Procedimientos recomendados para la seguridad de CSP

Todos los partners del programa Proveedor de soluciones en la nube (CSP) que acceden a Partner Center y a las API de Partner Center deben seguir las directrices de seguridad de este artículo para protegerse y proteger a los clientes.

Para la seguridad del cliente, consulte Procedimientos recomendados de seguridad del cliente. Para conocer los procedimientos recomendados para administrar las entidades de servicio, consulte Protección de las entidades de servicio en Microsoft Entra ID.

Pasos muy recomendados en los inquilinos

• Añada un contacto de seguridad para las notificaciones de incidencias relacionadas con la seguridad en el tenant de Partner Center.
• Consulte su puntuación de seguridad de identidad en Microsoft Entra ID y realice las acciones adecuadas para aumentar su puntuación.
• Revise y aplique las directrices documentadas en Gestión del impago, el fraude o el uso indebido.
• Familiarícese con el actor de amenazas NOBELIUM y los materiales relacionados:
  • NOBELIUM se centra en los privilegios administrativos delegados para facilitar ataques de mayor alcance
  • Formación sobre respuesta a NOBELIUM
  • Protección del canal: camino hacia la confianza cero

Procedimientos recomendados de identidad

Requiere autenticación multifactor

• Asegúrese de que todos los usuarios de sus directorios de Partner Center y de los directorios de sus clientes estén registrados para usar la autenticación multifactor (MFA) y tengan que usarla. Hay varias maneras de configurar MFA. Elija el método correspondiente al inquilino que está configurando:
  • El inquilino de mi Partner Center o de mi cliente tiene Microsoft Entra ID P1
    • Utilice Acceso condicional para aplicar la autenticación de dos factores (MFA).
  • El inquilino de mi Partner Center o de mi cliente tiene Microsoft Entra ID P2
    • Utilice Acceso condicional para aplicar la autenticación de dos factores (MFA).
    • Implementar directivas basadas en riesgos con Protección de Microsoft Entra ID.
    • Para tu tenant de Partner Center, puedes optar a Microsoft 365 E3 o E5, en función de tus beneficios de Derechos de uso interno (IUR). Estas SKU incluyen Microsoft Entra ID P1 o 2, respectivamente.
    • Para el inquilino de su cliente, recomendamos habilitar los valores predeterminados de seguridad.
      • Si el cliente usa aplicaciones que requieren autenticación heredada, esas aplicaciones no funcionarán después de habilitar los valores predeterminados de seguridad. Si la aplicación no se puede reemplazar, quitar o actualizar para usar la autenticación moderna, puede aplicar MFA a través de directivas de acceso condicional.
      • Puede supervisar y aplicar el uso de los valores predeterminados de seguridad del cliente mediante la siguiente llamada a Graph API:
        • tipo de recurso identitySecurityDefaultsEnforcementPolicy - Microsoft Graph v1.0 | Microsoft Learn
• Asegúrese de que el método MFA utilizado es resistente a la suplantación de identidad (phishing). Puede hacerlo mediante la autenticación sin contraseña o la coincidencia de número.
• Si un cliente se niega a usar MFA, no le conceda acceso a ningún rol de administrador de Microsoft Entra ID ni permisos de escritura en suscripciones de Azure.

Acceso a las aplicaciones

• Adopte el marco del modelo de aplicaciones seguras. Todos los asociados que se integran con las API de Partner Center deben adoptar el marco del modelo de aplicación segura para cualquier aplicación que use un modelo de autenticación de aplicación y usuario.
• Deshabilite el consentimiento del usuario en los tenants de Microsoft Entra de Partner Center o use el flujo de trabajo de consentimiento del administrador.

Privilegios mínimos/ Sin acceso permanente

• Los usuarios que tienen roles integrados con privilegios de Microsoft Entra no deben usar regularmente esas cuentas para el correo electrónico y la colaboración. Cree una cuenta de usuario independiente sin roles administrativos de Microsoft Entra para tareas de colaboración.
• Revise el grupo Agente de administración y quite las personas que no necesitan acceso.
• Revise periódicamente el acceso al rol administrativo en el identificador de Microsoft Entra y limite el acceso a las cuentas lo más pocas posible. Para más información, consulte Roles integrados de Microsoft Entra.
• Los usuarios que dejan la empresa o cambian de puesto dentro de la empresa deben eliminarse del acceso a Partner Center.
• Si tiene Microsoft Entra ID P2, use Privileged Identity Management (PIM) para aplicar el acceso justo a tiempo (JIT). Use la doble custodia para revisar y aprobar el acceso a los roles de administrador de Microsoft Entra y a los roles de Partner Center.
• Para proteger los roles con privilegios elevados, consulte Introducción a la protección del acceso con privilegios.
• Revise periódicamente el acceso a los entornos del cliente.
  • Eliminar los privilegios de administración delegada (DAP) inactivos
  • Preguntas frecuentes sobre GDAP.
  • Asegúrese de que las relaciones GDAP utilicen roles con los privilegios mínimos necesarios.

