La seguridad en los accesos a las aplicaciones ya no depende solo de la infraestructura de las empresas; también depende de la seguridad del dispositivo y de la propia identidad del usuario. Para poder implementar estas medidas de seguridad, y además permitir la gestión de aplicaciones en cualquier lugar, Microsoft implantó las directivas de acceso condicional en sus aplicaciones.
¿Qué es el acceso condicional?
El acceso condicional es un sistema de validación de identidad basado en la identidad del usuario, el estado del dispositivo y la ubicación y que, en función de unas determinadas condiciones en dicho proceso, desembocará en una acción u otra.
En su versión más simple, una política de acceso condicional se establece siguiendo el esquema «si-entonces» (“if-then”): si un usuario cumple o no cumple ciertas condiciones (señales), entonces se aplica una acción específica, que puede desembocar en concederle/bloquearle el acceso, o requerir alguna acción extra por su parte.
¿Qué son las directivas de acceso condicional de Microsoft?
Las directivas de acceso condicional de Microsoft Entra ID (antes Azure Active Directory) son el conjunto de reglas que definen cómo, cuándo y bajo qué condiciones los usuarios pueden acceder a las aplicaciones y recursos de su organización.
El acceso condicional de Microsoft es el eje central de las políticas de Confianza Cero (Zero Trust) de Microsoft Entra ID. Este sistema de acceso analiza múltiples señales en tiempo real (como la identidad del usuario, la ubicación, el estado del dispositivo y el riesgo de inicio de sesión) para tomar una decisión de acceso automatizada: permitir, limitar o bloquear el acceso u otra acción extra.
¿Para qué sirven?
Las directivas de acceso condicional de Microsoft son fundamentales para implementar una estrategia de seguridad de Confianza Cero. Parten de la base de que ningún usuario o dispositivo es confiable, y el acceso solamente se concederá después de una verificación explícita y basada en el contexto. Esto permite:
- Reforzar la seguridad al requerir autenticación multifactor (MFA) o un dispositivo compatible en escenarios de alto riesgo.
- Bloquear accesos desde ubicaciones geográficas de alto riesgo o mediante protocolos de autenticación heredados y menos seguros.
- Proteger datos sensibles al limitar la funcionalidad de la sesión (por ejemplo, bloquear descargas) para usuarios que acceden desde dispositivos no administrados (por ejemplo, accediendo desde un ordenador que no sea el del trabajo).
- Mejorar la experiencia del usuario al permitir accesos en escenarios de bajo riesgo, permitiendo al usuario acceder al sistema en otras ubicaciones seguras.
Componentes de una directiva de acceso condicional
Una directiva de Acceso Condicional se construye a partir de tres componentes principales que funcionan como la declaración «si-entonces» (“if-then”) que mencionamos al principio: Asignaciones, Condiciones y Controles de Acceso.
Asignaciones (el “quién” y el “qué”)
Las asignaciones definen quién (usuarios, grupos o roles de la organización) y a qué (aplicaciones o acciones de usuario) se aplicará la directiva.
Condiciones (el “si”)
Las condiciones son los criterios o señales que deben cumplirse para que la directiva se active. Incluyen factores contextuales como el riesgo de inicio de sesión, la ubicación, las plataformas de dispositivo, las aplicaciones cliente y el estado del dispositivo.
Controles de acceso (el “entonces”)
Los controles de acceso definen la acción que se debe tomar si se cumplen todas las asignaciones y condiciones. Esto puede derivar en una acción de conceder acceso (requiriendo MFA, un dispositivo compatible, etc.), de bloquear acceso o de exigir una acción extra después de la autenticación.
En ocasiones, se suele confundir “directiva” con “control de acceso”. Incidimos en la diferencia: una directiva de seguridad es la regla, y el control de acceso es la herramienta y el proceso que asegura que esa regla se cumpla.
¿Qué valores podemos definir?
Como administradores, al crear una directiva podemos definir dos tipos de valores:
- Las condiciones que tienen que cumplirse. Por ejemplo: acceder desde un determinado país, una IP específica, un tipo de dispositivo particular, o si ha pasado más de un mes desde el último acceso, etc.
