Dominar el acceso condicional en Microsoft Entra ID: cómo construir un perímetro de Zero Trust

By Mirko Peters · 2026-08-27

¡Bienvenido de nuevo al podcast! Hoy vamos a profundizar en un tema que es la base absoluta de la seguridad moderna en la nube: el acceso condicional en Microsoft Entra ID. …

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al podcast! Hoy vamos a profundizar en un tema que es la base absoluta de la seguridad moderna en la nube: el acceso condicional en Microsoft Entra ID. Si escuchaste nuestro episodio reciente, sabes que dedicamos más de una hora a explicar por qué el perímetro de red tradicional ya no existe. Atrás quedaron los días en que podíamos confiar en todo lo que estaba detrás del cortafuegos corporativo. En la era del trabajo remoto, los entornos híbridos y las aplicaciones en la nube omnipresentes, tu perímetro ya no es una ubicación física: es la identidad.

El acceso condicional de Microsoft Entra ID es el motor que impulsa este nuevo perímetro. Actúa como un guardia de seguridad inteligente y automatizado para tu organización, evaluando el contexto de cada solicitud de acceso antes de decidir si la concede, la bloquea o exige una capa adicional de verificación. En esta entrada del blog vamos a profundizar en los componentes principales de las directivas de acceso condicional. Veremos cómo evaluar las señales, exigir una autenticación sólida y construir una postura de seguridad Zero Trust sólida que proteja tu organización sin paralizar la productividad.

Introducción al acceso condicional y Zero Trust

Para dominar de verdad el acceso condicional, primero debemos alinear nuestra mentalidad con los principios de Zero Trust. La filosofía central de Zero Trust se puede resumir en tres palabras sencillas: nunca confiar, verificar siempre. En el pasado, las organizaciones dependían de una estrategia de castillo con foso. Una vez que un usuario lograba atravesar los muros del castillo, ya fuera conectándose al Ethernet de la oficina o autenticándose correctamente mediante una VPN corporativa, se le consideraba en gran medida de confianza para moverse lateralmente por la red. Como hemos visto en innumerables ciberataques a lo largo de los años, este enfoque es fundamentalmente defectuoso.

Zero Trust asume que ya ha habido una brecha y verifica cada solicitud como si procediera de una red no confiable. Cada solicitud de acceso debe autenticarse, autorizarse y cifrarse antes de concederse el acceso. Pero la verificación por sí sola no basta: el proceso de verificación debe ser inteligente y consciente del contexto.

Aquí es donde entra en juego el acceso condicional de Microsoft Entra ID. Piensa en el acceso condicional como un motor de sentencias if-then. Si se cumple un determinado conjunto de condiciones, entonces se aplica un determinado conjunto de controles. Al analizar señales de distintas fuentes, como quién intenta iniciar sesión, desde dónde lo hace, qué dispositivo utiliza y si el comportamiento parece sospechoso, el acceso condicional toma decisiones automatizadas en tiempo real que equilibran la seguridad y la experiencia del usuario. Garantiza que los usuarios adecuados tengan el acceso adecuado a los recursos adecuados, en las condiciones adecuadas.

La anatomía de una directiva: asignaciones y condiciones

Crear una directiva de acceso condicional eficaz exige entender bien su arquitectura. Cada directiva en Microsoft Entra ID se divide, fundamentalmente, en dos fases principales: asignaciones y controles de acceso. En la fase de asignaciones defines a quién se aplica la directiva y a qué intentan acceder. Veamos estos elementos básicos.

En primer lugar, tenemos Usuarios y grupos. Aquí es donde especificas el alcance de la directiva. ¿Quieres que se aplique a todos los usuarios de toda la organización o debe dirigirse a departamentos concretos, como Finanzas o los administradores de TI? Las buenas prácticas suelen recomendar empezar con grupos piloto antes de desplegar las directivas de forma generalizada, pero, con el tiempo, las líneas base de seguridad críticas deberían abarcar a todo el mundo.

A continuación, vemos Aplicaciones en la nube o acciones. Aquí defines los recursos que protege la directiva. Puedes dirigirla a aplicaciones concretas, como Microsoft Exchange Online, SharePoint o aplicaciones empresariales personalizadas integradas con Entra ID. También puedes aplicar directivas a todas las aplicaciones en la nube, lo que es una forma eficaz de imponer una línea base de seguridad para cada aplicación SaaS que utilice tu organización.

