Cómo crear informes de cumplimiento para MSP a partir de Microsoft Secure Score

Microsoft Secure Score es una herramienta esencial de analytics de seguridad integrada en Microsoft 365. Ofrece a las organizaciones una medida cuantificable de su postura de seguridad actual, junto con recomendaciones concretas y aplicables para mejorarla. Para los proveedores de servicios gestionados (MSP), Secure Score es mucho más que un panel interno: se convierte en la base de unos informes para clientes transparentes y basados en datos, y de un seguimiento del cumplimiento estandarizado en múltiples tenants.

Presentar los datos de Secure Score en un formato claro, personalizado con tu marca y orientado a la acción permite a los MSP demostrar de forma tangible el valor que aportan. Los clientes pueden ver las mejoras a lo largo del tiempo, anticiparse a los riesgos de seguridad mucho antes de una auditoría o una brecha, y alinear con confianza su organización con marcos de referencia líderes como CIS, NIST e ISO 27001. Unos informes de Secure Score eficientes y repetibles también ayudan a los MSP a agilizar sus procesos internos, identificar prioridades de remediación de forma proactiva y documentar su madurez en seguridad.

¿Qué es el informe de Microsoft Secure Score?

El informe de Microsoft Secure Score es una función de analytics de seguridad dentro de Microsoft 365 que evalúa la postura de seguridad de una organización analizando las configuraciones actuales, los comportamientos de los usuarios y los controles adoptados en todo el entorno cloud de Microsoft. La puntuación resultante muestra hasta qué punto el tenant se ajusta a las prácticas de seguridad recomendadas por Microsoft y detalla acciones de mejora para reducir el riesgo.

¿En qué se diferencian la puntuación de cumplimiento y Secure Score?

La diferencia entre la «puntuación de cumplimiento» (Compliance Score) y Secure Score en Microsoft 365 está en lo que mide e informa cada métrica:

Microsoft Secure Score se centra en la postura técnica de seguridad de la organización. Evalúa los ajustes, las configuraciones y los comportamientos de seguridad actuales dentro de Microsoft 365, y ofrece una puntuación numérica junto con recomendaciones aplicables para reforzar la protección frente a amenazas. Su objetivo principal es ayudar a los equipos de TI y a los MSP a cuantificar, comparar y mejorar de forma continua los controles de seguridad para reducir el riesgo.

Microsoft Compliance Score, en cambio, evalúa el grado de alineación de tu organización con los requisitos normativos y sectoriales de cumplimiento (como el RGPD, la HIPAA o la ISO 27001). Esta puntuación refleja tanto los ajustes técnicos como las acciones organizativas, incluidas las políticas documentadas, la formación de los usuarios y los procedimientos de auditoría, por lo que aporta una perspectiva más amplia y centrada en la gobernanza.

Requisitos previos para los informes de MS Secure Score

Antes de extraer los datos de Secure Score y elaborar informes, asegúrate de cumplir estos requisitos previos:

• Licencias: necesitas Microsoft 365 Business Premium o una suscripción Enterprise para acceder a todas las funciones de Secure Score.
• Acceso al portal: debes iniciar sesión en Microsoft Secure Score desde el Centro de seguridad de 365.
• PowerShell y SDK: el SDK de Microsoft Graph PowerShell debe estar instalado en cualquier equipo que uses para automatización o informes.
• Permisos: asigna el rol Lector global de Microsoft Entra o Lector de seguridad a la cuenta administrativa que uses para recopilar los datos.
• Visualizaciones: opcionalmente, configura Power BI para transformar, analizar y presentar los datos de forma más avanzada.
• RMM/endpoints: aprovecha NinjaOne o una plataforma de monitorización y gestión remota (RMM) similar para enriquecer los datos de Secure Score con contexto específico de cada endpoint y obtener un informe de cumplimiento más completo.

Accede a Secure Score desde el Centro de seguridad de Microsoft 365

La forma más directa de consultar los datos de Secure Score es a través del Centro de seguridad de Microsoft 365. Tras autenticarte con los permisos adecuados, ve al panel de Secure Score, donde encontrarás una visión completa del estado de seguridad de tu tenant.

Ahí puedes consultar:

• Puntuación global de seguridad: se muestra como valor en puntos y como porcentaje alcanzado respecto al estándar de buenas prácticas de Microsoft.
• Desglose por categorías: comprueba qué puntuación obtiene tu organización en identidad, dispositivos, aplicaciones, datos e infraestructura, lo que te permite detectar carencias en áreas concretas.
• Opciones de exportación: usa la función de exportación para descargar un archivo CSV con tu puntuación actual, la lista completa de acciones de mejora y el estado de cada una (implementada, sin puntuar, no implementada).

