Cómo encontrar y auditar inquilinos de TI en la sombra en Microsoft Entra ID

By Mirko Peters · 2026-10-25

Aprende a encontrar y auditar inquilinos de TI en la sombra olvidados en Microsoft Entra ID usando señales de descubrimiento automatizadas y estrategias de gobierno multiinquilino.

Automatically translated with AI from the original post. Read the English original

Descubre cómo identificar, rastrear y proteger los inquilinos de TI en la sombra de Microsoft Entra que tu organización creó sin querer y que han quedado olvidados. Esta guía explora las señales de descubrimiento automatizadas, el análisis de inquilinos relacionados y los pasos de gobierno necesarios para localizar entornos cloud no gestionados y ponerlos bajo control central.

Puntos clave

• Las organizaciones suelen acumular varios inquilinos de Microsoft Entra a través de fusiones, filiales, entornos de prueba y TI en la sombra departamental.
• Los inquilinos no gestionados que funcionan al margen de la supervisión de la TI central crean puntos ciegos de seguridad críticos y riesgos de cumplimiento.
• Microsoft Entra utiliza la actividad business-to-business, los registros de aplicaciones multiinquilino y las cuentas de facturación compartidas para detectar automáticamente los inquilinos relacionados.
• Establecer relaciones de gobierno formales permite a las organizaciones matriz proteger inquilinos independientes sin forzar migraciones complejas e inmediatas.
• La supervisión de la configuración garantiza que tu entorno multiinquilino mantenga las líneas base de seguridad en más de 200 tipos de recursos.

El riesgo oculto de los inquilinos de TI en la sombra

Hay un riesgo escondido en casi todas las configuraciones grandes de Microsoft 365 del que rara vez se habla en las revisiones de seguridad habituales. Las empresas suelen asumir que su huella en la nube está delimitada por un único directorio. En realidad, las organizaciones acaban siendo propietarias de varios inquilinos de Microsoft Entra sin haberlo planeado nunca. Cuando departamentos, empleados individuales o equipos de proyecto externos ponen en marcha un piloto rápido, una demostración de producto o un entorno de pruebas con una tarjeta de crédito corporativa, nace un inquilino completamente nuevo.

Microsoft clasifica estos entornos aislados como inquilinos de TI en la sombra porque la TI central no los administra y, con frecuencia, ni siquiera sabe que existen. Mientras los equipos de seguridad invierten millones en defender la puerta principal frente a atacantes externos, contraseñas robadas y campañas de phishing sofisticadas, una entrada lateral puede estar abierta de par en par a través de un inquilino de pruebas olvidado creado hace dos años. Un atacante no necesita atravesar defensas muy monitorizadas cuando un inquilino en la sombra sin parches y sin supervisión lleva funcionando en segundo plano sin ninguna supervisión administrativa.

El peligro no es solo teórico. Un inquilino que nadie administra puede configurarse mal fácilmente, exponiendo datos sensibles de la empresa a terceros no autorizados. Como estos entornos están fuera de los procesos estándar de aprovisionamiento y auditoría, nunca aparecerán en tus revisiones trimestrales de acceso. Cuando un auditor externo pregunte quién puede acceder a un conjunto concreto de archivos corporativos, encogerse de hombros no bastará para cumplir los requisitos normativos. Solo puedes proteger lo que ves, y ahora mismo es probable que tu inventario de activos esté incompleto.

Cómo Microsoft Entra detecta inquilinos olvidados

Afortunadamente, Microsoft ofrece mecanismos integrados para localizar estos entornos ocultos analizando las señales de conexión que tu ecosistema ha ido generando todo este tiempo. Esta capacidad se basa en descubrir inquilinos relacionados en lugar de obligar a los administradores a compilar a mano una lista imposible de todos los activos digitales que los empleados han registrado alguna vez.

Señales de actividad business-to-business

El primer indicador importante para detectar inquilinos es la actividad de colaboración entre empresas (B2B). Microsoft Entra analiza de forma continua los inicios de sesión de invitados, los registros de invitados externos y los flujos de acceso administrativo que van y vienen entre tu directorio principal y entornos externos. Si los usuarios de tu organización colaboran activamente con un inquilino desconocido, esa conexión queda registrada como un vínculo medible.

Registros de aplicaciones multiinquilino

Las arquitecturas cloud modernas dependen en gran medida de aplicaciones que atraviesan los límites de la organización. El segundo indicador de detección sigue los registros de aplicaciones multiinquilino. Aquí se incluyen las aplicaciones personalizadas o comerciales registradas en tu inquilino principal que acceden a directorios externos, así como las aplicaciones de terceros de inquilinos externos que tienen permisos activos y tokens de API dentro de tu entorno. Estos puentes programáticos dejan un rastro de auditoría claro.