Aislamiento de identidad

• Evite alojar la instancia de Centro de partners en el mismo tenant de Microsoft Entra donde se alojan sus servicios internos de TI, como el correo electrónico y las herramientas de colaboración.
• Use cuentas de usuario independientes y específicas para los usuarios con privilegios de Partner Center que tengan acceso a clientes.
• Evite crear cuentas de usuario en los inquilinos de Microsoft Entra de cliente diseñados para que los partners administren el inquilino del cliente y los servicios y aplicaciones relacionadas.

Buenas prácticas de dispositivos

• Permita únicamente el acceso a Partner Center y al inquilino del cliente desde estaciones de trabajo registradas y en buen estado, con configuraciones de seguridad de referencia administradas y supervisadas para detectar riesgos de seguridad.
• Para los usuarios del Centro de partners con acceso con privilegios a entornos de cliente, considere la posibilidad de requerir estaciones de trabajo dedicadas (virtuales o físicas) para que esos usuarios accedan a entornos de cliente. Para obtener más información, consulte Protección del acceso con privilegios.

Procedimientos recomendados de la supervisión

API de Partner Center

• Todos los proveedores de paneles de control deben habilitar el modelo de aplicación segura y activar el registro de toda la actividad de los usuarios.
• Los proveedores del panel de control deben habilitar la auditoría de cada agente socio que inicie sesión en la aplicación, así como de todas las acciones realizadas.

Supervisión y auditoría de inicio de sesión

• Los partners con una licencia Microsoft Entra ID P2 pueden conservar automáticamente los datos de los registros de auditoría y de inicio de sesión durante un máximo de 30 días.

  Confirme que:

  • El registro de auditoría está habilitado cuando se utilizan cuentas de administrador delegadas.
  • Los registros capturan el nivel máximo de detalles proporcionados por el servicio.
  • Los registros se conservan durante un período aceptable (hasta 30 días) que permite la detección de actividades anómalas.

  Es posible que el registro de auditoría detallado requiera la compra de más servicios. Para obtener más información, consulte ¿Cuánto tiempo almacena Microsoft Entra ID los datos de informes?

• Revise y compruebe periódicamente las direcciones de correo electrónico de recuperación de contraseñas y los números de teléfono de Microsoft Entra ID para todos los usuarios con los roles de administrador de Entra con privilegios y actualice si es necesario.

  • Si el tenant de un cliente se ha visto comprometido: el socio de facturación directa de CSP, el proveedor indirecto o su revendedor indirecto no pueden ponerse en contacto con el soporte técnico para solicitar un cambio de la contraseña del administrador en el tenant del cliente. El Customer debe llamar al soporte de Microsoft siguiendo las instrucciones del tema Restablecer mi contraseña de administrador. El tema Restablecer mi contraseña de administrador tiene un vínculo que los clientes pueden usar para llamar al Soporte técnico de Microsoft. Indique al cliente que mencione que el CSP ya no tiene acceso a su inquilino para ayudar a restablecer la contraseña. El CSP debe considerar la posibilidad de suspender las suscripciones del cliente hasta que se recupere el acceso y se quiten las partes infractoras.

• Implemente los procedimientos recomendados de registro de auditoría y realice una revisión rutinaria de las actividades realizadas por las cuentas de administrador delegadas.

  • ¿Qué son los informes de Microsoft Entra?
  • Analizar registros de actividad con los registros de Azure Monitor
  • Referencia de las actividades de auditoría de Microsoft Entra

• Los asociados deben revisar el informe de usuarios de riesgo dentro de su entorno y abordar las cuentas que se detectan para presentar riesgos según las instrucciones publicadas.

  • Corregir los riesgos y desbloquear a los usuarios
  • Experiencias de los usuarios con Protección de Microsoft Entra ID

Contenido relacionado

• Requisitos de seguridad para socios
• Principios rectores de confianza cero
• Prácticas recomendadas de seguridad para clientes