1. Características de seguridad en
Microsoft Online Services
Notas del producto
Publicación: octubre de 2008
A menudo las empresas muestran su preocupación por la seguridad cuando consideran la
posibilidad de utilizar el modelo de Software Plus Services (SPS) en las aplicaciones clave de
comunicación y colaboración. La seguridad del acceso, el almacenamiento y la recuperación
de los datos de una organización constituye un factor crucial, como lo es la privacidad de
esos datos en el entorno de los servicios en línea. Después de revisar los motivos de
preocupación más habituales relacionados con la seguridad y la privacidad, se han
confeccionado estas notas del producto donde se explica cómo la preocupación de Microsoft
por la seguridad, tal y como se define en la iniciativa Trustworthy Computing (computación
confiable), ha llevado al desarrollo de características clave para el diseño, la implementación
y el funcionamiento del entorno de SPS de Microsoft Online Services.
Para obtener la información más reciente de Microsoft Online Services, visite Microsoft
Online Services.
La seguridad es una cuestión de vital importancia para nuestros clientes. Los servicios en
línea de Microsoft se han confeccionado desde su concepción para que su diseño, sus
características predeterminadas y su funcionamiento sean más seguros, con la validación de
Cybertrust Certification.
– David Thompson, Vicepresidente Corporativo, Grupo de servicios en línea para empresas,
Microsoft Corporation

2. La información contenida en este documento representa la visión actual de Microsoft Corporation de
los aspectos tratados en el momento de su publicación. Dado que Microsoft debe responder a las
condiciones variables del mercado, no se debería interpretar como un compromiso por parte de
Microsoft y Microsoft no puede garantizar la exactitud de cualquier información presentada después
de la fecha de publicación.
Estas notas del producto tienen un carácter meramente informativo. MICROSOFT NO OTORGA
NINGUNA GARANTÍA EXPRESA, IMPLÍCITA O ESTATUTARIA RESPECTO A LA
INFORMACIÓN DE ESTE DOCUMENTO.
Es responsabilidad del usuario el cumplimiento de todas las leyes de derechos de autor aplicables.
Sin limitación de los derechos de autor, ninguna parte de este documento puede ser reproducida,
almacenada o introducida en un sistema de recuperación, ni transmitida de ninguna forma ni por
ningún medio (ya sea electrónico, mecánico, por fotocopia, grabación o de otra manera), con ningún
propósito, sin la previa autorización por escrito de Microsoft Corporation.
Microsoft puede ser titular de patentes, solicitudes de patentes, marcas, derechos de autor y otros
derechos de propiedad intelectual sobre los contenidos de este documento. El suministro de este
documento no le otorga ninguna licencia sobre estas patentes, marcas, derechos de autor u otros
derechos de propiedad intelectual, a menos que ello se prevea en un contrato por escrito de licencia
de Microsoft.
A menos que se indique lo contrario, las compañías, organizaciones, productos, nombres de dominio,
direcciones de correo electrónico, logotipos, personas, lugares y eventos de ejemplo aquí
mencionados son ficticios. No se pretende indicar ni debe deducirse ninguna asociación con
compañías, organizaciones, productos, nombres de dominio, direcciones de correo electrónico,
logotipos, personas, lugares y eventos reales.
© 2008 Microsoft Corporation. Reservados todos los derechos.
Microsoft, Active Directory, ActiveX, Outlook, SharePoint, Windows y Windows Server son marcas
del grupo de compañías de Microsoft.
Todas las demás marcas pertenecen a sus respectivos propietarios.

3. Contenido
Introducción: ¿Por qué Software Plus Services?......................................................................4
Problemas de seguridad comunes........................................................................................4
Ofertas de Microsoft Online Services: Creación de un entorno más seguro para SPS........5
Seguridad para usuarios y administradores..............................................................................5
La Aplicación de conexión....................................................................................................6
Seguridad para el intercambio de datos................................................................................6
Seguridad para las aplicaciones cliente ...............................................................................7
Herramientas y servicios de desarrollo.................................................................................7
Archivado para la continuidad de la actividad.......................................................................8
Administración del correo electrónico...................................................................................9
Seguridad para el software de servicio...................................................................................11
Seguridad para productos hospedados..............................................................................11
Una plataforma de hospedaje reforzada.............................................................................11
Riesgos específicos y operaciones de mitigación...............................................................12
Seguridad para el entorno de hospedaje.................................................................................13
Puntos de diseño clave de la arquitectura..........................................................................13
Seguridad física..................................................................................................................14
Ejecución del servicio: Microsoft Operations Famework y Microsoft Solutions Framework14
Conclusión...............................................................................................................................16
Información adicional...............................................................................................................17
Microsoft Online Services ..................................................................................................17
Seguridad y operaciones....................................................................................................17
Privacidad...........................................................................................................................17

