Deja de perseguir el 100%: por qué el mito de Microsoft Secure Score debe morir

By Mirko Peters · 2026-08-22

¡Bienvenido de nuevo al blog! Si administras un inquilino de Microsoft 365, casi seguro que has sentido esa inquietud persistente al abrir el portal de Microsoft Defender.

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al blog! Si administras un inquilino de Microsoft 365, casi seguro que has sentido esa inquietud persistente al abrir el portal de Microsoft Defender. Vas a la sección de Gestión de la exposición, miras el Microsoft Secure Score de tu organización y, de inmediato, te invade una oleada de pánico. ¿Es malo un 42%? ¿Deberíamos estar en un 90% para final de trimestre? ¿Por qué Bob, de TI, todavía no ha hecho clic en el botón para resolver las recomendaciones pendientes? Seamos sinceros: muchos administradores de TI y responsables de seguridad caen en la peligrosa trampa de tratar Secure Score como una calificación escolar. Asumimos que cualquier cosa por debajo de un sobresaliente significa que nuestra red es vulnerable, que nuestros puestos de trabajo están en juego y que los atacantes están esquivando activamente nuestras defensas.

Esta mentalidad no solo es incorrecta, sino que además puede perjudicar activamente la eficiencia operativa y la postura de seguridad de tu organización. En este artículo vamos a desmentir el mito de la puntuación perfecta de Secure Score del 100 %, explicar cómo funciona realmente el cálculo, analizar sus pilares fundamentales y mostrarte cómo usar esta herramienta como una hoja de ruta práctica y no como una métrica de vanidad. Si quieres profundizar en este tema y escuchar un desglose de los conceptos básicos, no dejes de escuchar el episodio de podcast complementario, Microsoft Secure Score - Simply Explained.

¿Qué es realmente Microsoft Secure Score?

Para entender por qué perseguir una puntuación del 100 % es una tarea inútil, primero debemos definir qué es realmente Microsoft Secure Score. Muchos lo tratan como si fuera un escáner de vulnerabilidades o una prueba de penetración automatizada. No es ninguna de las dos cosas. Secure Score es, esencialmente, una herramienta de medición de configuración que evalúa cuántos de los controles de seguridad recomendados por Microsoft están habilitados en tu inquilino de Microsoft 365. Analiza tu configuración, no las amenazas del mundo real.

Piensa en ella como una lista de comprobación interactiva e inteligente, adaptada a tu entorno de licencias de Microsoft concreto. Responde a preguntas fundamentales de arquitectura y gobernanza, como si la autenticación multifactor se aplica en todo el entorno, si los protocolos de autenticación heredados están bloqueados y si las directivas de seguridad están activas en toda tu base de usuarios y dispositivos. Ofrece una visión actualizada de forma continua del estado de tu configuración de seguridad, y funciona como una medición de referencia, no como una garantía de que nunca vayas a sufrir un incidente de ciberseguridad.

Cómo se calcula realmente Secure Score

Entender las matemáticas detrás de Secure Score ayuda a desmitificar por qué las cifras fluctúan y por qué la perfección rara vez es alcanzable. La fórmula subyacente es sencilla: puntos obtenidos divididos entre puntos totales disponibles es igual a tu porcentaje de Secure Score. Sin embargo, la forma en que se asignan los puntos varía según el tipo de recomendación específica.

Las organizaciones obtienen puntos a través de dos mecanismos principales:

• Controles binarios: Son recomendaciones de todo o nada. Por ejemplo, bloquear la autenticación heredada o aplicar los valores predeterminados de seguridad básicos ocurre o no ocurre. Si el control está completamente habilitado, obtienes todos los puntos disponibles. Si permanece desactivado, no obtienes ninguno.
• Controles proporcionales: Estas recomendaciones asignan crédito parcial en función de las tasas de adopción. Por ejemplo, si el cifrado de BitLocker está implementado y activo en el 80% de tus dispositivos administrados, Secure Score asignará aproximadamente el 80% de los puntos disponibles para ese control específico. Este mecanismo permite a las organizaciones ver el progreso gradual a medida que implementan directivas de seguridad en grandes bases de usuarios o flotas de dispositivos.

