Qué revisar en un tenant de Microsoft 365: cada día, cada semana, cada mes y cada trimestre

«¿Cada cuánto revisáis el tenant?» es la primera pregunta técnica que aparece cuando alguien se plantea poner un agente de IA a administrar su Microsoft 365. Y la respuesta que más se oye —«de forma continua»— es a la vez la más vendible y la menos cierta.

No es cierta porque no todo lo que hay que mirar en un tenant se detecta igual. Una parte son sucesos: pasan en un instante y a partir de ese instante son visibles. Otra parte son tendencias: no existen hasta que se acumulan datos suficientes. Mirar una tendencia cada cinco minutos no la adelanta; solo genera ruido y la sensación de que alguien está vigilando algo.

Esto es el calendario que usamos nosotros y el que montamos cuando implantamos un agente sobre el tenant de un cliente. Está escrito para quien va a tener que defenderlo delante de su comité, no para quien quiere una foto bonita de un panel.

Los dos relojes

Los sucesos se miden por ventana de exposición

Un alta de usuario, una licencia asignada, un administrador global nuevo, una regla de reenvío automático de correo recién creada: todo eso es visible desde el minuto en que ocurre. Aquí la pregunta no es «¿cuándo podré detectarlo?», sino «¿cuánto tiempo quiero que ese estado siga vivo sin que nadie lo sepa?».

Esa es la ventana de exposición, y es una decisión de riesgo, no técnica. Revisar a diario la acota en 24 horas. Revisar una vez por semana la acota en siete días, que para una cuenta de alguien que ya no está en la empresa es muchísimo, y para un reenvío automático creado por un atacante es una eternidad.

Las tendencias se miden por ventana de datos

«Esta licencia no se usa» no es un hecho de ayer: es una conclusión sobre un periodo. Los propios informes de uso de Microsoft 365 se publican sobre ventanas de 7, 30, 90 y 180 días, y los datos de actividad tardan en consolidarse. Si preguntas a diario si una licencia sobra, el número apenas se mueve y acabas con treinta avisos al mes que dicen lo mismo.

Además, el momento en que esa información sirve para algo no es diario: es el día antes de que se renueve la facturación. Una licencia que retiras una semana tarde ya está pagada entera.

Y un tercer factor: lo que cuesta equivocarse

Detectar es barato; actuar, no. Quitarle una licencia a una persona que resulta que sí la usaba es una incidencia; bloquear una cuenta de servicio porque «llevaba 60 días sin iniciar sesión» puede parar una integración. Por eso lo que tiene consecuencias se agrupa en una decisión periódica con una persona delante, y no en una acción automática diaria.

Cada día

Lo que es un hecho el día que pasa y cuyo coste crece con el tiempo que tarda en verse.

• Altas y bajas de usuarios contrastadas con la lista real de personal. Cuentas creadas o reactivadas fuera del procedimiento, y bajas que siguen con sesión activa.
• Licencias asignadas en las últimas 24 horas. Un E5 que alguien asigna «mientras tanto» es un cargo recurrente a partir de ese momento.
• Cambios en los roles de administración. Cualquier movimiento en administrador global, administrador de roles privilegiados o administrador de Exchange.
• Autenticación multifactor: usuarios sin ella, métodos eliminados y métodos nuevos registrados en cuentas con privilegios.
• Reglas de reenvío automático y delegaciones de buzón nuevas. Es la señal clásica de un buzón comprometido y no la nota nadie hasta que alguien pregunta por un correo que no llegó.
• Consentimientos nuevos a aplicaciones de terceros. Un usuario puede regalar acceso al correo de la empresa con dos clics.
• Inicios de sesión con riesgo y desde ubicaciones inhabituales, si el plan contratado incluye la detección de riesgo de identidad.
• Entregas fallidas, buzones bloqueados y volumen anómalo en cuarentena.
• Incidencias del servicio de Microsoft que afecten al tenant, para no diagnosticar durante dos horas algo que está caído en Redmond.

Cada semana

Lo que cambia con la actividad normal de la empresa y aguanta siete días sin convertirse en un problema.