4. Introducción: ¿Por qué Software Plus Services?
Un software clave de comunicación representa un gasto considerable para las pequeñas y
medianas empresas. Además de los costos lógicos de la obtención de licencias de software y
la adquisición del entorno de hardware necesario, hay que hacer frente a otros gastos menos
inmediatos como, por ejemplo, los costos derivados del mantenimiento, del soporte técnico,
del retraso en los plazos de comercialización y de los requisitos de personal de
administración especializado. Los servicios de comunicación y colaboración no forman parte
de la actividad principal de la mayor parte de estas empresas, por lo que tienen que desviar
recursos de las operaciones esenciales.
Software Plus Services (SPS) brinda a estas empresas la oportunidad de utilizar el software
que necesitan sin preocuparse de su funcionamiento y administración. El soporte técnico del
servidor, caro y complejo, puede contratarse para los servicios que se desarrollan con las
conexiones de Internet de banda ancha actuales, en tanto que los servicios pueden
configurarse de forma sencilla y rápida con unos costos iniciales y unos gastos de licencias
de software mínimos. El mantenimiento de hardware y software corre a cargo del proveedor
de SPS, por lo que las empresas pueden centrarse en su actividad principal y olvidarse de
las cuestiones tecnológicas.
En numerosas ocasiones, las empresas ya tuvieron que hacer una inversión considerable en
aplicaciones de escritorio. Con Microsoft Online Services, pueden optar por derivar los
servicios back-end de estas aplicaciones a servidores de correo electrónico en línea, web y
de comunicaciones. En muchas de estas aplicaciones, los servicios back-end tienen el valor
agregado de admitir el acceso mediante el explorador, lo que permite que los usuarios
puedan obtener acceso a sus datos siempre que dispongan de una conexión a Internet.
Algunos servicios de SPS, como los que ofrecen características de filtrado de mensajes de
correo electrónico y características contra correo no deseado, están destinados a mejorar la
seguridad. Sin embargo, la seguridad del propio servicio sigue siendo, a menudo, un
problema importante para las empresas que piensan en confiar sus datos y sus operaciones
diarias a un proveedor de SPS.
En las secciones siguientes se describe cómo Trustworthy Computing (computación
confiable), la principal garantía de Microsoft para confeccionar software y servicios que
ayuden mejor a proteger a los clientes y la industria, se ha integrado en la iniciativa de
Microsoft SPS.
Problemas de seguridad comunes
A primera vista, parece que los datos críticos están más seguros si se guardan de forma
interna que si se almacenan en servidores de terceros y se transfieren a través de Internet.
Además, a las organizaciones que utilizan un entorno de servicios en línea pueden
preocuparles las consecuencias que tendría en los datos del host si se produjera un ataque
sobre la plataforma de hospedaje de los servicios.
La continuidad de los servicios también supone un problema. En muchos casos podría
implicar la pérdida de datos o el acceso no autorizado, pero también podrían perderse
ingresos si algunos servicios esenciales dejaran de estar disponibles por una infracción de
seguridad.
Microsoft utiliza un enfoque holístico en la protección del entorno de SPS con la
implementación de medidas de seguridad para los tres principales componentes del servicio:
los usuarios y administradores, el software que proporciona el servicio y el hardware y
software que conforman el propio entorno de hospedaje del servicio.
• Usuarios y administradores. Las amenazas más conocidas para los usuarios y los
administradores del servicio tienen que ver con la transmisión de los datos entre las

5. instalaciones de la empresa y el servidor en línea. A través de estos ataques del tipo
“Man in the middle”, puede interceptarse, sustituirse y reproducirse la información.
