¿Se actualizan automáticamente las directivas de seguridad predefinidas de Microsoft?

Sí, Microsoft mantiene directamente las directivas predefinidas. Cuando evoluciona la inteligencia de amenazas, la configuración subyacente de las predefinidas Estándar y Estricta se actualiza automáticamente, lo que elimina la sobrecarga de revisión manual.

¿Por qué los usuarios de alto riesgo, como los directivos, deberían incluirse en las directivas predefinidas Estricta en lugar de en reglas personalizadas?

Los roles de alto riesgo son objetivos prioritarios del spear-phishing. Las directivas predefinidas Estricta aplican umbrales agresivos basados en telemetría global, sin que los administradores tengan que mantener manualmente listas complejas de excepciones.

¿Cómo puedo comprobar qué directiva se está aplicando realmente al buzón de un usuario concreto?

Puedes verificar las directivas efectivas con el Configuration Analyzer en el portal de Microsoft Defender o ejecutando consultas de búsqueda avanzada sobre las tablas de eventos de correo para seguir los veredictos de las directivas.

Directivas predefinidas frente a directivas personalizadas de anti-phishing en Microsoft Defender for Office 365

By Mirko Peters · 2026-10-29

Aprende cuándo usar directivas predefinidas o personalizadas de anti-phishing en Microsoft Defender for Office 365, evita las trampas de precedencia y protege tu inquilino en la nube.

Automatically translated with AI from the original post. Read the English original

Cover: Defender for Office 365: Tuning Anti-Phishing and Safe Links Policies

Elegir entre directivas de seguridad predefinidas y configuraciones personalizadas en Microsoft Defender for Office 365 determina la eficacia con la que tu organización detiene los ataques de phishing dirigidos. Esta guía desglosa el orden de evaluación de las directivas, las trampas de precedencia ocultas y un marco práctico para decidir cuándo las reglas personalizadas están realmente justificadas frente a las recomendaciones integradas de Microsoft.

Puntos clave

Microsoft evalúa las directivas de protección del correo en un orden estricto de arriba abajo: predefinida Estricta, predefinida Estándar, directivas personalizadas y, por último, la protección integrada.
El motor de evaluación se detiene en la primera coincidencia, lo que significa que los usuarios incluidos en los ámbitos predefinidos omitirán por completo cualquier directiva personalizada de anti-phishing que hayas creado.
Las directivas de seguridad predefinidas trasladan a Microsoft el mantenimiento y la gestión de la desviación de directivas, de modo que tu base se actualiza automáticamente frente a las amenazas emergentes.
Las directivas personalizadas tienen un coste elevado en sobrecarga administrativa y deberían reservarse solo para excepciones de negocio genuinas y documentadas.
Los usuarios de alto riesgo, como directivos, personal de finanzas y administradores de TI, deben incluirse en los ámbitos de las predefinidas Estricta en lugar de en reglas de aislamiento configuradas a medida.

La trampa de precedencia de directivas: por qué las reglas personalizadas fallan en silencio

Muchos administradores de seguridad del correo pasan días creando directivas personalizadas de anti-phishing en el portal de Microsoft Defender. Ajustan meticulosamente los niveles de confianza de phishing, crean extensas listas de usuarios protegidos y asignan acciones específicas para los intentos de suplantación. El portal muestra un tranquilizador estado "Habilitado" y la configuración parece impecable sobre el papel. Sin embargo, a pesar de todo ese trabajo cuidadoso, es posible que la directiva nunca llegue a aplicarse a un solo usuario.

El problema central está en cómo Microsoft 365 procesa varias reglas superpuestas. El motor de evaluación no combina la configuración ni elige la regla más estricta. En su lugar, recorre una jerarquía rígida: primero evalúa la directiva predefinida Estricta, después la predefinida Estándar, luego las directivas personalizadas y, por último, la protección integrada en la parte inferior. En el momento en que un destinatario coincide con una directiva situada más arriba en la cadena, la evaluación se detiene de forma definitiva. Si los miembros de tu equipo de finanzas entran en el ámbito de la directiva predefinida Estándar, tu regla personalizada de anti-phishing para finanzas se ignora por completo. No aparece ningún mensaje de error ni se genera ninguna alerta, y eso deja un hueco de seguridad invisible que los atacantes pueden explotar con facilidad.

Directivas predefinidas frente a directivas personalizadas: el compromiso administrativo

Comprender la diferencia de fondo entre las directivas de seguridad predefinidas de Microsoft y las configuraciones personalizadas del inquilino es esencial para la gestión de la arquitectura de la nube a largo plazo. Las directivas predefinidas (Estándar y Estricta) representan inteligencia colectiva recopilada de millones de buzones de todo el mundo. Microsoft actualiza estas configuraciones de forma continua a partir de telemetría de amenazas en tiempo real, lo que significa que te beneficias de observaciones de todo el sector que ningún inquilino individual podría igualar por sí solo.

