Cómo proteger buzones compartidos con grupos de seguridad en Microsoft 365

Los buzones compartidos de Microsoft 365 permiten que los equipos colaboren de forma eficiente, por ejemplo cuando el equipo de soporte de tu empresa atiende las consultas de los clientes. Sin embargo, sin controles de acceso estrictos (como los grupos de seguridad para buzones compartidos) y sin supervisión, existe el riesgo de fugas de datos o de un uso indebido.

Esta guía te ayudará a proteger los recursos críticos del buzón mediante el registro de auditoría y políticas DLP para seguir la actividad y bloquear la exfiltración de datos.

Si prefieres verlo en vídeo antes que leerlo, echa un vistazo a Cómo proteger buzones compartidos con grupos de seguridad en Microsoft 365.

Añadir grupos de seguridad a los buzones compartidos en Office 365

Asignar grupos de seguridad a los buzones compartidos simplifica la gestión de accesos y mejora la trazabilidad de responsabilidades.

Caso de uso: añadir grupos de seguridad te evita actualizar permisos usuario por usuario, facilita la auditoría de accesos porque los permisos son grupales y aporta un control homogéneo en todos los buzones que manejan datos sensibles.

Requisitos previos: antes de continuar, asegúrate de contar con lo siguiente:

• Licencias Microsoft 365 E3/E5 para funciones avanzadas como el registro de auditoría (buzón compartido de Office 365) y DLP
• Roles de administrador como administrador global, administrador de cumplimiento o permisos de administrador de Exchange
• Herramientas como los módulos ExchangeOnlineManagement y Microsoft.Graph para PowerShell, y software de gestión de dispositivos para la unión híbrida o el registro en Intune.

Te recomendamos revisar Aspectos a tener en cuenta antes de continuar.

Estrategias de despliegue:

Método 1: activar el registro de auditoría en buzones compartidos (con PowerShell)

El registro de auditoría sigue las acciones de los usuarios en los buzones compartidos y aporta una visibilidad imprescindible de la actividad.

Caso de uso: es la opción ideal si tu licencia no incluye auditoría por defecto, si necesitas un control preciso sobre las acciones registradas o si el cumplimiento corporativo exige registros de auditoría detallados de los buzones compartidos.

Procedimiento paso a paso:

1. Abre PowerShell como administrador o Windows Terminal (pulsa Win + X).
2. Ejecuta los siguientes scripts:
   • Ejecuta este script para conectarte a Exchange Online:

Connect-ExchangeOnline -UserPrincipalName [email protected]

Nota: usa autenticación moderna y funciona en Windows 10/11.

• • Activa la auditoría del buzón:

Set-Mailbox "[email protected]" -AuditEnabled $true

• • Configura las acciones clave:

Set-Mailbox "[email protected]" -AuditDelegate SendOnBehalf, SendAs, Create, SoftDelete, HardDelete, Update, MoveToDeletedItems

Consejo: céntrate en las acciones de mayor riesgo, como las eliminaciones o los envíos.

• • Consulta la actividad reciente:

Search-MailboxAuditLog -Identity "[email protected]" -ShowDetails -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date)

Consejo: en entornos modernos, usa Search-UnifiedAuditLog en su lugar.

Una vez activado, Office 365 registrará las acciones indicadas (por ejemplo, correos movidos a Elementos eliminados).

Método 2: activar el registro de auditoría unificada desde Microsoft Purview

La auditoría unificada ofrece visibilidad en todo el tenant de la actividad de los buzones compartidos de Office 365, lo que simplifica el cumplimiento y la detección de amenazas.

Caso de uso: resulta ideal cuando necesitas supervisión centralizada de todos los buzones, cuando la auditoría está desactivada por defecto y cuando tienes que investigar incidentes (como un SendAs sospechoso o eliminaciones) que requieren un contexto amplio.

Procedimiento paso a paso:

1. Accede a Microsoft Purview:
   • Ve a purview.microsoft.com → Soluciones → Puedes hacerlo desde cualquier navegador en Windows 11 (por ejemplo, Edge o Chrome).
2. Activa el registro (si está desactivado).
   • Si aparece el aviso, haz clic en Iniciar la grabación de la actividad de usuarios y administradores.