Más allá del quién y el qué, pasamos a las Condiciones. Las condiciones te permiten acotar el alcance de la directiva en función de desencadenantes contextuales. Entre ellas se incluyen:

Riesgo de usuario y riesgo de inicio de sesión

Gracias a la enorme red de inteligencia de amenazas de Microsoft, Entra ID calcula de forma continua la probabilidad de que una cuenta de usuario haya sido comprometida (riesgo de usuario) o de que una solicitud de autenticación concreta proceda de un atacante (riesgo de inicio de sesión). Las condiciones te permiten activar directivas específicamente cuando se detecta un riesgo medio o alto.

Plataformas de dispositivos

Puedes aplicar directivas en función del sistema operativo del dispositivo que se utilice, ya sea Windows, macOS, iOS, Android o Linux. Así puedes aplicar requisitos de seguridad distintos según el tipo de dispositivo.

Ubicaciones

El acceso condicional te permite definir rangos de direcciones IP de confianza (como las redes de tu oficina corporativa) o integrarte con ubicaciones con nombre basadas en códigos de país. Puedes usar estas señales de ubicación para bloquear el acceso desde países de alto riesgo o para exigir autenticación multifactor solo cuando los usuarios se conecten desde fuera del perímetro corporativo de confianza.

Evaluación de señales en tiempo real: ubicación, riesgo y cumplimiento del dispositivo

La verdadera ventaja del acceso condicional está en su capacidad para evaluar señales en tiempo real. En un entorno de TI tradicional, las directivas de seguridad eran estáticas. Si tenías el nombre de usuario y la contraseña correctos, entrabas, independientemente de si iniciabas sesión desde un portátil corporativo gestionado en Nueva York o desde un terminal público comprometido en un país extranjero a las 3:00 de la madrugada. El acceso condicional cambia por completo esta dinámica, convirtiendo la autenticación en una evaluación de riesgo continua.

Veamos, por ejemplo, el estado del dispositivo. Mediante la integración con Microsoft Intune o con soluciones de gestión de dispositivos móviles (MDM) de terceros compatibles, el acceso condicional puede comprobar si un dispositivo cumple las normas de seguridad de tu organización. ¿Está actualizado el sistema operativo? ¿Está habilitado el cifrado del disco? ¿Lo gestiona la organización o se trata de un dispositivo personal no gestionado (Bring Your Own Device, o BYOD)? Al evaluar el estado del dispositivo en tiempo real, puedes asegurarte de que los datos corporativos solo fluyan hacia endpoints sanos y seguros.

La evaluación de riesgo va un paso más allá. Microsoft Entra ID Protection analiza billones de señales cada día, observando escenarios de viaje imposible, frecuencias de inicio de sesión atípicas, credenciales filtradas y direcciones IP anónimas. Cuando un usuario intenta iniciar sesión, Entra ID evalúa estas señales al instante. Si un usuario suele iniciar sesión desde Londres y, diez minutos después, intenta acceder a recursos desde una dirección IP sospechosa en otro hemisferio, el riesgo de inicio de sesión se marca como alto. La directiva de acceso condicional puede interceptar entonces esta solicitud, aumentando los requisitos de verificación o bloqueando directamente el intento de acceso antes de que se pueda exfiltrar cualquier dato.

Las señales basadas en la ubicación añaden otra capa de contexto. Aunque los perímetros de red ya no son lo único que importa en seguridad, el contexto geográfico sigue siendo enormemente valioso. Puedes configurar directivas que bloqueen por completo el acceso desde países en los que tu empresa no tiene operaciones legítimas, reduciendo drásticamente la superficie de ataque frente a ataques automatizados de relleno de credenciales procedentes de focos conocidos de actores de amenazas.

Aplicar la seguridad: controles de concesión y fortalezas de autenticación

Una vez que la directiva ha evaluado las asignaciones y las condiciones en tiempo real, llega a la fase de aplicación: los controles de concesión. Aquí es donde la directiva determina qué debe ocurrir antes de conceder formalmente el acceso a la aplicación en la nube.

