Buenas prácticas de seguridad en Microsoft Teams

Microsoft Teams está profundamente entretejido con Microsoft 365, así que protegerlo tiene tanto que ver con la identidad, el acceso externo y la gobernanza de datos como con las reuniones. Los controles de mayor valor están en el nivel de administración: gobernar el acceso externo y de invitados, exigir el Acceso condicional y el MFA, fijar valores predeterminados seguros para las reuniones y extender tus políticas de protección y retención de datos al contenido de Teams. Este es un checklist práctico de refuerzo para administradores y organizadores.

Primero, configura bien el acceso externo y de invitados

La exposición más habitual en Teams es la colaboración sin gestionar con el exterior. Teams separa dos cosas, y ambas necesitan una decisión deliberada.

• Acceso externo (federación). Chat y llamadas con personas de otros dominios. Usa una lista de permitidos con los dominios con los que realmente trabajas en lugar de abrir la federación a todos.
• Acceso de invitados. Personas externas añadidas a tus equipos y canales, donde pueden ver contenido. Acota a qué pueden acceder y qué pueden hacer los invitados, y limítalo a la necesidad del negocio.
• Revisa con regularidad. Audita periódicamente los invitados y las conexiones externas, y elimina las cuentas obsoletas para que los antiguos colaboradores no conserven el acceso indefinidamente.

Controles de reuniones

En las propias reuniones, unos pocos controles evitan la mayoría de los problemas.

• Usa la sala de espera. Controla quién entra directamente y quién espera a que lo admitan, y envía a los participantes externos o desconocidos a la sala de espera.
• Limita los moderadores. Define quién puede presentar para que compartir pantalla no esté abierto a todos por defecto.
• Gobierna la grabación y la transcripción. Decide quién puede grabar, avisa a los participantes y gestiona dónde se guardan las grabaciones y las transcripciones.
• Cierra las reuniones sensibles. Usa las opciones de la reunión para restringir el chat, la admisión y el uso compartido en las sesiones confidenciales.

Configúralos como directivas de reunión para toda la organización en el centro de administración, para que cada organizador parta de una base segura en lugar de configurarlo todo desde cero.

La identidad es la base

Como Teams funciona sobre la plataforma de identidad de Microsoft 365, su seguridad se hereda en gran parte de la identidad. Ahí está la palanca.

• Exige MFA en todas las cuentas que usan Teams: la reunión y los datos son tan seguros como el inicio de sesión.
• Aplica el Acceso condicional para exigir dispositivos conformes, ubicaciones de confianza o autenticación reforzada al acceder a Teams y a sus datos.
• Usa mínimo privilegio en los roles de administración de Teams y protege con especial cuidado las cuentas privilegiadas.

Gobernanza de datos: el contenido de Teams vive en todas partes

Un modelo mental crucial: el contenido de Teams no se guarda en un solo lugar. Los mensajes de chat y de canal, y sobre todo los archivos, viven repartidos entre SharePoint, OneDrive y Exchange. Gobernar los datos de Teams significa poner ese contenido subyacente dentro del alcance de tus controles actuales.

• Etiquetas de confidencialidad en los archivos y, donde se admita, en los equipos y las reuniones.
• Directivas de prevención de pérdida de datos (DLP) que cubran los mensajes de chat y de canal de Teams.
• Directivas de retención para que los mensajes y archivos se conserven o eliminen según la política.
• Controles de uso compartido en el SharePoint y el OneDrive que respaldan los archivos de Teams, incluido lo que pueden alcanzar los invitados.

Ajustes de administración que hacen el trabajo pesado

Lleva la protección a las directivas para que se aplique de forma consistente, al margen del comportamiento individual.

• Directivas de acceso externo y de invitados acotadas a la necesidad del negocio.
• Directivas de reunión para los valores predeterminados de sala de espera, moderadores y grabación.
• Directivas de permisos de aplicaciones para que solo se puedan añadir a Teams apps aprobadas: las apps de terceros son un punto ciego fácil.
• Protección de la información y retención alineadas en todo Microsoft 365 con Teams dentro del alcance.