Nota: la activación puede tardar unos 60 minutos.

3. Busca en Actividades:
   • En Operaciones, selecciona SendAs, SendOnBehalf, SoftDelete o HardDelete.
   • En Usuarios, introduce los nombres de usuario de los delegados (no el del buzón compartido).
   • En Intervalo de datos, filtra por incidentes concretos.
4. Exporta los registros:
   • Haz clic en Exportar resultados para generar informes de cumplimiento o hacer un análisis más profundo.

Una vez activado, podrás auditar la actividad del buzón compartido de Office 365 directamente desde Purview. Usa los registros para revisar la actividad del buzón compartido durante brechas de seguridad o auditorías de cumplimiento.

Método 3: aplicar políticas DLP a los buzones compartidos

DLP impide que los datos sensibles salgan de tu buzón compartido de Office 365, como los números de tarjeta de crédito de clientes o los expedientes de empleados.

Caso de uso: despliega DLP cuando los buzones compartidos manejen datos regulados, cuando necesites bloquear automáticamente fugas accidentales y cuando el cumplimiento exija pruebas de protección.

Importante: para aplicar DLP, los buzones compartidos necesitan licencia Exchange Online Plan 2 (incluida en E3/E5). Los buzones básicos no aplican las políticas.

Procedimiento paso a paso:

1. Crea una política:
   • Ve a Portal de Purview → Prevención de pérdida de datos → Políticas → Crear política.
2. Selecciona una plantilla:
   • Elige Financiera o PII, o bien crea una política personalizada.
3. Define las ubicaciones:
   • Activa Correo de Exchange.
   • En Configuración avanzada, añade los buzones compartidos concretos.
     • Consejo: evita aplicarla a todos los buzones y céntrate en los buzones compartidos de mayor riesgo.
4. Define las reglas:
   • Condiciones: añade tipos de información sensible (por ejemplo, números de tarjeta de crédito).
   • Acciones: bloquear mensajes, avisar a los administradores o permitir excepciones del usuario.
   • Avisos al usuario: activa las sugerencias de política para concienciar a quien envía.
5. Despliega y supervisa:
   • Activa la política y revisa las coincidencias en DLP → Coincidencias de política.

Tras desplegar las políticas, los usuarios verán sugerencias de política que les avisarán al intentar enviar datos restringidos. Los correos bloqueados también generarán alertas en el informe de coincidencias de política de Purview.

Método 4: configurar permisos del buzón y restricciones de acceso

Controlar con rigor quién puede acceder a tu buzón compartido de Office 365 y enviar desde él previene amenazas internas y fugas accidentales.

Caso de uso: aplícalo cuando los empleados cambian de puesto y sus accesos quedan desactualizados. También es útil cuando una auditoría revela permisos excesivos o cuando se producen incidentes de seguridad.

Procedimiento paso a paso:

1. Abre PowerShell como administrador o Windows Terminal (Win + X).
2. Ejecuta estos scripts para:
   • Eliminar permisos excesivos:
     • Script para revocar el acceso total:

Remove-MailboxPermission -Identity "[email protected]" -User "[email protected]" -AccessRights FullAccess

• • • Script para revocar los derechos de Send-As:

Remove-RecipientPermission -Identity "[email protected]" -Trustee "[email protected]" -AccessRights SendAs

• • Auditar los accesos actuales:
    • Script para comprobar los delegados con acceso total:

Get-MailboxPermission -Identity "[email protected]" | Where-Object {$_.AccessRights -eq "FullAccess"}

• • • Script para comprobar los permisos de Send-As:

Get-RecipientPermission -Identity "[email protected]"

Tras ejecutar estos scripts, los usuarios no autorizados perderán el acceso de inmediato. Realiza auditorías periódicas para mantener los privilegios adecuados en cada usuario.