• Dispositivos nuevos unidos al directorio o inscritos en la gestión de equipos, y los que han dejado de cumplir la política (cifrado, versión, antivirus).
• Grupos y equipos de Teams creados, y cuáles han quedado públicos sin pretenderlo.
• Compartición externa en SharePoint y OneDrive: enlaces «para cualquiera» creados esa semana y los que están a punto de caducar.
• Buzones compartidos con licencia asignada. Hasta 50 GB no necesitan licencia; es uno de los gastos invisibles más frecuentes.
• Cuentas sin actividad desde hace más de 30 días. Se anotan, todavía no se tocan.
• Reglas de transporte y conectores modificados.

Cada mes, pegado al ciclo de facturación

Lo que es tendencia y lo que cuesta dinero. Este informe tiene que llegar antes de la fecha de renovación, no después.

• Licencias asignadas frente a licencias usadas, con ventana de 30 días: cuáles se pueden retirar, y —más útil todavía— cuáles no se pueden retirar todavía y la condición exacta que lo impide (un compromiso anual, una aplicación que la exige, un buzón que depende de ella).
• Coste por departamento y comparación con el mes anterior, con la explicación de las diferencias.
• Almacenamiento cerca del límite en buzones, OneDrive y sitios de SharePoint.
• Cuentas inactivas desde hace 60 o 90 días: baja, o conversión a buzón compartido para conservar el correo sin pagar licencia.
• Puntuación de seguridad y qué recomendaciones se han movido, en un sentido o en otro.
• Repaso de los cambios del mes: qué se tocó, quién lo aprobó y qué se deshizo.

Cada trimestre

Lo que exige criterio y una conversación, no un listado.

• Revisión de accesos: quién tiene privilegios y si los sigue necesitando. Incluye las cuentas de servicio, que son las que nadie revisa nunca.
• Caducidad de secretos y certificados de las aplicaciones registradas, mirando 90 días por delante. Es la avería que tumba una integración un domingo.
• Prueba de restauración de verdad: recuperar un buzón o un sitio y comprobar el contenido. No vale con que el panel diga que la copia está hecha.
• Repaso de políticas de acceso condicional, retención y prevención de fuga de datos, contra lo que la empresa hace hoy y no contra lo que hacía cuando se escribieron.
• Plan de licencias frente a la renovación anual, que se negocia con meses de antelación, no la semana de antes.
• Baja de aplicaciones y conectores que ya no usa nadie.

Qué hace el agente y qué hace una persona

El agente recoge, cruza, compara contra el estado anterior y propone. Registra lo que ha mirado y cuándo. Escala a una persona en cuanto hay duda, y lo que tiene consecuencias lo decide una persona: retirar una licencia, bloquear una cuenta, cambiar una política.

No es un adorno de proceso. Es lo que hace que el listado de arriba sea sostenible: la parte repetitiva deja de depender de que alguien encuentre un hueco, y el criterio se reserva para donde hace falta.

Cómo se implanta, de verdad

La implantación es progresiva, y el calendario de arriba no se enciende entero el primer día. Al principio cada propuesta del agente se revisa a mano, y se corrige lo que no encaja con cómo funciona esa empresa en concreto: sus excepciones, sus cuentas raras, sus departamentos con reglas propias. Cuando un proceso lleva un tiempo proponiendo sin errores, pasa a rutina.

Cuánto tarda depende de la complejidad del tenant y de lo ordenada que esté la empresa por dentro, no de la tecnología. Un tenant pequeño y limpio son semanas. Uno con quince años de historia, varias adquisiciones y tres administradores que ya no están, bastante más.

El resumen, por si solo te llevas una cosa

La frecuencia no se elige por lo potente que sea la herramienta: se elige por la naturaleza del dato. Lo que es un suceso, a diario, porque lo que cuenta es cuánto tiempo sigue abierta la puerta. Lo que es tendencia, al mes y antes de facturar, porque es cuando sirve para decidir. Todo lo demás es ruido con aspecto de diligencia.