- Las acciones a aplicar según el cumplimiento de las condiciones. Por ejemplo: bloquear el acceso, permitirlo, requerir un cambio de contraseña, solicitar un código enviado a otro dispositivo, completar un reto de verificación, etc.
Las condiciones varían enormemente según las empresas, ya que pueden aplicarse diferentes capas condicionales según las necesidades (ejemplo: directivos que solo puedan conectarse desde su dispositivo, y que en diferentes países se les pida un paso extra).
Las acciones requeridas a los usuarios suelen ser similares. Además, se busca que el usuario esté familiarizado con las acciones que debe realizar, incluso si no sabe qué condiciones las activaron. En el caso de las directivas de acceso de Microsoft, estas son las acciones más habituales:
Bloquear el acceso
Esta es la acción más restrictiva. Cuando las condiciones desembocan en este valor, la directiva deniega completamente el acceso. Se usa típicamente para usuarios de alto riesgo o ubicaciones no deseadas.
Requerir cambio de contraseña
Fuerza al usuario a restablecer su contraseña si el acceso se produce en una situación de riesgo detectado por Microsoft Entra ID Protection o si se ha definido una condición específica (por ejemplo, más de un mes sin acceder).
Requerir una autenticación multifactor
Exige que el usuario complete una forma extra de verificación de identidad (como un código o una notificación en el móvil) antes de conceder el acceso. Es uno de los controles más comunes para proteger cuentas privilegiadas.
¿Sabías que…?
El clásico esquema de seguridad multifactorial está basado en “algo que sabes” (contraseña), “algo que tienes” (llave física, DNI electrónico o USB) y “algo que eres” (biometría: una lectura dactilar, ocular, etc.). Raramente suelen exigirse los tres; solamente en organizaciones de alto nivel de seguridad.
Requerir que el dispositivo se marque como compatible
Este valor requiere que el dispositivo desde el que el usuario intenta acceder cumpla con unas determinadas condiciones técnicas (por ejemplo, tener el cifrado habilitado, el firewall activo, etc.).
Requerir un dispositivo unido a Microsoft Entra híbrido
Solo permite el acceso a dispositivos que están unidos tanto al Active Directory local como a Microsoft Entra ID. Esto asegura que el dispositivo es conocido y gestionado por la organización.
Requerir aplicación cliente aprobada
Limita el acceso únicamente a las aplicaciones móviles o de escritorio que están aprobadas por Microsoft (por ejemplo, Outlook, Teams, OneDrive) y que a menudo tienen incorporadas capacidades de protección de datos.
Requerir directiva de protección de aplicaciones
Requiere que se aplique una directiva de protección de aplicaciones de Microsoft Intune (MAM – Mobile Application Management) para proteger los datos de la organización dentro de la aplicación incluso en dispositivos personales.
Requerir términos de uso
Obliga al usuario a aceptar un documento de términos de uso antes de que se le conceda el acceso al recurso.
¿Qué señales usa el acceso condicional?
Las señales son la información contextual que el motor de acceso condicional evalúa para determinar si se aplica o no una directiva. Estas son las señales más comunes que podemos encontrar en el centro de administración de Microsoft Entra:
- Identidad del usuario o grupo. La política puede dirigirse a usuarios, grupos o roles específicos (como administradores).
- Información de riesgo de inicio de sesión o de usuario. El sistema evalúa el riesgo en tiempo real basado en el comportamiento del usuario, patrones históricos o anomalías detectadas por Protección de Microsoft Entra ID.
- Ubicación IP. Se puede permitir o bloquear el acceso basándose en rangos de direcciones IP (ubicaciones de red de la oficina o de países/regiones específicas).
- Plataforma del dispositivo. Permite distinguir entre plataformas como iOS, Android, Windows, macOS o Linux.
- Aplicación cliente. Se puede aplicar la política dependiendo de si el acceso se realiza a través de un navegador web, una aplicación móvil o de escritorio.
- Aplicación en la nube o acción del usuario. Se puede aplicar la política dependiendo del recurso al que se intenta acceder (ej. SharePoint Online, Exchange Online, etc.).
- Estado del dispositivo. Si el dispositivo está marcado como compatible o como unido a un dominio híbrido.