Por qué una puntuación del 100% es un mito

Aquí está la dura verdad que todo director de TI necesita escuchar: si tu organización tiene un Secure Score del 100 %, probablemente estés haciendo algo mal o trabajes en un entorno extrañamente simple y homogéneo. El propio Microsoft no espera que las organizaciones alcancen el 100 %. Lograr una puntuación perfecta en todos los aspectos es prácticamente imposible para la gran mayoría de las empresas modernas, debido a varios factores inevitables.

Primero, las restricciones de licencia juegan un papel fundamental. Muchas recomendaciones de seguridad avanzadas requieren niveles de licencia específicos, como Microsoft 365 E5, o complementos especializados. Si tu organización opera principalmente con planes Business Standard o E3, ciertas recomendaciones de alto valor quedarán permanentemente fuera de tu alcance, lo que limitará tu puntuación máxima posible.

Segundo, los requisitos de negocio chocan con frecuencia con configuraciones de seguridad estrictas. Puede que tengas aplicaciones de línea de negocio heredadas que dependen de protocolos antiguos, o requisitos de socios externos que te impiden habilitar ciertas directivas de referencia. Además, los riesgos de negocio aceptados y la complejidad operativa significan que marcar ciegamente cada casilla puede afectar a la productividad y frustrar a los usuarios finales. Una organización sana equilibra la seguridad con la usabilidad, y eso genera de forma natural brechas en tu Secure Score.

Los cuatro pilares de Secure Score

Para gestionar tu postura de seguridad de forma eficaz, Microsoft organiza las recomendaciones de Secure Score en cuatro pilares principales. Comprender estas categorías ayuda a los equipos de seguridad a priorizar sus esfuerzos donde más importan.

Identidad

La identidad sigue siendo el perímetro en la arquitectura cloud moderna. Este pilar se centra en gran medida en la autenticación multifactor (MFA), las directivas de acceso condicional, las reglas sólidas de protección de contraseñas y la eliminación completa de la autenticación heredada. Como las credenciales comprometidas son el vector de ataque más común para los actores de amenazas, esta categoría suele tener un peso significativo en tu puntuación general.

Dispositivos

La seguridad de los puntos de conexión es crítica a medida que las plantillas se distribuyen más. Las recomendaciones de dispositivos incluyen configurar Microsoft Defender Antivirus, habilitar las reglas de reducción de la superficie de ataque (ASR), aplicar el cifrado de BitLocker y activar la Protección contra alteraciones para evitar que usuarios locales o scripts maliciosos desactiven las funciones de seguridad en portátiles y estaciones de trabajo corporativas.

Datos

La gobernanza de datos suele pasarse por alto hasta que se produce una brecha. Este pilar gira en torno a las etiquetas de confidencialidad, las directivas de prevención de pérdida de datos (DLP), el cifrado automatizado y las funciones de cumplimiento de Microsoft Purview. Estos controles ayudan a las organizaciones a clasificar, proteger y rastrear la propiedad intelectual corporativa sensible y la información de identificación personal.

Aplicaciones

La seguridad de las aplicaciones en la nube evalúa la gobernanza de aplicaciones, los permisos de aplicaciones de terceros, las directivas de consentimiento de OAuth y el uso de TI en la sombra. Como los usuarios conectan libremente herramientas de productividad de terceros a sus cuentas de M365, controlar los permisos de las aplicaciones es fundamental para evitar el acceso no autorizado a los datos.

Mitos habituales sobre las métricas de seguridad de M365

Los malentendidos sobre las métricas de seguridad pueden llevar a tomar malas decisiones y a culpar a las personas equivocadas. Vamos a aclarar algunos mitos habituales:

Mito 1: Una puntuación alta significa que eres inaccesible para los atacantes. Absolutamente falso. Una puntuación alta de Secure Score significa que tu configuración se ajusta a las mejores prácticas de Microsoft. No te protege frente a exploits de día cero sofisticados, amenazas internas ni empleados poco formados que caen en campañas de phishing sofisticadas.