Por el contrario, una directiva personalizada representa el criterio subjetivo de un administrador aplicado a una única organización en un momento concreto. Aunque las reglas personalizadas ofrecen un control granular sobre flujos de correo específicos o requisitos de negocio particulares, conllevan una carga de mantenimiento considerable. Cuando evolucionan los vectores de ataque, las directivas personalizadas permanecen completamente estáticas. Sin un ciclo de revisión dedicado, las configuraciones personalizadas se desvían silenciosamente de los estándares de seguridad actuales y crean vulnerabilidades que son difíciles de diagnosticar cuando ocurre un incidente.

¿Cuándo están realmente justificadas las directivas personalizadas contra la suplantación de identidad?

Dado que las configuraciones predefinidas cubren de forma eficaz la gran mayoría de escenarios de usuario, las directivas personalizadas deben considerarse excepciones y no una estrategia de implementación predeterminada. Para justificar la sobrecarga de mantenimiento continuo de una regla personalizada, normalmente debe encajar en una de estas tres categorías operativas:

Listas de usuarios protegidos seleccionados manualmente: si tu organización necesita una lista muy concreta de directivos, miembros del consejo o aprobadores financieros protegidos con umbrales de suplantación de identidad personalizados, las directivas personalizadas contra la suplantación te permiten definir esos nombres exactos.
Flujos de correo inusuales: las unidades de negocio que reciben habitualmente archivos externos no estándar o que dependen de sistemas automatizados internos propensos a generar falsos positivos pueden necesitar reglas personalizadas de alcance reducido para mantener la continuidad del negocio.
Pasarelas de correo de terceros: las organizaciones que enrutan el correo a través de una pasarela de seguridad externa antes de Microsoft 365 suelen experimentar detalles de conexión y resultados de autenticación alterados, lo que requiere un tratamiento especializado dentro de los parámetros de la directiva personalizada.

Si tu motivo para crear una regla personalizada es simplemente una preferencia por otros niveles de sensibilidad o la sensación imprecisa de que los valores predeterminados son demasiado laxos, es probable que la directiva no justifique su coste operativo a largo plazo.

Conclusiones y próximos pasos

Equilibrar la inteligencia automatizada con configuraciones personalizadas y específicas es la seña de identidad de una estrategia de seguridad en la nube madura. Si confías en las directivas predefinidas de Microsoft para la gran mayoría de empleados y reservas las reglas personalizadas exclusivamente para excepciones documentadas, reduces la fatiga administrativa y maximizas la eficacia en la detección de amenazas. Para explorar en profundidad estrategias de implementación, ciclos de configuración y métricas de informes, escucha el episodio completo del podcast M365 FM para obtener información de expertos y orientación práctica que te ayude a optimizar hoy mismo la postura de seguridad de tu Microsoft 365.

Preguntas frecuentes

¿Qué ocurre si un usuario está incluido tanto en una directiva predefinida como en una directiva personalizada?

El motor de evaluación de Microsoft 365 procesa las directivas en un orden estricto, dando prioridad a las directivas predefinidas (primero Strict y después Standard) frente a las personalizadas. Si un usuario coincide con una directiva predefinida, el sistema deja de evaluar el resto y la directiva personalizada se omite por completo para ese destinatario.

¿Las directivas de seguridad predefinidas de Microsoft se actualizan automáticamente?

Sí. Las directivas predefinidas las mantiene directamente Microsoft. Cuando cambia el panorama de amenazas y se modifican los valores base recomendados, Microsoft actualiza automáticamente la configuración subyacente de los perfiles Standard y Strict, lo que libera a los administradores de los ciclos de revisión manual.

¿Por qué los usuarios de alto riesgo, como los directivos, deben incluirse en las directivas predefinidas Strict en lugar de en reglas personalizadas?

Los roles de alto riesgo son objetivos principales de ataques sofisticados de suplantación y phishing dirigido. Las directivas predefinidas Strict aplican umbrales de protección agresivos respaldados por la telemetría global de Microsoft, ofreciendo una seguridad completa sin que los administradores tengan que mantener manualmente listas complejas de excepciones personalizadas.

¿Cómo puedo comprobar qué directiva se aplica realmente al buzón de un usuario concreto?

Puedes verificar las directivas efectivas usando el Analizador de configuración del portal de Microsoft Defender o ejecutando consultas de caza avanzada sobre eventos de correo para rastrear qué mecanismos de detección y directivas actuaron sobre los mensajes entrantes de un usuario.