Una vez exportados, filtra y transforma estos datos CSV con Excel o Power BI para presentarlos. Ordénalos por importancia, por mejoras recientes o por área de riesgo para preparar resúmenes comprensibles para el cliente que hagan tangible el trabajo proactivo de tu MSP y permitan seguir el avance hacia los objetivos de seguridad.

Exporta Secure Score con PowerShell y Microsoft Graph

Para ganar en repetibilidad, escala y automatización, los MSP deberían combinar PowerShell con la API de Microsoft Graph. Este enfoque permite extraer los datos de Secure Score de forma segura y programática en múltiples clientes y tenants.

Flujo de trabajo de ejemplo:

1. Conéctate a Microsoft Graph:

Connect-MgGraph -Scopes "SecurityEvents.Read.All", «Reports.Read.All»

2. Consulta la puntuación actual de Secure Score:

Get-MgSecuritySecureScore

3. Consulta las acciones de mejora y los perfiles de control:

Get-MgSecuritySecureScoreControlProfile

4. Exporta el informe completo:

Get-MgSecuritySecureScore | Export-Csv -Path "C:\Reports\SecureScore.csv" -NoTypeInformation

Con credenciales almacenadas y un registro de aplicación seguro, puedes programar estos scripts para que se ejecuten periódicamente en varios tenants. Automatizar la recopilación de datos de Secure Score garantiza que los MSP siempre dispongan de las evaluaciones de riesgo más recientes para sus informes y sus tareas de remediación.

Crea informes con tu marca para los clientes

Los datos de seguridad en bruto resultan mucho más útiles cuando se transforman en informes claros y aplicables, adaptados a cada cliente. Agrupa los resultados de Secure Score en:

• Resúmenes ejecutivos: ofrece una visión general de la tendencia de seguridad actual de la organización, con un texto conciso y gráficos fáciles de leer.
• Desgloses por categoría: destaca el rendimiento en las áreas clave (identidades, dispositivos, aplicaciones, etc.) e identifica tanto los puntos fuertes como los débiles.
• Próximos pasos concretos: presenta los principales controles o recomendaciones pendientes de implementar, junto con su posible impacto en la puntuación global.
• Gráficos históricos: visualiza la evolución de Secure Score a lo largo del tiempo para demostrar la mejora continua y el valor sostenido del MSP.

Personaliza cada informe con el nombre y el logotipo del cliente, además de con tu propia marca como MSP y recomendaciones a medida. Utiliza herramientas como plantillas personalizables de Excel, combinaciones de correspondencia de Word o paneles de Power BI para que los informes resulten atractivos y coherentes. Guarda cada informe en ubicaciones seguras y compartidas, como SharePoint o NinjaOne Documents, para facilitar el acceso del cliente y la documentación de cumplimiento.

Enriquece Secure Score con valores del registro de los endpoints

Una limitación de Secure Score es que no siempre refleja la configuración de los dispositivos en tiempo real, sobre todo en el caso de ajustes gestionados fuera de Microsoft 365. Para solucionarlo, añade contexto de los endpoints validando los controles de seguridad clave mediante entradas del registro en los dispositivos del cliente.

Por ejemplo:

Estado de BitLocker:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\BitLockerStatus
• Valor: ProtectionStatus (DWORD) = 1 indica que BitLocker está activo.

Estado del firewall:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy
• Valor: EnableFirewall (DWORD) = 1 confirma que el Firewall de Windows está habilitado.

Al recopilar estos valores del registro de forma remota y combinarlos con los informes de Secure Score, los MSP pueden ofrecer una evaluación de cumplimiento más completa y salvar la distancia entre la telemetría de Microsoft 365 y la configuración real de los dispositivos.

Aplica directivas de grupo para imponer los ajustes que afectan a la puntuación

Secure Score premia a los tenants que aplican controles básicos mediante objetos de directiva de grupo (GPO). Al gestionar estos ajustes de forma centralizada, los MSP pueden maximizar la puntuación y, a la vez, reforzar todos los endpoints:

• Directivas de BitLocker:
  Ve a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Cifrado de unidad BitLocker
  • Habilita «Requerir BitLocker»
  • Impide que los usuarios estándar desactiven BitLocker
• Directivas de antivirus y Defender AV:
  Configuración del equipo > Antivirus de Windows Defender
  • Habilita la protección en tiempo real
  • Exige la protección basada en el cloud
  • Bloquea las directivas de exclusión por parte del usuario final

Aplicar estas GPO garantiza que todos los dispositivos cumplan los criterios de Secure Score y aporta una mejora validada y medible frente a una gestión descentralizada. Revisar y actualizar las directivas de grupo con regularidad estandariza aún más la seguridad en una base de clientes pyme muy diversa.