Los usuarios deben confiar en que sus sesiones son seguras sin necesidad de tener
que realizar complejos o molestos esfuerzos de seguridad por su parte.
• El software que proporciona el servicio. Las aplicaciones también corren riesgos,
sobre todo si no se han diseñado o configurado específicamente para utilizarse en un
entorno de SPS. Las aplicaciones y los servicios deben concebirse y diseñarse
atendiendo a la seguridad como fundamento operativo básico.
• El entorno de hospedaje del hardware y software. La propia plataforma de
servicio debe reducir los riesgos utilizando las medidas de seguridad diseñadas en
los componentes de red, los sistemas de redundancia y conmutación por error, los
servicios de directorio y hospedaje de sitios web y las operaciones de
almacenamiento de datos. Otro problema crucial del entorno de hospedaje es la
seguridad física de las instalaciones del proveedor y la calidad, confiabilidad y
preparación del personal de administración y operaciones.
En estas notas del producto se explica cómo Microsoft Online Services aborda estos
problemas con tecnologías probadas que permiten que las empresas incrementen su
seguridad mientras aprovechan todas las ventajas de Software Plus Services.
Ofertas de Microsoft Online Services: Creación de un entorno más
seguro para SPS
Microsoft hospeda y utiliza aplicaciones y servicios de Microsoft en una plataforma basada en
Microsoft Windows Server® cuya eficacia está probada y demostrada. Los usuarios y
administradores de las empresas utilizan aplicaciones que ya conocen para obtener acceso a
los servicios elegidos. Las aplicaciones trabajan con comunicaciones seguras siempre que se
disponga de acceso a Internet. La complejidad de la administración y protección de estas
aplicaciones y los datos asociados es tarea de Microsoft.
Las ofertas de Microsoft Online Services incluyen:
• Correo electrónico y calendario: Microsoft Office Outlook® 2007, junto con
Microsoft Exchange Server 2007, ofrece una experiencia avanzada de Outlook.
• Colaboración de documentos: Microsoft SharePoint® Online ofrece una
plataforma en la que los empleados pueden trabajar en los mismos documentos,
administrar proyectos y utilizar mensajería instantánea para comunicarse con su
equipo.
• Exchange Hosted Filtering: proporciona características de filtrado de mensajes de
correo electrónico para la eliminación de correo no deseado y virus.
• Microsoft Office Live Meeting: servicio hospedado de conferencias web que
permite a los empleados realizar conferencias, eventos y cursos de forma interactiva
y en directo.
• Servicios de archivado y continuidad: mantiene un archivo de los mensajes de
correo electrónico para que los usuarios puedan buscar y reemplazar elementos
rápidamente y ayuda a que el correo electrónico de las organizaciones esté
disponible ininterrumpidamente.
Seguridad para usuarios y administradores
Es importante proporcionar a los usuarios finales y los administradores de servicios
características que ayuden a proteger sus sesiones de servicio en línea. Al requerir una
Características de seguridad en Microsoft Online Services 5 5

6. menor intervención del usuario, resulta más fácil mantener la protección de la organización
en su conjunto.
La Aplicación de conexión
Las organizaciones que se suscriben a Microsoft Online Services pueden distribuir una
Aplicación de conexión a todos los usuarios. La Aplicación de conexión administra el proceso
a través del cual se proporcionan contraseñas y se realiza el registro en los servicios de los
componentes a los que está suscrita la organización de los usuarios. La herramienta
proporciona una sencilla plataforma de lanzamiento de las aplicaciones y facilita la
experiencia del usuario durante la primera ejecución. También simplifica el uso de
contraseñas seguras y emplea un único inicio de sesión, lo que evita que los usuarios tengan
que escribir su contraseña varias veces durante la sesión de Microsoft Online Services.
La finalidad de la Aplicación de conexión es mejorar la seguridad al simplificar los requisitos
necesarios para cumplir los procedimientos de seguridad y minimizar la complejidad de
cualquier intervención del usuario que se requiera. Por ejemplo, cuando los usuarios tengan
que especificar una nueva contraseña segura, se utilizará un mecanismo de información
visual para indicar la seguridad relativa de la contraseña elegida a medida que se escribe. Si
la contraseña no resulta aceptable después de compararla con las reglas de contraseñas
seguras vigentes en el servicio back-end, se mostrarán mensajes de ayuda que asesorarán
al usuario durante la creación de una contraseña aceptable.
