Cómo alinear las políticas de clientes con los CIS Controls mediante perfiles de configuración de Intune

La seguridad está lejos de ser el único reto para los MSP que gestionan varios clientes: la coherencia, la preparación ante auditorías y la reducción del riesgo son igual de importantes. Alinear las políticas con Intune es una de las formas en que los equipos de TI logran estos objetivos y cumplen los estándares que marca el Center for Internet Security. Dicho esto, si eres un profesional de TI y quieres alinear las políticas de seguridad de Windows con los CIS Controls, esta guía es un buen punto de partida.

Si prefieres verlo en vídeo, echa un vistazo a Cómo alinear las políticas de clientes con los CIS Controls mediante perfiles de configuración de Intune.

Guía para alinear políticas con los CIS Controls mediante Intune

Usa la tabla para elegir el método que prefieras y acceder directamente a sus pasos.

📌 Requisitos previos:

• Licencia de Microsoft 365 Business Premium o Enterprise
• Licencias de Microsoft Intune e inscripción completada
• Rol de Administrador global o Administrador de Intune
• PowerShell 5.1+ instalado y con privilegios administrativos (Comprueba tu versión de PowerShell)
• Conocimiento de los CIS Benchmarks (nivel 1/2)
• Endpoints con Windows 10/11 unidos a Azure AD o con unión híbrida
• Conocimientos prácticos de los CIS Benchmarks (nivel 1 y nivel 2)

👉 Recuerda: algunos pasos pueden variar según la configuración predeterminada del sistema o los ajustes activos.

Haz clic para elegir un método	💻 Mejor para usuarios individuales	💻💻💻 Mejor para empresas
Método 1: ajustes de Intune		✓
Método 2: gestión multicliente en Intune		✓
Método 3: script de PowerShell		✓
Método 4: directiva de grupo		✓

💡 Consejo: consulta la sección Aspectos a tener en cuenta para ver recomendaciones sobre cómo gestionar los posibles riesgos.

Método 1: revisa y asigna los CIS Controls al catálogo de configuración de Intune

El catálogo de configuración de Intune es la vía más rápida para aplicar la mayoría de los CIS Controls sin recurrir a scripts.

📌 Casos de uso: configuración general, despliegue a nivel empresarial

1. Descarga el CIS Benchmark más reciente para Windows 10/11.
2. Identifica los controles pertinentes según los benchmarks de nivel 1 o nivel 2.
3. Abre el Centro de administración de Microsoft Intune → Dispositivos → Perfiles de configuración.
4. Crea un perfil:
   • Plataforma: Windows 10 y posterior
   • Tipo de perfil: catálogo de configuración
5. Busca y aplica los ajustes que se correspondan con los controles, por ejemplo:
   • Política de bloqueo de cuentas
   • Aplicación obligatoria del cifrado BitLocker
   • Ajustes de Windows Defender
   • Restricción de Escritorio remoto
   • Restricciones de instalación de aplicaciones
6. Documenta cada correspondencia para estar preparado ante auditorías.

Método 2: aplica perfiles de configuración en varios clientes

Exportar e importar perfiles puede mejorar tu estrategia de despliegue, sobre todo para mantener las políticas coherentes y actualizadas en varios clientes.

📌 Casos de uso: MSP, empresas, despliegue multicliente

Puedes usar Microsoft Lighthouse (versión preliminar) para desplegar plantillas de seguridad compartidas entre clientes, o bien exportar e importar perfiles JSON con PowerShell o la Graph API.

Export-IntuneConfigurationPolicy -PolicyName "CIS-Level1-Profile" -Path "C:\IntunePolicies\CIS_Level1.json"

Import-IntuneConfigurationPolicy -Path "C:\IntunePolicies\CIS_Level1.json"

💡 Nota: este script puede ejecutarse o fallar sin mostrar ninguna confirmación ni aviso. Para comprobar si los cambios se han aplicado correctamente, revisa las claves de registro o los ajustes del sistema correspondientes.

Método 3: usa PowerShell para las políticas CIS que no están en Intune

Recurre a PowerShell cuando el catálogo de configuración de Intune no ofrezca una correspondencia directa con el control.

📌 Casos de uso: políticas CIS no cubiertas por el catálogo de Intune

1. Descarga el CIS Benchmark más reciente para tu SO objetivo (Windows 10 u 11).
2. Revisa tus perfiles de configuración de Intune actuales para ver qué recomendaciones CIS ya están aplicadas.
3. Señala los controles que no encuentres en el catálogo de configuración ni en los CSP (proveedores de servicios de configuración) integrados en Intune.

Ejemplo: desactivar el protocolo SMBv1 (CIS Control 4.4.1) no está disponible en el catálogo de configuración, pero sí puede configurarse con PowerShell.

4. Para cada control que falte, escribe un comando o script de PowerShell que modifique la configuración de Windows en consecuencia.

💡 Consejo: los CIS Benchmarks incluyen una lista de los ajustes recomendados, y la documentación de Intune indica cuáles están disponibles de forma nativa. Todo lo que falte (por ejemplo, configurar el cliente NTP o desactivar la enumeración anónima de SID) es candidato a resolverse con un script de PowerShell.

Método 4: usa la directiva de grupo como referencia o alternativa para clientes sin Intune

Para los clientes que siguen usando Active Directory en local, aplica controles alineados con CIS mediante GPO.

📌 Caso de uso: clientes sin Intune

1. Pulsa Win + R, escribe gpmc.msc, y pulsa Aceptar para abrir la GPMC.
2. Ve a Configuración del equipo → Plantillas administrativas → Sistema → Device Guard.