Trata Teams como un canal de phishing

Los usuarios confían mucho más en un mensaje de Teams que en un correo, y justamente por eso los atacantes lo usan.

• Enlaces y archivos compartidos maliciosos en el chat que llegan desde cuentas externas o recién creadas. Vínculos seguros para Teams (Microsoft Defender para Office 365) reescribe y analiza las URL de los mensajes y debería activarse donde tengas la licencia.
• Suplantación del «soporte de TI», en la que una cuenta externa que se hace pasar por tu mesa de ayuda pide a un usuario ejecutar un comando, aprobar un aviso de MFA o instalar una herramienta de soporte remoto. Microsoft y Sophos han informado de este patrón como la vía de entrada en intrusiones del ransomware Black Basta.
• Una vía de reporte clara. Da a los empleados una forma de reportar con un clic un mensaje sospechoso de Teams y deja claro que el verdadero equipo de TI nunca les escribirá desde un tenant externo para pedirles que aprueben un aviso.

Defiéndete del robo de tokens y el secuestro de sesiones

Cada vez más, los atacantes no rompen el MFA, sino que lo esquivan robando el token de sesión emitido tras un inicio de sesión legítimo, mediante malware infostealer o phishing de adversario en el medio. Un token robado les permite usar la sesión existente sin volver a autenticarse.

• Exige MFA resistente al phishing (llaves de seguridad FIDO2, passkeys o autenticación basada en certificados) mediante Acceso condicional para los accesos privilegiados y de alto riesgo.
• Exige dispositivos conformes o unidos de forma híbrida para acceder a Teams, de modo que se rechace un token reutilizado desde una máquina sin gestionar, y usa directivas de riesgo de inicio de sesión y de protección de tokens donde tengas la licencia.
• Acorta la duración de las sesiones para los roles sensibles y activa la evaluación continua de acceso para que un cambio de riesgo revoque el acceso a mitad de la sesión en lugar de en la siguiente renovación del token.

Monitorea, audita y revisa

No puedes responder a lo que nunca ves.

• Confirma que Microsoft Purview Audit (el registro de auditoría unificado) está activado y se conserva el tiempo suficiente para tus investigaciones; ahí se registran la actividad de Teams, las instalaciones de apps y los cambios de administración.
• Revisa los registros de inicio de sesión de Entra en busca de viajes imposibles, ubicaciones desconocidas y anomalías de autenticación heredada.
• Genera alertas ante cambios en el acceso externo, nuevos consentimientos de apps, descargas masivas de archivos y coincidencias de DLP, y envíalas a tu SIEM en lugar de dejarlas en el portal.

La revisión de seguridad que necesita una app de terceros antes de acceder a datos de Teams

Antes de que una herramienta de terceros acceda a datos de Teams, revisa cuatro cosas: los permisos que pide frente a lo que realmente necesita, el estado de verificación del editor, adónde irán tus datos y si encaja con tus requisitos de gobernanza y cumplimiento. Concede el acceso mediante el consentimiento del administrador, no con el consentimiento de usuario de un clic.

• Permisos frente a necesidad. Lee los permisos de Microsoft Graph que pide. Los permisos de aplicación como ChannelMessage.Read.All o Chat.Read.All permiten a la app leer mensajes de todo el tenant sin un usuario con sesión iniciada, algo mucho más amplio que el acceso delegado. Si la app lo admite, prefiere el consentimiento específico del recurso (RSC), que limita el acceso a un solo equipo o chat.
• Verificación del editor. Comprueba su estado en el Microsoft 365 App Compliance Program: verificación del editor, atestación del editor o Microsoft 365 Certification. Los editores sin verificar que piden permisos amplios merecen el examen más duro.
• Flujo y tratamiento de los datos. Averigua dónde se copian, guardan y procesan los mensajes y archivos, durante cuánto tiempo, qué subencargados intervienen y qué aseguramiento independiente puede mostrar el proveedor, como un informe SOC 2 o una certificación ISO/IEC 27001.
• Encaje con la gobernanza. Confirma que cumple tus obligaciones de residencia de datos, retención, privacidad y eDiscovery.
• Apruébala por la vía correcta. Desactiva el consentimiento de usuario para los permisos de riesgo, canaliza las solicitudes mediante el flujo de consentimiento del administrador de Entra y añade las apps aprobadas a tu directiva de permisos de aplicaciones de Teams.
• Vuelve a revisarla tras aprobarla. Audita periódicamente los consentimientos de apps y revoca los que no se usan o son excesivos.

