesita el informe SOC 2 de Microsoft 365. ¿Dónde lo obtiene?
En el Service Trust Portal. Compliance Manager evalúa tu propio cumplimiento, no publica los informes de auditoría de Microsoft.
❓ ¿Qué acción suma más puntos en la puntuación de cumplimiento?
Una preventiva obligatoria (27 puntos). Las detectivas y correctivas obligatorias valen 3.
❓ Una puntuación de cumplimiento del 100 % significa que la organización cumple la regulación. ¿Verdadero?
Falso. La puntuación mide el avance en acciones de mejora; no es una garantía de cumplimiento.
❓ ¿Microsoft usa los datos de clientes empresariales para publicidad?
No. No los comparte con servicios con publicidad ni los explota para marketing o publicidad.
❓ ¿Compliance Manager solo evalúa Microsoft 365?
No. Es multinube: también evalúa otros servicios y nubes.
❓ ¿Hace falta iniciar sesión para todo el contenido del Service Trust Portal?
No. Parte es público; algunos documentos requieren una cuenta organizacional de Microsoft Entra.
❓ ¿Discrecional y compartido son el mismo concepto?
No. Obligatoria/discrecional clasifica acciones; administrado por Microsoft/tuyo/compartido clasifica controles.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
En Compliance Manager, ¿cómo se clasifica un control cuya implementación es responsabilidad tanto de la organización como de Microsoft?
¿Listo para poner a prueba "Confianza, privacidad y Compliance Manager"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro