Seguridad en Microsoft 365: por qué una licencia Basic o Standard ya no alcanza

Business Basic y Business Standard incluyen la protección de correo integrada de Microsoft 365 y los valores de seguridad predeterminados de Microsoft Entra ID, con autenticación multifactor básica. No incluyen Acceso Condicional, que exige Microsoft Entra ID P1. Business Premium suma esa capa, administración de dispositivos con Intune, Defender para empresas, Defender para Office 365 Plan 1 y protección de la información, y es lo que frena el phishing, el robo de credenciales y los equipos sin control.

Qué incluye una licencia Basic o Standard en seguridad

Business Basic y Business Standard protegen lo esencial. Todo buzón en la nube de Microsoft 365 trae las funciones de seguridad integradas de Exchange Online Protection: antimalware, antispam, protección antiphishing contra suplantación (spoofing), cuarentena y eliminación automática de mensajes ya entregados. Están activas por defecto y no se pueden desactivar. Frenan bien el correo masivo y las amenazas conocidas.

En identidad, tu tenant cuenta con Microsoft Entra ID Free y con los valores de seguridad predeterminados (security defaults). Estos exigen que todos los usuarios registren la autenticación multifactor (MFA), piden MFA a los administradores, bloquean los protocolos de autenticación heredada y el flujo de código de dispositivo, y protegen el acceso a las herramientas de administración de Azure. Microsoft indica que la MFA junto con el bloqueo de la autenticación heredada detiene más de 99.9% de los ataques de identidad más comunes.

Es una base buena, y mucho mejor que no tener nada. Su límite es que funciona como un interruptor: activado o desactivado, sin personalización. No puedes pedir MFA solo fuera de la oficina, permitir únicamente equipos de la empresa ni bloquear inicios de sesión desde otros países. Para eso se necesita Acceso Condicional, que Microsoft licencia con Entra ID P1.

Las amenazas que una licencia básica no cubre bien

Las licencias Basic y Standard se diseñaron para productividad, y los atacantes saben que la mayoría de las pymes dejan la configuración de fábrica. Estas son las cuatro amenazas que más afectan a empresas de tu tamaño:

Phishing y robo de credenciales. Según el Microsoft Digital Defense Report 2025, más de 97% de los ataques de identidad son ataques de contraseña, y los ataques basados en identidad aumentaron 32% en el primer semestre de 2025. Microsoft afirma que la MFA puede bloquear más de 99% de los ataques basados en identidad, y que la MFA resistente al phishing mantiene esa eficacia aun cuando el atacante ya tiene un usuario y una contraseña válidos.

Compromiso de correo empresarial (BEC). El atacante se hace pasar por un gerente o un proveedor para desviar un pago. El informe 2025 del FBI (IC3) registra pérdidas por BEC de US$3,046 millones, la segunda categoría de fraude con mayores pérdidas reportadas, solo detrás del fraude de inversión. Son cifras de denuncias en Estados Unidos, pero el método es el mismo que se ve en cualquier país.

Contraseñas robadas y otras vías de entrada. El Verizon Data Breach Investigations Report 2026 indica que la explotación de vulnerabilidades, con 31% de las brechas, superó a las contraseñas robadas como principal forma de entrada. Dicho de otro modo, las contraseñas dejaron de ser la puerta principal, pero siguen siendo una de las más usadas, y por eso se protegen con más de una capa.

Dispositivos sin administrar. Una laptop personal sin cifrado, sin antivirus actualizado y con acceso al correo de la empresa es un riesgo que ningún filtro de correo resuelve. Aquí entra la administración de dispositivos.

Business Premium: identidad y Acceso Condicional

Business Premium, pensado para empresas de hasta 300 usuarios, incluye Microsoft Entra ID P1. Con él, el Acceso Condicional te deja definir reglas de inicio de sesión según quién entra, desde dónde, con qué dispositivo y a qué aplicación.

Ejemplos de reglas que se aplican con Acceso Condicional:

Cada regla reemplaza una decisión que en Basic o Standard es todo o nada. Un detalle técnico importante: al pasar a Acceso Condicional se desactivan los valores de seguridad predeterminados, y las políticas deben quedar activas de inmediato para no dejar un vacío. Microsoft ofrece políticas administradas que replican esas protecciones, pero conviene revisarlas y completarlas.

Las políticas basadas en riesgo del usuario o del inicio de sesión requieren Entra ID P2, que según la documentación de Microsoft no forma parte de Business Premium, aunque existen suites de seguridad adicionales para Business Premium que lo incluyen.