Valida los ajustes de seguridad de cada dispositivo con CMD

Para corroborar los resultados de Microsoft Secure Score y confirmar la configuración a nivel de endpoint, usa las herramientas integradas del símbolo del sistema:

• Comprobar el estado de BitLocker: manage-bde -status
• Revisar el servicio de Windows Defender: sc query Windefend
• Verificar el estado del firewall: netsh advfirewall show allprofiles

Documenta la salida de estos comandos o usa scripts para recopilar los resultados en todo tu parque de dispositivos gestionados. Incluir esta verificación de los endpoints en los informes de cumplimiento ayuda a sustentar los datos de Secure Score y demuestra que los controles se aplican realmente sobre el terreno, no solo sobre el papel en el cloud.

Otras consideraciones

Cuando uses Secure Score para elaborar informes de cumplimiento, ten en cuenta varios aspectos:

• Secure Score frente a Compliance Score: recuerda que Secure Score mide las configuraciones técnicas de seguridad, mientras que Compliance Score aborda el cumplimiento normativo y de políticas.
• Lagunas de puntuación con soluciones de terceros: si utilizas herramientas de seguridad que no son de Microsoft, Secure Score puede no reconocer algunas medidas de mitigación, lo que se traduce en puntuaciones más bajas a pesar de contar con una protección adecuada. Explica estos casos con claridad a tus clientes.
• Formación del cliente: incluye siempre un breve resumen en el informe que explique el alcance y las limitaciones de Secure Score, para que el cliente sepa qué se mide y qué no.
• Automatización de procesos: programa revisiones de Secure Score y utiliza las variaciones de la puntuación a lo largo del tiempo para poner en marcha procesos de remediación periódicos. Este enfoque proactivo satisface a los clientes y simplifica la gestión continua de la seguridad.

Resolución de problemas

Es inevitable encontrarse con algún obstáculo. Así puedes resolver los problemas más habituales en los informes de Secure Score:

• La puntuación no se actualiza: ten en cuenta que Secure Score puede tardar hasta 24 horas en reflejar cambios recientes de configuración o acciones de mejora completadas.
• Consultas de API vacías: si la API de Microsoft Graph devuelve resultados vacíos, comprueba que se hayan concedido todos los permisos necesarios y que el token de autenticación siga siendo válido.
• Faltan controles en la exportación: usa Get-MgSecuritySecureScoreControlProfile para asegurarte de consultar y exportar la lista completa de acciones de mejora.
• La GPO no se aplica: si los cambios en la GPO no se reflejan, ejecuta gpresult /h para diagnosticar problemas de ámbito, filtrado o asignación de OU y asegurar que la directiva se aplica en todos los dispositivos necesarios.

Servicios de NinjaOne

NinjaOne se integra sin fricciones con Microsoft Secure Score y permite a los MSP gestionar el cumplimiento de forma más eficiente y escalable:

• Ejecución programada de scripts: automatiza la extracción de datos de Secure Score desde Microsoft Graph y almacena los resultados de cada cliente para un seguimiento continuo.
• Análisis del registro: aprovecha la gestión de endpoints de NinjaOne para verificar automáticamente que los ajustes críticos del registro (como el estado de BitLocker o del firewall) cumplen los requisitos de Secure Score.
• Automatización de políticas: lanza scripts de remediación cuando las variaciones de Secure Score indiquen posibles retrocesos, para que los tenants sigan alineados con las buenas prácticas recomendadas.
• Paneles personalizados: muestra los datos de Secure Score junto a otras métricas clave (estado de las copias de seguridad, aplicación de parches, salud de los endpoints) para ofrecer una visión integral de la seguridad y el cumplimiento.
• Agregación entre tenants: consolida los informes de Secure Score de todos los tenants gestionados, de modo que resulte sencillo comparar, exportar y comunicar a los clientes distintos niveles de riesgo desde un único panel de control.

Junto a NinjaOne, Secure Score deja de ser un número estático y se convierte en una métrica accionable que impulsa una automatización más inteligente, unos informes ultrarrápidos y un valor MSP continuo y demostrable.

En resumen

El informe de Microsoft Secure Score es una medida imprescindible para evaluar y mejorar la postura de seguridad de los tenants de Microsoft 365. Para los MSP, extraer estos datos y convertirlos en informes de cumplimiento prácticos y centrados en el cliente es clave para demostrar su valor, impulsar la mejora continua y mantener la transparencia operativa. Combinando exportaciones manuales, recopilación mediante API, automatización con PowerShell, validación en los endpoints y una aplicación sólida de las directivas, cualquier MSP puede ofrecer información clara y con su propia marca que genere confianza en el cliente.

Integrar estas prácticas con NinjaOne y aprovechar herramientas avanzadas de análisis del registro, scripting y creación de paneles convierte Secure Score en algo más que una herramienta de diagnóstico interna: pasa a ser el eje de un servicio de cumplimiento repetible y basado en evidencias.