Método complementario 1: usar el Registro y GPO para imponer la política de acceso local

Aunque las herramientas en el cloud protegen los buzones compartidos de Office 365, los controles en el endpoint evitan fugas de datos a través de Outlook en dispositivos con Windows 11.

Caso de uso: aplica este procedimiento cuando los usuarios accedan a buzones compartidos desde dispositivos no gestionados, ya que impedir las exportaciones a PST o el autoarchivado es clave para el cumplimiento y protege frente a la exfiltración local de datos.

Importante: este método no sustituye a la auditoría ni al DLP en el cloud, pero sí evita el uso no autorizado de perfiles de correo locales y añade un fortalecimiento de endpoints imprescindible.

Procedimientos paso a paso:

(a) Desactivar las operaciones con PST (Registro)

1. Abre el Editor del Registro (Win + R y escribe regedit).
2. Ve a esta ruta: HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\16.0\Outlook\Preferences
3. Crea dos valores DWORD:
   • Crea DisablePST y asígnale el valor 1.
     • Esto bloquea la creación de archivos PST.
   • Crea DisablePSTExport y asígnale el valor 1.
     • Esto bloquea la exportación de correos a PST.

(b) Bloquear el autoarchivado (directiva de grupo)

1. Abre el Editor de administración de directivas de grupo (gpedit.msc).
2. Ve a Configuración de usuario → Plantillas administrativas → Microsoft Outlook 2016+ → Opciones de Outlook → Otros.
3. Activa lo siguiente:
   • Impedir que los usuarios añadan nuevos archivos PST
   • Desactivar Autoarchivar

Tras el despliegue, los usuarios ya no podrán exportar correos de los buzones compartidos a archivos PST. Tampoco podrán autoarchivar, lo que garantiza la retención de los datos en Office 365 de forma apta para auditorías. Además, reduce el riesgo de «copias en la sombra» fuera del alcance del DLP de Microsoft Purview.

Método complementario 2: usar CMD y AuditPol para registrar la actividad local

Complementa la auditoría en el cloud siguiendo el acceso a los archivos de Outlook y el manejo de PST en los endpoints con Windows 11.

Caso de uso: despliégalo cuando necesites investigar exportaciones locales de datos sospechosas, cumplir normativas que exigen seguimiento de la actividad a nivel de endpoint o ganar visibilidad sobre acciones offline fuera del cloud.

Procedimiento paso a paso:

1. Abre el Símbolo del sistema (como administrador).
   • Ejecuta estas líneas de comandos:

:: Enable handle/file system tracking
auditpol /set /subcategory:"Handle Manipulation" /success:enable /failure:enable
auditpol /set /subcategory:"File System" /success:enable /failure:enable

2. Supervisa los eventos en el Visor de eventos (pulsa Win + R y escribe eventvwr.msc).
3. Ve a Registros de Windows → Seguridad.
4. Filtra por:
   • ID de evento 4663 (intentos de acceso a archivos).
   • ID de evento 4656 (creación de identificadores).

Tras la implementación, todos los intentos de acceso a archivos PST/OST empezarán a registrarse en los registros de seguridad. También podrás correlacionar las marcas de tiempo con los eventos del buzón compartido de Office 365 durante las investigaciones y detectar exportaciones de datos no autorizadas.

Aspectos a tener en cuenta

En esta sección se destacan posibles dificultades que conviene tener presentes al seguir esta guía.

Resolución de problemas con los grupos de seguridad de buzones compartidos

Resuelve rápido los problemas más habituales al proteger los buzones compartidos de Office 365 con estas soluciones concretas.

No se generan registros de auditoría

Si los eventos del buzón compartido de Office 365 no aparecen:

1. Comprueba que la auditoría está activada:

Get-Mailbox "[email protected]" | Select AuditEnabled

Si devuelve False, ejecuta Set-Mailbox -AuditEnabled $true.

2. Confirma las licencias:
   • Usuarios E1/E3: activa la auditoría a nivel de tenant desde Purview.
   • Licencias Business: hay que activar la auditoría del buzón manualmente (no está habilitada por defecto).

