Paso 1. Aumentar la seguridad del inicio de sesión de los trabajadores híbridos con MFA

Para aumentar la seguridad de los inicios de sesión de los trabajadores híbridos, use la autenticación multifactor (MFA). MFA requiere que los inicios de sesión de usuario estén sujetos a una comprobación adicional más allá de la contraseña de la cuenta de usuario. Incluso si un usuario malintencionado determina la contraseña de una cuenta de usuario, también debe poder responder a una comprobación adicional, como un mensaje de texto que se envía a un smartphone, antes de que se otorgue el acceso.

Para todos los usuarios, incluidos los trabajadores híbridos y especialmente los administradores, Microsoft recomienda encarecidamente la MFA.

Existen tres formas de requerir que los usuarios usen MFA basándose en su plan de Microsoft 365.

Plan	Recomendación
Todos los planes de Microsoft 365 (sin licencias P1 o P2 de identificador de Microsoft Entra)	Habilite los valores predeterminados de seguridad en Microsoft Entra id. Los valores predeterminados de seguridad de Microsoft Entra id. incluyen MFA para usuarios y administradores.
Microsoft 365 E3 (incluye licencias de Microsoft Entra ID P1)	Use Directivas comunes de acceso condicional para configurar las directivas siguientes: - Requerir MFA para los administradores - Requerir MFA para todos los usuarios - Bloquear la autenticación heredada
Microsoft 365 E5 (incluye licencias Microsoft Entra ID P2)	Aprovechando la característica en Microsoft Entra id., empiece a implementar el conjunto recomendado de acceso condicional de Microsoft y directivas relacionadas como: - Requerir MFA cuando el riesgo de inicio de sesión es medio o alto. - Bloquear clientes que no admiten la autenticación moderna. - Requerir que los usuarios de alto riesgo cambien su contraseña.

Valores predeterminados de seguridad

Los valores predeterminados de seguridad son una nueva característica para las suscripciones pago o de prueba de Microsoft 365 y Office 365 creadas después del 21 de octubre de 2019. Estas suscripciones tienen activados los valores predeterminados de seguridad, lo que requiere que todos los usuarios usen MFA con la aplicación Microsoft Authenticator.

Los usuarios tienen 14 días para registrarse en MFA con la aplicación Microsoft Authenticator desde sus teléfonos inteligentes, que comienzan a contar desde la primera vez que inician sesión después de que se hayan habilitado los valores predeterminados de seguridad. Transcurridos 14 días, el usuario no podrá iniciar sesión hasta que el registro de MFA se haya completado.

Los valores predeterminados de seguridad garantizan que todas las organizaciones tengan un nivel básico de seguridad para el inicio de sesión de usuario habilitado de forma predeterminada. Puede deshabilitar los valores predeterminados de seguridad y usar MFA con directivas de acceso condicional o para cuentas individuales.

Para más información, vea esta información general de los valores predeterminados de seguridad.

Directivas de acceso condicional

Las directivas de acceso condicional son un conjunto de reglas que especifican las condiciones en las que se evalúan y permiten los inicios de sesión. Por ejemplo, puede crear una directiva de acceso condicional que indique lo siguiente:

• Si el nombre de la cuenta de usuario es miembro de un grupo de usuarios a los que se han asignado los roles de administrador de Exchange, de usuarios, de contraseñas, de seguridad, de SharePoint o global, requerir MFA antes de permitir el acceso.

Esta directiva le permite exigir MFA en función de la pertenencia a grupos, en lugar de intentar configurar cuentas de usuario individuales para MFA cuando se asignan o se quitan estos roles de administrador.

También puedes usar directivas de acceso condicional para funcionalidades más avanzadas, como requerir que el inicio de sesión se haga desde un dispositivo compatible, como el portátil que ejecuta Windows 11 o 10.

El acceso condicional requiere licencias de Microsoft Entra ID P1, que se incluyen con Microsoft 365 E3 y E5.

Para más información, vea esta información general sobre el acceso condicional.

compatibilidad con Protección de id. de Microsoft Entra

Con Protección de id. de Microsoft Entra, puede crear una directiva de acceso condicional adicional que indique lo siguiente:

• Si el riesgo del inicio de sesión se determina como medio o alto, requerir MFA.

Protección de id. de Microsoft Entra requiere licencias Microsoft Entra ID P2, que se incluyen con Microsoft 365 E5.

Para más información, consulte Acceso condicional basado en riesgos.

Con Protección de id. de Microsoft Entra, también puede crear una directiva para requerir que los usuarios se registren en MFA. Para obtener más información, consulte Configuración de la directiva de registro de autenticación multifactor Microsoft Entra

Usar estos métodos conjuntamente

Tenga en cuenta lo siguiente:

• No puede habilitar los valores predeterminados de seguridad si tiene habilitadas directivas de acceso condicional.
• No puede habilitar ninguna directiva de acceso condicional si tiene habilitados los valores predeterminados de seguridad.

Si los valores predeterminados de seguridad están habilitados, se le pedirá al usuario el registro de MFA y el uso de la aplicación Microsoft Authenticator.

Esta tabla muestra los resultados de habilitar MFA con los valores predeterminados de seguridad y las directivas de acceso condicional.

Método	Habilitado	Deshabilitado	Método de autenticación adicional
Valores predeterminados de seguridad	No se pueden usar directivas de acceso condicional	Se pueden usar directivas de acceso condicional	Aplicación Microsoft Authenticator
Directivas de acceso condicional	Si hay alguna habilitada, no puede habilitar los valores predeterminados de seguridad	Si se deshabilitan todos, puede habilitar los valores predeterminados de seguridad	Especificado por el usuario durante el registro de MFA

Permitir que los usuarios puedan restablecer sus propias contraseñas

El Restablecimiento de Contraseña de Autoservicio (SSPR) permite a los usuarios restablecer sus contraseñas sin que el personal de TI deba actuar. Los usuarios pueden restablecer las contraseñas rápidamente en cualquier momento y desde cualquier sitio. Para obtener más información, consulte Planeamiento de una implementación de autoservicio de restablecimiento de contraseña de Microsoft Entra.

Inicio de sesión en aplicaciones SaaS con Microsoft Entra id.

Además de proporcionar autenticación en la nube a los usuarios, Microsoft Entra identificador también puede ser la forma central de proteger todas las aplicaciones, ya sean locales, en la nube de Microsoft o en otra nube. Al integrar las aplicaciones en Microsoft Entra identificador, puede facilitar a los trabajadores híbridos detectar las aplicaciones que necesitan e iniciar sesión en ellas de forma segura.

Recursos técnicos de administración para MFA e identidad

• Las cinco principales formas en que el identificador de Microsoft Entra puede ayudarle a habilitar el trabajo remoto
• Infraestructura de identidad para Microsoft 365
• Vídeos de entrenamiento de id. de Azure Academy Microsoft Entra

Resultado del paso 1

Después de la implementación de MFA, los usuarios:

• Están obligados a usar MFA para iniciar sesión.
• Han completado el proceso de registro de MFA y usan MFA para todos los inicios de sesión.
• Pueden usar SSPR para restablecer sus propias contraseñas.

Paso siguiente

Continúe con el paso 2 para proporcionar acceso remoto a servicios y aplicaciones locales.