Acceso condicional: la póliza de seguro de Microsoft 365

Imagina que alguien consigue la contraseña de una persona de administración. Sin más protección, entra en su correo desde cualquier país, a cualquier hora y desde cualquier ordenador. El acceso condicional existe para que eso no ocurra: antes de abrir la puerta, Microsoft 365 hace unas cuantas preguntas.

Un portero que hace preguntas

Piensa en el acceso condicional como el portero de un edificio de oficinas. No basta con decir tu nombre: se fija en a qué hora llegas, si llevas la tarjeta de la empresa y si tu comportamiento le resulta normal. Si todo encaja, pasas. Si algo no cuadra, te pide una identificación adicional o te deja en la puerta.

Cada vez que alguien intenta entrar en Microsoft 365, el sistema puede mirar quién es, desde qué país se conecta, qué aplicación usa, si el equipo pertenece a la empresa y está al día, y si el inicio de sesión tiene algo raro. Con esas señales se aplican reglas sencillas: pedir un segundo factor, permitir solo lectura o bloquear.

Una contraseña dice quién eres. El acceso condicional comprueba si de verdad lo eres.

Cinco reglas para empezar con buen pie

No hace falta un diseño complejo para notar la diferencia. Estas son las reglas por las que empezaríamos en casi cualquier empresa:

1. Doble factor para todo el mundo, sin excepciones permanentes. El doble factor pide, además de la contraseña, una confirmación en el móvil. Una contraseña robada, por sí sola, deja de servir.
2. Bloquear los protocolos antiguos de correo. Son formas veteranas de conectarse al buzón que no admiten doble factor y son la vía favorita de los ataques automáticos, que prueban contraseñas a miles por minuto.
3. Más exigencia para las cuentas de administración: doble factor siempre y, si es posible, solo desde equipos gestionados. Son las llaves maestras de la empresa y merecen una cerradura mejor.
4. Limitar los países desde los que se puede entrar cuando la actividad de la empresa lo permite. Si nadie trabaja fuera de la UE, no hay motivo para aceptar conexiones desde el otro lado del mundo.
5. Acceso completo solo desde equipos de la empresa. Desde un ordenador ajeno, únicamente navegador y sin descargar archivos, para que los documentos no se queden en el ordenador de un hotel o de un familiar.

Activarlo todo de golpe: el error que sale caro

Una regla mal planteada puede dejar a media plantilla sin correo un lunes por la mañana. El acceso condicional es potente precisamente porque bloquea, y un bloqueo mal dirigido afecta a quien no debe.

Por eso cada regla se prueba primero en modo informe, que registra qué habría pasado sin bloquear a nadie. Durante unos días, el sistema anota a quién habría pedido doble factor y a quién habría dejado fuera. Con esos datos se ajustan las excepciones, como la cuenta de la impresora que envía escaneos por correo o el comercial que viaja a menudo, y solo entonces se activa.

Qué licencia necesitas

El acceso condicional forma parte de Microsoft Entra ID P1, la versión ampliada del servicio de identidades de Microsoft, que es el que gestiona los usuarios y sus inicios de sesión. Está incluido en Microsoft 365 Business Premium y en los planes E3 y E5.

Si tu empresa tiene Business Standard, merece la pena hacer números. Muchas veces el cambio de licencia se paga solo con el riesgo que elimina, y además Business Premium incorpora otras protecciones de equipos y correo que hoy quizá estés cubriendo por separado.

Cómo se nota en el día a día

Bien implantado, el acceso condicional apenas se ve. La plantilla que trabaja desde la oficina o desde su portátil de empresa entra igual que siempre. El doble factor aparece cuando tiene sentido, no a cada momento. Y quien intenta entrar con una contraseña robada desde otro país se encuentra con una puerta cerrada sin que nadie en la empresa tenga que hacer nada.

Imagina una empresa de 35 personas que sufre una campaña de correos falsos en la que dos empleados escriben su contraseña en una página trampa. Sin acceso condicional, el atacante entra. Con él, se topa con una petición de doble factor que no puede completar, o con un bloqueo por país, y el incidente se queda en un susto.

La protección que más rinde por cada hora invertida

De todas las protecciones de Microsoft 365, el acceso condicional es la que más riesgo quita por el esfuerzo que exige. No requiere comprar equipos ni cambiar la forma de trabajar, solo pensar bien las reglas y activarlas con cuidado.

En OLATIC solemos implantarlo en unos días: revisamos cómo trabaja cada perfil de tu empresa, dejamos preparadas las cuentas de emergencia, probamos cada regla en modo informe y las activamos por fases, sin sustos para los usuarios ni lunes sin correo.