Los administradores disponen de varias opciones en los controles de concesión. Puedes optar por bloquear el acceso por completo, lo cual resulta útil en escenarios de alto riesgo o con estados de dispositivo no autorizados. También puedes conceder el acceso, pero solo si se cumplen determinados requisitos. Estos requisitos pueden incluir:

• Exigir autenticación multifactor (MFA)
• Exigir que el dispositivo esté marcado como conforme
• Exigir un dispositivo unido de forma híbrida a Microsoft Entra
• Exigir una aplicación cliente aprobada
• Exigir una directiva de protección de aplicaciones (gestión de aplicaciones móviles)
• Exigir cambio de contraseña para usuarios de alto riesgo

Una función especialmente potente que introdujo Microsoft son las Fortalezas de autenticación. En el pasado, la MFA solía tratarse como una opción binaria: o se usaba MFA o no se usaba. Pero no todos los métodos de autenticación ofrecen el mismo nivel de seguridad. Los ataques de phishing han evolucionado para eludir los SMS tradicionales, las llamadas de voz e incluso las notificaciones push básicas mediante sofisticados ataques de tipo adversary-in-the-middle.

Con las Authentication Strengths (intensidades de autenticación) puedes definir exactamente qué métodos de autenticación se permiten para activos de alto valor o escenarios de alto riesgo. Por ejemplo, puedes crear una directiva que exija MFA resistente al phishing, como las claves de seguridad FIDO2 o Windows Hello para Empresas, y que restrinja métodos menos seguros como SMS o las llamadas telefónicas tradicionales. Así puedes implementar un modelo de autenticación matizado y escalonado por riesgo: las aplicaciones cotidianas pueden aceptar MFA estándar, mientras que los portales de administración y los sistemas financieros sensibles exigen credenciales resistentes al phishing.

Buenas prácticas para diseñar y probar tus directivas

Implementar el acceso condicional puede elevar de forma notable la postura de seguridad de tu organización, pero si se configura mal, también puede bloquear a toda la organización, incluidos los administradores globales. Como dice el refrán, un gran poder conlleva una gran responsabilidad. Para ayudarte a evitar interrupciones provocadas por ti mismo, repasemos algunas buenas prácticas esenciales para diseñar, probar y gestionar tus directivas de acceso condicional.

Lo primero y más importante: nunca te bloquees a ti mismo. Excluye siempre de tus directivas principales de acceso condicional al menos una cuenta de emergencia (una cuenta de administrador solo en la nube, de emergencia, con una contraseña segura y almacenada de forma protegida). Además, asegúrate de que tus cuentas de administrador se sometan a pruebas rigurosas y a una supervisión sólida, pero mantén una red de seguridad para poder recuperarte siempre si una directiva falla.

En segundo lugar, adopta una metodología de implementación por fases. No crees una directiva restrictiva y la apliques de inmediato a todos los usuarios. En su lugar, utiliza el modo "Solo informe". Este modo te permite evaluar el impacto de una directiva sin aplicarla realmente. Entra ID registrará en los registros de inicio de sesión si la directiva habría bloqueado o permitido el acceso, lo que te da visibilidad sobre posibles fricciones para los usuarios o flujos de trabajo interrumpidos antes de que la directiva entre en vigor.

Cuando estés listo para aplicarla, empieza por un grupo piloto, como tu departamento de TI o una unidad de negocio colaboradora. Supervisa sus registros de inicio de sesión, recopila comentarios, ajusta las condiciones y amplía gradualmente el alcance hasta que la directiva abarque a toda la organización.

Por último, documenta tus directivas con claridad y revísalas con regularidad. Los requisitos de negocio cambian, los empleados cambian de función y las amenazas de seguridad evolucionan. Una directiva que tenía sentido hace dos años puede ser excesivamente restrictiva o peligrosamente obsoleta hoy. Establecer una cadencia periódica de revisión de tu postura de acceso condicional garantiza que tu perímetro Zero Trust siga siendo resiliente, eficaz y alineado con los objetivos de tu organización.

¡Gracias por escucharnos y por leer hasta aquí! Dominar el acceso condicional es un camino, pero seguir estos pasos te pondrá en buen camino para construir un perímetro de seguridad Zero Trust resiliente en Microsoft Entra ID. No dejes de suscribirte al podcast para más análisis en profundidad sobre seguridad en la nube, ¡y nos vemos en el próximo episodio!