Para el checklist completo, consulta qué revisión de seguridad necesita una app de terceros de Teams antes de concederle acceso.

Checklist de refuerzo de Teams

• Cambia el acceso externo a una lista de permitidos de dominios de confianza y bloquea las cuentas no administradas.
• Restringe quién puede invitar a invitados; exige MFA a los invitados y haz revisiones de acceso periódicas con caducidad.
• Configura las directivas de permisos de aplicaciones para permitir solo apps aprobadas y desactiva el consentimiento de usuario para los permisos de riesgo.
• Canaliza las solicitudes de apps mediante el flujo de consentimiento del administrador de Entra y audita las concesiones OAuth existentes.
• Envía a la sala de espera a los participantes anónimos y externos; restringe quién puede presentar.
• Configura la retención de las grabaciones y transcripciones de las reuniones.
• Activa Vínculos seguros para Teams y da a los usuarios una forma de reportar mensajes sospechosos.
• Exige MFA resistente al phishing y dispositivos conformes mediante Acceso condicional; activa la evaluación continua de acceso.
• Extiende la DLP a los mensajes de chat y de canal de Teams y aplica etiquetas de confidencialidad a los equipos.
• Confirma que el registro de auditoría unificado está activado y envía los eventos de inicio de sesión y de Teams a tu SIEM.

Preguntas frecuentes

¿Cómo controlo el acceso externo y de invitados? Decide a conciencia: usa una lista de permitidos de dominios de confianza para el acceso externo, acota lo que los invitados pueden ver y hacer, y revisa con regularidad las cuentas externas y de invitados para eliminar las obsoletas.

¿Qué controles de reunión importan más? La sala de espera, la restricción de moderadores, los permisos de grabación y transcripción y las opciones cerradas para las reuniones sensibles, configurados como directiva de toda la organización para tener valores predeterminados seguros.

¿Cómo se relaciona la seguridad de Teams con Microsoft 365? Estrechamente: Teams hereda la identidad y la gobernanza de datos de la plataforma. Exige MFA y Acceso condicional, y aplica etiquetado, DLP y retención al contenido de Teams.

¿Cuáles son los ajustes de administración clave? Las directivas de acceso externo y de invitados, las directivas de reunión, las directivas de permisos de aplicaciones y la retención y protección de la información alineadas, junto con el Acceso condicional y el MFA.

¿Cómo gobierno los archivos compartidos en Teams? Trátalos como contenido de SharePoint/OneDrive: aplica etiquetas de confidencialidad, DLP y retención, controla el acceso de los invitados y revisa los ajustes de uso compartido.

Si exigimos MFA, ¿por qué preocuparnos por el robo de tokens? Porque los atacantes roban el token de sesión emitido tras un inicio de sesión válido con MFA y lo reutilizan. El MFA resistente al phishing, la exigencia de dispositivos conformes, la protección de tokens y la evaluación continua de acceso cierran esa brecha.

¿Dónde monitoreo la actividad de seguridad de Teams? En el registro de auditoría unificado de Microsoft Purview (actividad de Teams, instalaciones de apps, cambios de administración) y en los registros de inicio de sesión de Entra, enviando a tu SIEM los cambios en el acceso externo, los consentimientos de apps y las coincidencias de DLP.