• • Activa Activar la seguridad basada en virtualización
  • Configura Credential Guard y Arranque seguro

Si algunos clientes no están gestionados por completo desde el cloud al inicio de un proyecto, la directiva de grupo puede servir de puente o de plan B para aplicar ajustes alineados con CIS en dispositivos híbridos o en local. Por último, puedes exportar los ajustes de las GPO como referencia a la hora de pasarlos a sus equivalentes en Intune.

Puedes ejecutar el comando gpupdate /force para aplicar los cambios de inmediato. De lo contrario, los nuevos ajustes se aplicarán en el siguiente intervalo de actualización.

👉 Mira esta demostración en vídeo de GPUpdate como referencia visual.

Valida la aplicación de las políticas y confirma que se cumplen

Los auditores y los equipos de seguridad esperan pruebas claras de cumplimiento. Para simplificar esa verificación, conviene hacer una autoauditoría previa cada vez que añadas una política nueva o modifiques configuraciones existentes.

Valida la aplicación de políticas con el Editor del Registro

Muchos ajustes de seguridad de Windows residen en el registro. Comprobar estos valores confirma si las políticas de Intune o PowerShell se han escrito realmente en el sistema. Aquí tienes algunos ejemplos:

Comprueba las preferencias de SmartScreen:

1. Ve a la siguiente ruta o cópiala y pégala en la barra de direcciones del Registro.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System

2. La función está activada si el valor de EnableSmartScreen (DWORD) es 1.

Comprueba si Microsoft Defender Antivirus está activado o desactivado:

1. Ve a la siguiente ruta o cópiala y pégala en la barra de direcciones del Registro.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender

2. La función está desactivada si el valor de DisableAntiSpyware (DWORD) es 1.

Estos pasos pueden formar parte de la validación de cumplimiento o de la revisión posterior al despliegue.

Usa CMD para confirmar la aplicación o generar registros

Las utilidades de CMD te permiten confirmar que las funciones de seguridad principales están activas. Además, resultan útiles para resolver incidencias en remoto o hacer comprobaciones rápidas.

Algunos comandos de ejemplo:

• Comprobar el estado de BitLocker: manage-bde -status
• Validar el perfil del firewall: netsh advfirewall show allprofiles
• Confirmar que Defender está activo: sc query WinDefend

Estos resultados pueden incorporarse a los scripts de onboarding, guardarse en registros de cumplimiento o adjuntarse a los informes de seguridad de los clientes.

⚠️ Aspectos a tener en cuenta al alinear políticas

Esta tabla recoge los problemas más habituales, sus causas probables y algunas formas rápidas de auditar y resolver estos conflictos.

Riesgos	Posibles consecuencias	Soluciones
Dispositivo no inscrito o perfil no asignado	Las políticas no se aplican	Verifica la inscripción y la asignación.
Contexto de ejecución incorrecto o script sin firmar	Los scripts de PowerShell no se ejecutan	Firma los scripts y revisa los ajustes de despliegue.
Cambios en el registro sobrescritos por otras herramientas o actualizaciones	Pérdida de configuraciones de seguridad clave (por ejemplo, SmartScreen o los ajustes de Defender)	Automatiza la validación periódica del registro; solución RMM.
Retrasos en el diagnóstico y la corrección	Incumplimiento de plazos de cumplimiento, auditorías fallidas y penalizaciones en los seguros	Crea procedimientos estándar para verificar el despliegue CIS y resolver incidencias.

Omitir o retrasar la corrección de los problemas de despliegue puede dejar sin aplicar CIS Controls críticos. Plantéate automatizar la auditoría y la validación para garantizar que las políticas sean coherentes y se apliquen como se espera en todo tu entorno de TI.

Gana visibilidad y control sobre la aplicación y validación de políticas con NinjaOne

NinjaOne complementa a Intune añadiendo supervisión continua, informes multicliente y corrección automatizada. Estas son algunas de las capacidades y servicios que puedes aprovechar para alinear tus políticas con los CIS Controls.

• Ejecutar scripts de verificación para comprobaciones de registro, CMD y servicios
• Mostrar paneles de auditoría de políticas
• Automatizar plantillas de onboarding con Intune + PowerShell
• Ofrecer comparativas de Secure Score entre clientes
• Lanzar alertas de corrección cuando los controles se desvían del cumplimiento

Combinar el despliegue de políticas de Intune con la supervisión en tiempo real y la automatización de NinjaOne Endpoint Management® ofrece a los MSP y a los equipos de TI capacidades unificadas para aplicar estándares y optimizar las operaciones de TI desde un único panel.

Alineación proactiva de políticas en los entornos gestionados

Alinear los endpoints Windows con los CIS Controls a través de Intune establece un estándar coherente y exigible para entornos de TI controlados. Al combinar las capacidades de despliegue de Intune, la flexibilidad de PowerShell y la auditoría y validación continuas de NinjaOne, los MSP pueden aplicar el cumplimiento y, además, demostrarlo a gran escala.

Un enfoque proactivo de la seguridad y la gestión de TI no solo refuerza las defensas frente a las amenazas, sino que también facilita el cumplimiento normativo, algo decisivo para generar confianza en los clientes y credibilidad en el sector.

Temas relacionados:

• Gestión de la configuración de seguridad
• Guía completa sobre el hardening de sistemas [Checklist]
• Cumplimiento normativo en TI: definición, estándares y riesgos