Cuentas de facturación compartidas

Quizá el vector de detección más sorprendente sea la facturación. Dos inquilinos de Microsoft Entra independientes pueden estar conectados estructuralmente por una simple cuenta de facturación de Azure compartida o por una estructura de contrato empresarial común. Nadie tiene que enviar una invitación y ningún usuario tiene que iniciar sesión manualmente a través de los límites. Si un inquilino no gestionado paga servicios de Azure con tu perfil de facturación empresarial, o viceversa, la conexión es visible de inmediato para el marco de gobierno.

Incorporar los inquilinos no gestionados al gobierno centralizado

Una vez que la detección muestra una lista de inquilinos relacionados, los administradores deben decidir qué entornos conservar, cuáles retirar y cómo gobernar los que se mantengan. En lugar de emprender un proyecto de migración de inquilinos disruptivo y de varios años, las organizaciones pueden establecer una relación de gobierno formal.

Una relación de gobierno es un vínculo direccional en el que un inquilino principal gobierna y un inquilino subordinado es gobernado. Lo crucial es que no se trata de una fusión técnica completa: el inquilino gobernado conserva sus propios usuarios, datos y cargas de trabajo localizadas. La configuración consta de un protocolo seguro de tres pasos:

• El inquilino que necesita ser gobernado envía una invitación administrativa al inquilino principal.
• El inquilino principal responde con una solicitud que contiene una plantilla de directiva específica que detalla los permisos administrativos permitidos.
• El inquilino secundario revisa y acepta la plantilla de directiva, y el vínculo de administración segura entra en funcionamiento.

Esta estructura permite a los administradores de TI gestionar varios entornos desde un único panel de control, usando cuentas del inquilino que gobierna. Elimina la pesadilla de seguridad que supone mantener credenciales de administrador separadas y desconectadas en decenas de portales de inquilino individuales.

Supervisión y protección de tu ecosistema multiinquilino

Las relaciones de detección y gobierno son solo el comienzo. Para evitar que el shadow IT vuelva a infiltrarse en tu organización, debes implementar supervisión activa de la configuración y controles de creación seguros.

La supervisión de la configuración permite a los administradores definir una línea base de los valores esperados y tomar una instantánea continua de su entorno cloud real. Un monitor automatizado compara ambos cada seis horas en más de 200 tipos de recursos de Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview y Microsoft Defender. Si se produce una desviación, los equipos de seguridad reciben una alerta inmediata.

Además, los controles de creación segura de inquilinos permiten a las organizaciones restringir quién puede crear un nuevo inquilino de Microsoft Entra desde el principio. Cualquier inquilino recién aprobado puede vincularse automáticamente a una relación de gobierno desde su creación, lo que garantiza que ningún entorno cloud nuevo empiece su ciclo de vida completamente sin gestionar.

Conclusión

Los inquilinos de shadow IT no gestionados representan una amenaza silenciosa para la seguridad corporativa, la privacidad de los datos y la postura de cumplimiento normativo. Gracias a los indicadores de detección integrados de Microsoft Entra, al establecimiento de relaciones de gobierno formales y a la aplicación de supervisión continua de la configuración, los responsables de TI por fin pueden obtener visibilidad total sobre la extensa huella cloud de su organización. Para profundizar en este tema y escuchar la opinión de expertos sobre la administración cloud moderna, no dejes de escuchar el episodio completo del podcast M365 FM.

Preguntas frecuentes

¿Qué es un inquilino de shadow IT en Microsoft Entra?

Un tenant de shadow IT es un entorno de Microsoft Entra no gestionado, creado por empleados, departamentos o equipos de proyecto sin el conocimiento ni la supervisión del departamento central de TI. Estos entornos suelen ejecutar cargas de trabajo de prueba, pilotos o demos fuera de las líneas base de seguridad corporativas.

¿Cómo descubre Microsoft Entra los tenants desconocidos?

Microsoft Entra descubre los tenants relacionados analizando las señales de conexión existentes, como la actividad de invitados de colaboración B2B, los permisos de aplicaciones multitenant y las cuentas de facturación compartidas o los contratos Enterprise Agreement.

¿Una relación de gobernanza requiere una migración completa del tenant?

No. Una relación de gobernanza establece un vínculo de administración seguro y direccional entre un tenant principal y un tenant secundario, sin que tengas que migrar usuarios, buzones ni datos a un único directorio.

¿Con qué frecuencia supervisa la supervisión de configuración la configuración del tenant?

La supervisión de configuración compara automáticamente tu entorno cloud real con tus líneas base de directivas definidas cada seis horas, en cientos de tipos de recursos.