• Exigir MFA en todos los inicios de sesión, y no solo a los administradores.
• Bloquear la autenticación heredada, que no admite MFA y permite saltarse la protección.
• Permitir el acceso al correo y a SharePoint solo desde equipos que cumplen tus políticas.
• Exigir aplicaciones aprobadas o protección de aplicaciones en celulares personales.

Dispositivos: Intune y Defender para empresas

Business Premium incluye Microsoft Intune Plan 1, que permite inscribir, monitorear y administrar equipos Windows, Mac, iOS y Android. Con Intune defines políticas de cumplimiento (por ejemplo, exigir BitLocker, firewall y antivirus activos), y el Acceso Condicional usa ese resultado para dejar entrar solo a los equipos que cumplen. Si un equipo se pierde o se roba, puedes borrarlo de forma remota.

Para celulares personales existe la administración de aplicaciones: puedes exigir un PIN para abrir Outlook y evitar que se copien datos de la empresa a aplicaciones personales, sin administrar todo el celular.

Business Premium también incluye Microsoft Defender para empresas, la protección de endpoints diseñada para empresas de hasta 300 usuarios. Incluye protección de nueva generación, reducción de superficie de ataque, detección y respuesta en endpoints (EDR), investigación y remediación automatizadas, e interrupción automática de ataques. Si hoy tienes Basic o Standard, Microsoft ofrece Defender para empresas también por separado para organizaciones de hasta 300 usuarios, de modo que no tienes que cambiar de plan solo para proteger los equipos.

Correo y datos: Defender para Office 365 Plan 1 y Purview

La protección integrada de correo es una escalera con tres peldaños. El primero lo tienen todos los buzones. El segundo, Defender para Office 365 Plan 1, viene en Business Premium y en Microsoft 365 E3, y agrega Safe Links, Safe Attachments, protección contra suplantación de usuarios y dominios, y detecciones en tiempo real. Esto apunta directo al phishing dirigido y al BEC, porque revisa enlaces y archivos adjuntos antes de que alguien los abra.

Business Premium incluye además herramientas de Microsoft Purview para proteger la información: etiquetas de confidencialidad en correo y archivos, prevención de pérdida de datos (DLP) y cifrado de mensajes. Una regla de DLP puede avisar o bloquear cuando alguien intenta enviar por correo números de identificación o datos de tarjetas fuera de la empresa.

Estas funciones no se activan solas. Defender para Office 365 y Purview necesitan políticas, etiquetas y reglas ajustadas a tu operación; si se dejan en valores predeterminados, la licencia existe pero la protección es parcial.

Cuándo tienen sentido E3 y E5

Business Premium es el plan natural hasta 300 usuarios. Si tu empresa supera ese tamaño, o necesitas funciones de nivel empresarial, el camino son los planes Enterprise. Microsoft 365 E3 incluye Entra ID P1 y Defender para Office 365 Plan 1. Microsoft 365 E5 suma Entra ID P2, con políticas basadas en riesgo y detección de usuarios comprometidos, y Defender para Office 365 Plan 2, que añade simulaciones de phishing, investigación posterior a un incidente, búsqueda de amenazas y automatización.

Antes de saltar a Enterprise, revisa si Business Premium ya cubre lo que necesitas. Muchas empresas cambian de plan por costumbre y no por una necesidad real, y terminan con funciones avanzadas que nadie ha configurado. Un análisis de tus usuarios, tus datos sensibles y tus obligaciones de cumplimiento te dice si el salto se justifica.

La regla práctica: no elijas el plan por el nombre, elígelo por lo que vas a usar. Una empresa de 40 personas que activa Acceso Condicional, Intune y Defender para empresas en Business Premium está más protegida que una de 200 que paga un plan superior y lo deja con la configuración inicial.

Cómo te ayuda Techno a elegir y configurar

Comprar la licencia correcta es la mitad del trabajo. La otra mitad es configurarla. En Techno te ayudamos a escoger el plan según tus usuarios, tus dispositivos y tu nivel de riesgo, a migrar desde tu licencia actual y a dejar activas las protecciones que el plan incluye: MFA para todos, Acceso Condicional, administración de dispositivos y protección de correo.

También acompañamos a tu equipo en los cambios que verán, como la aprobación de inicio de sesión y el proceso para registrar un celular, para que los controles nuevos se entiendan y se usen desde el primer día.

