Cómo supervisar y responder a los cambios de permisos en los recursos compartidos de Microsoft 365

Como parte de un enfoque proactivo de la seguridad, necesitas supervisar los cambios de permisos en los recursos compartidos de Microsoft 365, incluidos SharePoint, OneDrive y Teams. Los administradores de TI y los proveedores de servicios gestionados (MSP) deben tener control total de la infraestructura de Microsoft 365 de la que son responsables para poder identificar y corregir las vulnerabilidades de seguridad y los riesgos de cumplimiento antes de que tengan consecuencias.

Esta guía explica cómo usar scripts de PowerShell y la automatización para mantener la visibilidad y seguir los cambios de permisos en SharePoint. Después podrás integrarlo con tus herramientas MSP para generar informes y enviar notificaciones, de modo que las personas implicadas estén al tanto y puedan reaccionar en cuanto se detecte un posible problema.

Por qué conviene supervisar los cambios de permisos en SharePoint, Teams y OneDrive

Microsoft 365 es un entorno de TI de la empresa dinámico, en el que los cambios se producen con frecuencia y rapidez: se añaden usuarios nuevos, los roles cambian, se crean archivos y los propios usuarios se conceden acceso entre ellos mientras colaboran. Todo esto exige supervisión como parte de tu plan de protección de datos. Una mala aplicación de los permisos en SharePoint, ya sea intencionada o accidental, puede provocar una brecha de privacidad, la divulgación de información confidencial del negocio o la introducción de archivos maliciosos. También afecta a los datos de Teams y OneDrive, que se almacenan en SharePoint.

Si guardas datos importantes en Microsoft 365, ya sea en SharePoint, en OneDrive o en los buzones de Exchange, es fundamental que hagas una copia de seguridad. Proteger los datos de Microsoft 365 y Google Workspace plantea retos distintos a los de los datos que alojas tú mismo, y por eso existen soluciones de copia de seguridad SaaS específicas para esta tarea.

Componentes y pasos necesarios para supervisar los cambios de permisos en SharePoint

Puedes seguir estos procesos para implementar el seguimiento de permisos en SharePoint, tanto en tu organización como en los clientes de tu MSP. Necesitarás acceso a PowerShell para Microsoft 365 y a Microsoft Graph, además de las funciones de automatización, informes y notificaciones de tu plataforma MSP.

Si tienes en cuenta la información de esta guía al planificar la supervisión de los cambios de permisos en Microsoft 365, reconocerás estas buenas prácticas y ventajas:

Paso 1: define qué vas a supervisar

Identifica la información sensible que debes proteger (una parte esencial del proceso de protección de datos consiste en mantener un catálogo actualizado de los datos que tienes y de dónde se almacenan) y céntrate en los escenarios de cambio de alto riesgo al decidir qué supervisar.

En SharePoint, conviene centrarse en los accesos recién concedidos a datos sensibles, en la modificación y eliminación de grupos de SharePoint y en la herencia de permisos interrumpida, así como en la concesión de privilegios de administrador u otros privilegios elevados. También hay que vigilar el acceso de invitados y el uso compartido en OneDrive. En Microsoft Teams, sigue los cambios de propiedad y de miembros en los canales que puedan dar acceso a comunicaciones sensibles o a archivos compartidos.

Paso 2: usa los registros de auditoría (con integración opcional con la API de Graph) para seguir los cambios de permisos en SharePoint

Puedes activar el registro de auditoría en Microsoft Purview para seguir los cambios de permisos en todo Microsoft 365. Después podrás consultar estos datos con las herramientas de registro de auditoría de Microsoft Purview, incluido el cmdlet Search-UnifiedAuditLog de PowerShell o el portal de Purview. La API de Microsoft Graph puede complementarlo aportando más datos de directorio y actividad, aunque todavía no expone toda la gama de eventos del registro de auditoría.

Por ejemplo, el siguiente script ofrece una instantánea diaria de los cambios de permisos a nivel de usuario o de grupo consultando el registro de auditoría:

$startDate = (Get-Date).AddDays(-1)
$endDate = Get-Date
Search-UnifiedAuditLog `
-StartDate $startDate `
-EndDate $endDate `
-Operations «AddMemberToGroup«,»PermissionModified« `
-ResultSize 5000Search-UnifiedAuditLog -Operations “AddMemberToGroup”,”UpdatePermission” -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date)
En entornos de producción, los scripts también deberían gestionar la paginación, analizar el campo AuditData y filtrar por carga de trabajo (por ejemplo, SharePoint o Azure AD) para que los informes sean completos y precisos.

Paso 3: detecta la herencia interrumpida y los accesos elevados con scripts de PowerShell

El módulo PnP PowerShell incluye cmdlets para interactuar con Microsoft 365. Puedes usarlo para detectar la herencia interrumpida (es decir, los permisos únicos), como en este ejemplo:

$lists = Get-PnPList
$lists | Where-Object { $_.HasUniqueRoleAssignments } | Select-Object Title, RootFolder
Get-PnPList también sirve para leer y supervisar los permisos elevados, como el control total o la concesión de permisos de administrador de colección de sitios.

Paso 4: automatiza los flujos de notificación para tus clientes clave

El tiempo de reacción es decisivo ante posibles filtraciones de datos que un cambio de permisos puede estar señalando. Hay que avisar a la persona adecuada para que pueda actuar en consecuencia: dependerá de su puesto o de sus preferencias, pero puede hacerse abriendo un ticket de soporte, enviando un correo electrónico o mandando una notificación push a su dispositivo.

Si se detecta un cambio de permisos inesperado o sospechoso, también puedes recurrir a las funciones de automatización de tu plataforma MSP para bloquear el acceso de inmediato hasta que se complete la investigación.