La política DLP no se aplica

Cuando las políticas ignoran los datos sensibles, revisa el ámbito en Purview → política DLP para asegurarte de que los buzones compartidos concretos están añadidos en Configuración avanzada. También conviene ajustar los niveles de confianza: edita la regla → aumenta la «precisión de coincidencia» para reducir los falsos negativos.

Otro punto importante: asegúrate de tener las licencias adecuadas (Exchange Online Plan 2).

Aspectos clave para proteger tus buzones compartidos

Refuerza la seguridad de tu buzón compartido de Office 365 con estas capas de protección imprescindibles.

1. Exige autenticación multifactor (MFA)

Exige MFA a todos los usuarios que accedan a buzones compartidos, sin excepciones. Así bloquearás muchos ataques de robo de credenciales.

• Ve a Microsoft Entra ID → Seguridad → MFA → Activar por usuario o mediante una política de acceso condicional.

También puedes usar Windows Hello o la aplicación Authenticator para un acceso sin fricciones.

2. Bloquea la autenticación heredada

Los protocolos heredados como POP3, IMAP4 y Exchange ActiveSync no admiten autenticación moderna ni MFA.

1. Ve a Microsoft Entra ID → Acceso condicional → Políticas → Nueva política.
2. En Condiciones → Aplicaciones cliente, selecciona Clientes de Exchange ActiveSync y otros clientes.
3. En Controles de acceso → Conceder, selecciona Bloquear el acceso.
4. Configura primero la política en modo «solo informe», revisa los registros de inicio de sesión y actívala después de validarla.

3. Desactiva las contraseñas de aplicación

Las contraseñas de aplicación pueden eludir los controles modernos de MFA, así que conviene retirarlas de forma progresiva.

• Desactiva la creación de nuevas contraseñas de aplicación en Microsoft Entra ID.
• Identifica las aplicaciones que todavía usan contraseñas de aplicación y migralas a la autenticación moderna.
• Mantén activa la política que bloquea la autenticación heredada para impedir el uso de las contraseñas de aplicación existentes.

Nota: no utilices el comando heredado Set-MsolUser, ya que el módulo MSOnline está retirado.

4. Implementa controles de acceso condicional

Restringe el acceso por IP, ubicación o cumplimiento del dispositivo. Por ejemplo, configura la política para permitir el acceso solo desde dispositivos con Windows 11 unidos de forma híbrida o conformes con Intune y desde los rangos de IP corporativos. Así bloquearás inicios de sesión de riesgo desde ubicaciones desconocidas o dispositivos personales.

5. Añade reglas de flujo de correo para alertas o cifrado

Marca o cifra automáticamente los correos sensibles enviados desde direcciones compartidas en Centro de administración de Exchange → Flujo de correo → Reglas; después, define la condición Remitente = [email protected] + palabras clave como «confidencial». A continuación, configura la acción para avisar a los administradores o cifrar con el cifrado de mensajes de Office 365.

También puedes combinarlo con una política DLP que active reglas cuando se detecten datos sensibles.

¿Cómo puede ayudarte NinjaOne a proteger los buzones compartidos?

Simplifica la protección de los buzones compartidos de Office 365 con estas integraciones clave:

Protege los buzones compartidos con grupos de seguridad

Blindar los grupos de seguridad de los buzones compartidos evita brechas muy costosas, como la fuga de datos de clientes desde tu bandeja soporte@empresa. Esta guía te ha dado las herramientas necesarias: registro de auditoría (PowerShell/Purview), políticas DLP y controles de acceso con mínimo privilegio para saber quién hizo qué y bloquear la exfiltración de datos sensibles.

Al aplicar estas capas, desde el cloud hasta el endpoint, convertirás unos buzones compartidos de riesgo en activos auditables y conformes con la normativa.

Temas relacionados

• Cómo configurar el DLP de Microsoft Purview
• ¿Qué es una auditoría de cumplimiento? Definición e importancia
• Cómo configurar la autenticación multifactor (MFA) en Office 365
• Protege tus comunicaciones: cómo enviar correos cifrados en Outlook y Office ‍365