Si quieres ver qué tienes hoy y qué estás pagando sin usar, empezamos con una revisión de tus licencias Microsoft. Si buscas un panorama más amplio, también trabajamos la ciberseguridad empresarial. Para comparar planes y ver cómo lo hacemos, visita nuestra página de Microsoft 365 Business.

Preguntas frecuentes

¿Business Standard incluye autenticación multifactor?

Sí, mediante los valores de seguridad predeterminados de Microsoft Entra ID, que exigen registrar MFA a todos los usuarios. Es una configuración de activado o desactivado. Para reglas más finas, como pedir MFA solo en ciertas situaciones o exigir equipos cumplidos, necesitas Acceso Condicional, que requiere Entra ID P1 (incluido en Business Premium).

¿Cuál es la diferencia entre Business Standard y Business Premium en seguridad?

Business Premium agrega Microsoft Entra ID P1 con Acceso Condicional, Intune Plan 1 para administrar dispositivos, Defender para empresas, Defender para Office 365 Plan 1 y herramientas de Purview como etiquetas de confidencialidad, DLP y cifrado de mensajes. Business Standard se enfoca en productividad con la protección integrada de correo y los valores de seguridad predeterminados.

¿Puedo proteger mis equipos sin cambiar de Standard a Premium?

En parte. Microsoft ofrece Defender para empresas por separado para organizaciones de hasta 300 usuarios con licencias como Business Basic o Standard. Eso cubre la protección de los equipos, pero no el Acceso Condicional ni el resto de capas de identidad y correo que trae Business Premium.

¿Con Business Premium ya estoy protegido?

La licencia da las herramientas, no la protección. Las políticas de Acceso Condicional, el cumplimiento de dispositivos, Safe Links, Safe Attachments y las reglas de DLP deben configurarse y revisarse con el tiempo. Sin esa configuración, gran parte de lo que pagas no está trabajando para ti.

¿Cuándo debería considerar E3 o E5 en lugar de Business Premium?

Cuando superas los 300 usuarios, o cuando necesitas funciones de nivel empresarial. E5 agrega Entra ID P2 con políticas basadas en riesgo y Defender para Office 365 Plan 2 con investigación y respuesta automatizadas.

Cuéntanos cuántos usuarios y dispositivos tienes y te ayudamos a elegir el plan y dejarlo configurado. Conoce Microsoft 365 Business con Techno

Fuentes

1. Microsoft Learn – Configure security defaults for Microsoft Entra ID: Qué activan los valores de seguridad predeterminados, la cifra de 99.9% para MFA junto con el bloqueo de la autenticación heredada, y que Acceso condicional requiere al menos Entra ID P1
2. Microsoft Learn – Microsoft Entra licensing: Entra ID P1 viene en Business Premium, E3 y E5; P2 en E5; Acceso condicional requiere P1; las políticas basadas en riesgo requieren P2
3. Microsoft Learn – Why do I need Microsoft Defender for Office 365?: Los niveles de protección: funciones incluidas, Plan 1 (Business Premium, E3) y Plan 2 (E5), y qué agrega cada uno
4. Microsoft Learn – Built-in security features for all cloud mailboxes: Antimalware, antispam, antiphishing y cuarentena incluidos en todos los buzones en la nube y activos por defecto
5. Microsoft Learn – What is Microsoft Defender for Business?: Incluido en Business Premium; disponible por separado para organizaciones con Business Basic o Standard de hasta 300 usuarios; lista de funciones
6. Microsoft Learn – Intune device and application management in Microsoft 365 Business Premium: Business Premium incluye Intune Plan 1: políticas de cumplimiento, Acceso condicional basado en el dispositivo y protección de aplicaciones en equipos personales
7. Microsoft Learn – Set up information protection capabilities in Business Premium: Etiquetas de confidencialidad, prevención de pérdida de datos de Purview y cifrado de mensajes en Business Premium
8. Microsoft Learn – Microsoft 365 Business Premium resources: Business Premium está pensado para empresas de hasta 300 usuarios
9. Microsoft On the Issues – Microsoft Digital Defense Report 2025: MFA puede bloquear más del 99% de los ataques de identidad; más del 97% de esos ataques son ataques a contraseñas; los ataques de identidad subieron 32% en el primer semestre de 2025
10. FBI Internet Crime Complaint Center – 2025 Internet Crime Report: Pérdidas reportadas por compromiso de correo empresarial (BEC) de US$3,046,598,558 en 2025
11. Verizon – 2026 Data Breach Investigations Report: La explotación de vulnerabilidades (31%) superó a las contraseñas robadas como la principal vía de entrada de los atacantes