Contratar a alguien para revisar tu nube tiene un problema: no sabes qué vas a recibir hasta que ya pagaste.
Así que esta página es el entregable, abierto. Es un informe Estado de la Nube completo, generado por el mismo sistema que usaría con tu empresa, con sus hallazgos, sus cifras y también con lo que reconoce no haber podido evaluar.
Los datos son ficticios. Contoso Chile SpA es un inquilino de demostración de 140 cuentas, generado para esta muestra. Ningún dato corresponde a una organización real, ni mía ni de un cliente. Lo único real es el motor que lo produce y la forma del informe.
El informe en 30 segundos
Tres meses de servicio en un inquilino que empezó mal:
| Junio | Julio | Agosto | |
|---|---|---|---|
| Puntaje general | 44/100 | 58/100 | 84/100 |
| Cuentas inactivas | 31 | 22 | 14 |
| Ahorro potencial / mes | $1.190.000 | $766.000 | $499.000 |
En dos meses: +40 puntos, tres hallazgos críticos cerrados y $691.000 CLP mensuales de gasto en licencias recuperados. Eso último merece decirse claro: el servicio se paga solo con lo que encuentra en la factura de Microsoft.
Cómo se explica cada hallazgo
El informe no se queda en los datos. Cada hallazgo responde siempre las mismas cuatro preguntas (qué se encontró, por qué importa, qué le cuesta al negocio y qué hacer), priorizado por severidad y por esfuerzo. Tres ejemplos textuales del informe:
1 · El ex-empleado que sigue adentro
[EXIT-002] Cuentas activas y licenciadas con inactividad prolongada · Alto
13 cuenta(s) habilitada(s) y licenciada(s) no registran actividad en los últimos 90 días.
Por qué importa: A diferencia de una cuenta deshabilitada, esta conserva acceso activo. Es el patrón más probable de un ex-empleado que no se dio de baja a tiempo.
Impacto de negocio: Riesgo de acceso indebido a datos corporativos, además del costo de la licencia.
Recomendación: Confirmar con RR.HH. o el área responsable si la persona sigue activa; si no, deshabilitar la cuenta y liberar sus licencias. (Solución rápida, confianza: alta)
Con la lista de las 13 cuentas, por nombre. No «revisa tus accesos»: estas trece.
2 · El dinero que se va sin que nadie lo mire
[LIC-002] Licencias compradas sin asignar · Medio
11 puesto(s) comprado(s) en 1 SKU(s) no están asignados a ningún usuario.
Por qué importa: Los puestos comprados y no asignados representan gasto sin retorno inmediato.
Impacto de negocio: Ahorro potencial estimado de $231.000 CLP al mes. Costo mensual por licencias adquiridas y no utilizadas.
Recomendación: Reasignar los puestos disponibles o reducir la cantidad comprada en la próxima renovación. (Solución rápida, confianza: alta)
Este hallazgo, solo, cubre el costo del servicio.
3 · La puerta que el MFA no cierra
[CA-002] La autenticación heredada no está bloqueada · Alto
Ninguna política de acceso condicional activa bloquea los protocolos de autenticación heredada (IMAP, POP, SMTP, ActiveSync antiguo).
Por qué importa: Los protocolos heredados no soportan MFA: un atacante que los use elude por completo cualquier exigencia de segundo factor. Son la vía preferida en los ataques de rociado de contraseñas.
Impacto de negocio: El MFA del inquilino puede ser sorteado en la práctica, anulando la inversión en control de identidad.
Recomendación: Crear una política de acceso condicional que bloquee los clientes de autenticación heredada para todos los usuarios, con un período previo en modo solo informe para detectar aplicaciones antiguas. (Solución rápida, confianza: alta)
Este es el hallazgo que más veces he visto convivir con un «sí, ya tenemos MFA».
Lo que cambia mes a mes
Desde el segundo informe aparece la sección que convierte una auditoría en un servicio: qué se resolvió, qué apareció y qué sigue igual.
Resuelto desde el informe anterior:
- [CA-001] Sin controles de acceso condicional ni valores predeterminados · Crítico
- [MFA-002] Administradores sin MFA registrado · Crítico
- [PRIV-002] Miembros de roles privilegiados sin MFA registrado · Crítico
- [PRIV-001] Demasiados Administradores Globales · Alto
- [SEC-001] Puntaje de seguridad de Microsoft bajo · Alto
- [SHARE-003] SharePoint acepta autenticación heredada · Alto
- [MFA-001] Baja cobertura de MFA · Medio
- [MAIL-004] Dominios sin firma DKIM · Medio
Y lo que sigue abierto, con su movimiento real:
| Hallazgo | Severidad | Antes | Ahora | Variación |
|---|---|---|---|---|
| Cuentas activas y licenciadas sin actividad | Alto | 20 | 13 | −7 |
| Alertas de seguridad sin atender | Alto | 8 | 5 | −3 |
| Cuentas habilitadas sin actividad reciente | Medio | 22 | 14 | −8 |
| Licencias pagas sin actividad reciente | Medio | 20 | 13 | −7 |
| Licencias compradas sin asignar | Medio | 16 | 11 | −5 |
| Concentración de roles privilegiados | Medio | 18 | 18 | 0 |
Ningún informe mensual sirve si no se puede comparar con el anterior. Este se compara solo.
Lo que el informe admite que no sabe
Esta es, honestamente, la parte de la que estoy más orgulloso, y la que distingue un informe de una lámina de marketing. El sistema nunca puntúa como aprobado lo que no pudo evaluar. Del propio informe:
El inquilino no cuenta con licencias Entra ID P2, de modo que el módulo de riesgo de identidad aparece como no evaluado en el anexo. Eso significa «no se pudo determinar», no «sin cuentas en riesgo».
Y una sección de limitaciones conocidas que dice, entre otras cosas, que MFA registrado no es lo mismo que MFA exigido, y que las políticas de acceso condicional se evalúan por su definición, no por su efecto sobre inicios de sesión reales.
Un informe que no declara sus límites te pide que confíes en él a ciegas. Prefiero darte con qué juzgarlo.
Cómo se produce
- Permisos de solo lectura, autorizados una vez por ti (~15 minutos). Nunca pido credenciales de usuario ni acceso de escritura.
- 15 módulos de evaluación sobre 5 áreas (Accesos, Identidad, Licenciamiento, Operaciones y Seguridad), a partir de Microsoft Graph y consultas DNS públicas.
- El análisis del consultor lo escribo yo. El motor determina qué se evalúa y con qué criterios; la lectura del mes y el orden de prioridades son míos. El informe distingue explícitamente una cosa de la otra.
- Reunión de 45 minutos para revisar prioridades y acordar acciones.
Descárgalo completo
- 📄 Informe «Estado de la Nube», ejemplo completo (PDF) : el entregable tal cual llega.
- 📋 Anexo de hallazgos (CSV) : el listado completo de cada cuenta y objeto afectado, para trabajarlo.
- 📝 El servicio en una página (PDF) : para reenviar a quien decide.
¿Y cómo se vería el tuyo?
Para eso es la conversación: 20 minutos, sin costo y sin compromiso. Me cuentas cómo usan la nube y te digo honestamente si puedo ayudarte. Y si no, también.
📧 [email protected] · 💼 LinkedIn
O vuelve a Trabaja conmigo para ver los dos formatos de trabajo y cómo empezar.