Acceso único a la suite de Zoho desde Microsoft 365
Si usas o planeas usar las aplicaciones de Zoho y Microsoft 365, las políticas de acceso condicional de Microsoft ofrecen beneficios al gestionar el acceso a toda la suite de Zoho. Gracias a la integración nativa con Microsoft Entra ID, puedes acceder a todas las aplicaciones sin necesidad de ingresar a cada una de ellas de forma individual.
En BiMind somos partners, entre otros, de Microsoft y de Zoho, y nuestros consultores certificados te podrán ayudar con cualquier duda que tengas para comenzar a usar estas dos suites. ¡Contáctanos si tienes cualquier duda!
¿Cómo crear una nueva directiva de acceso condicional?
Antes de nada, si eres administrador/a del sistema de acceso bajo el entorno de Microsoft Entra ID en tu empresa, familiarízate con la sección oficial de ayuda de Microsoft para asegurarte de que no estás excediendo los permisos concedidos a los usuarios.
El proceso básico para crear una nueva directiva de acceso condicional es sencillo e intuitivo, pero siempre debemos saber qué estamos haciendo. En el centro de administración de Microsoft Entra, navega a Acceso condicional > Directivas:
Paso 1: Planificar y nombrar la directiva
Antes de nada, identifica el escenario de seguridad que quieres abordar y asigna un nombre significativo a la directiva para facilitar su gestión y auditoría. Por ejemplo:
- «Requerir 2FA para administradores». Nombre directiva: «CA001: 2FA para Administradores».
- “Requerir cambio de contraseña después de un año”. Nombre directiva: “CA002: Cambio contraseña un año”
Paso 2: Configurar las asignaciones
Primero, define quién se verá afectado. Selecciona “Usuarios o identidades de carga de trabajo” e incluye a los usuarios, grupos o roles deseados. ¡Importante! Excluye las cuentas de acceso de emergencia para evitar un bloqueo accidental de todos los administradores.
Luego, define a qué recursos se aplicará. En “Aplicaciones en la nube o acciones”, selecciona las aplicaciones a proteger.
Paso 3: Configurar las condiciones
En la sección Condiciones, puedes configurar factores como la ubicación de red (por ejemplo, bloquear accesos fuera de la oficina), el dispositivo (por ejemplo, bloquear accesos desde móviles) o el nivel de riesgo de inicio de sesión.
Paso 4: Configurar los controles de acceso
Aquí es donde estableces qué se debe hacer. En la sección Conceder, elige si deseas Bloquear acceso o Conceder acceso seleccionando los controles requeridos (por ejemplo, requerir autenticación multifactor).
Paso 5: Probar la directiva y habilitarla
Antes de aplicar la directiva, actívala en modo Solo informe (Report-only). Esto te permite conocer el impacto de la directiva antes de aplicarla realmente. Una vez que verifiques que el resultado es el esperado, cambia el estado de la directiva a Activado.
Directivas más usadas por las empresas
Si bien Microsoft Entra ID ha elaborado una lista con valores predeterminados de seguridad, la implementación de las directivas de acceso condicional comienza con la protección de las aplicaciones más sensibles y los usuarios más críticos. Estas son algunas de las más comunes que usan las empresas:
- Requerir MFA para todos los administradores. Esta es una directiva fundamental que aplica la autenticación multifactor a roles de alto privilegio (administrador global, administrador de Exchange, etc.).
- Bloquear la autenticación heredada. Deshabilita protocolos antiguos y menos seguros que no admiten MFA y que son un punto de ataque muy frecuente.
- Requerir dispositivo compatible para aplicaciones clave. Asegura que ciertos usuarios solo puedan acceder a aplicaciones clave (como las financieras o de RRHH) desde dispositivos autorizados.
- Bloquear el acceso por ubicación geográfica. Deniega el acceso a las aplicaciones en la nube desde países o regiones que se consideran de alto riesgo.
- Requerir restablecimiento de contraseñas. Se suele aplicar a cuentas que muestren signos de haber sido comprometidas.
Conclusión
El principal objetivo de las directivas de acceso condicional es garantizar la seguridad en el acceso para las empresas, mediante controles de acceso específicos que no disminuyan la eficiencia y la productividad de los usuarios.
Microsoft Entra ID ofrece una interfaz para que los administradores implementen estas directivas de acceso condicional, garantizando un robusto sistema de protección en los accesos de todos los empleados.