Mito 2: Una puntuación baja significa que tu organización es incompetente. Muchas organizaciones perfectamente seguras mantienen puntuaciones entre el 70 % y el 85 %, mientras que las pequeñas empresas que están empezando suelen situarse en torno al 30 % al 45 %. El contexto importa muchísimo.

Mito 3: Tienes que implementar todas y cada una de las recomendaciones. Como ya se ha comentado, algunas recomendaciones rompen flujos de trabajo heredados, requieren licencias que no se tienen o incumplen la política de la empresa. Documentar estas excepciones es una parte normal de la administración de TI.

Usar Secure Score como hoja de ruta práctica

En lugar de ver Secure Score como un informe de calificaciones intimidante, los administradores con éxito lo usan como una cola de trabajo priorizada. La sección Acciones recomendadas del portal de Microsoft Defender ofrece detalles técnicos muy valiosos, incluido el posible impacto en la seguridad, los pasos de configuración necesarios y enlaces directos a las hojas de administración exactas del Centro de administración.

Lo más importante es que Microsoft permite a los administradores cambiar el estado de las recomendaciones. Si un control concreto no se aplica a tu modelo de negocio, puedes marcarlo como Risk Accepted o Resolved through Alternative Mitigation. Esta funcionalidad hace dos cosas: elimina el impacto negativo en tu puntuación y crea un registro de auditoría permanente que explica por qué se tomó una decisión concreta. Esta documentación resulta muy valiosa para el personal de TI futuro, los auditores internos y los proveedores de seguros de ciberseguridad.

Integrar Secure Score en tu estrategia de seguridad más amplia

Conviene recordar que Secure Score es solo una pieza de un gran rompecabezas de seguridad. Mide el cumplimiento de la configuración estática, pero no sustituye la caza activa de amenazas ni las soluciones de supervisión en tiempo real. Secure Score funciona mejor cuando se combina con herramientas avanzadas de telemetría como Microsoft Defender XDR, Microsoft Sentinel y Microsoft Entra ID Protection.

Mientras Secure Score se asegura de que tus puertas y ventanas tengan las cerraduras adecuadas, herramientas como Defender for Endpoint y Microsoft Purview vigilan los intentos reales de intrusión y supervisan el comportamiento sospechoso dentro de tu perímetro. La verdadera ciberseguridad requiere un enfoque holístico que abarque la supervisión continua, la formación de los usuarios en concienciación sobre seguridad, una gestión rigurosa de parches y una gobernanza operativa resiliente.

Conclusión: céntrate en mejoras significativas en lugar de métricas de prestigio

Al final del día, tu objetivo principal como profesional de TI no es conseguir un brillante 100 % en un panel de Microsoft. Tu objetivo es proteger los datos de tu organización, asegurar las identidades de los usuarios, garantizar la resiliencia operativa y habilitar la productividad del negocio sin fricciones innecesarias. Perseguir métricas de prestigio arbitrarias suele llevar a implementaciones precipitadas, flujos de trabajo de usuario rotos y equipos de TI agotados.

En lugar de obsesionarte con cada punto porcentual que te falta, céntrate en mejoras continuas e incrementales que realmente eleven tu postura de seguridad. Aborda primero los controles de identidad y dispositivos de mayor impacto, documenta con cuidado las excepciones de negocio y considera Secure Score como tu guía, no como tu amo.

Para escuchar un debate más profundo y práctico sobre este mismo tema, con consejos reales de administración y perspectivas de arquitectura, no dejes de escuchar el episodio de podcast relacionado: Microsoft Secure Score - Simply Explained. ¡Hasta la próxima, mantén tus inquilinos seguros y tus flujos de trabajo fluidos!