Mantenimiento de aplicaciones
Es importante realizar periódicamente comprobaciones de seguridad en el lado cliente y,
para que este proceso sea efectivo, todas las herramientas y aplicaciones implicadas tienen
que estar actualizadas. La Aplicación de conexión trabaja con Windows Update para
garantizar que siempre se ejecutan las últimas versiones del software de cliente de correo
electrónico y las mejoras de seguridad más recientes.
Cuando los usuarios se conectan a Microsoft Online Services, la Aplicación de conexión
obtiene información actualizada sobre la configuración necesaria y la compara con la
configuración del equipo del usuario. La Aplicación de conexión advierte a los usuarios
cuando en sus equipos se registran errores o diferencias de configuración y permite resolver
estos problemas sin la intervención del usuario o con una intervención mínima.
La propia Aplicación de conexión debe estar siempre actualizada y no permitirá que los
usuarios se conecten hasta que se realice automáticamente la actualización.
Si una determinada aplicación está obsoleta o no se puede seguir utilizando con el servicio,
la Aplicación de conexión advierte al usuario de que la aplicación ya no puede conectarse al
servidor y debe actualizarse.
Una característica clave del proceso de mantenimiento de las aplicaciones es que tiene que
ser lo más simple, automatizado y transparente posible.
Seguridad para el intercambio de datos
Para el intercambio de datos con Microsoft Online Services, se utiliza la implementación del
protocolo Seguridad de la capa de transporte (TLS) estándar del sector de Microsoft. TLS
contribuye a proteger los datos en distintos niveles a través de la autenticación de servidor, el
cifrado de datos y la integridad de los datos. Dado que TLS se implementa bajo la capa de la
aplicación, constituye un mecanismo de seguridad pasivo que no requiere ningún otro paso o
procedimiento del usuario. Gracias a esto, las aplicaciones cliente y sus usuarios no tienen
que conocer las comunicaciones seguras y estarán mejor protegidos de los atacantes.
Estas características ayudan a proteger los datos de ataques malintencionados y daños
accidentales y están destinadas a evitar las amenazas web habituales.
Características de seguridad en Microsoft Online Services 6 6

7. Los equipos cliente utilizan aplicaciones conocidas de probada calidad, como Microsoft
Outlook y Microsoft Internet Explorer®, para administrar y utilizar Microsoft Online Services.
La seguridad de estas aplicaciones se basa en conexiones TLS que se establecen en un
intervalo de entre 40 bits y 256 bits con estrictas directivas de contraseña. Microsoft utiliza el
servicio de infraestructura de clave pública (PKI) administrado de VeriSign en las claves de
TLS supervisadas por el equipo de operaciones de Microsoft Online Services.
Microsoft controla de forma activa su red global y utiliza herramientas de análisis de tráfico
personalizadas para medir la tendencia normal o anómala del tráfico de la red con el fin de
detectar precozmente los primeros signos de una posible actividad malintencionada.
Seguridad para las aplicaciones cliente
Las prácticas de seguridad de cualquier servicio web deben comenzar por las aplicaciones
cliente que se utilizan para obtener acceso al servicio.
Microsoft Office proporciona nuevos métodos y características que facilitan la administración
de la seguridad de aplicaciones y documentos. Las siguientes características relacionadas
con la seguridad de Microsoft Office permiten establecer un entorno del lado cliente más
seguro:
• Seguridad de macros: ayuda a controlar la activación de código ejecutable
incrustado en una plantilla, documento, libro, presentación, plan del proyecto y, en la
mayoría de los casos, los objetos vinculados a estos archivos de almacenamiento a
través de un vínculo de OLE o una conexión de intercambio dinámico de datos
(DDE).
• Revocación de certificados: las aplicaciones de Office comprueban siempre todos
los ejecutables que se cargan y buscan un certificado válido y actualizado antes de
ejecutarlos. Esto permite ejercer un control centralizado de estos ejecutables, cuya
ejecución puede impedirse en todos los equipos cliente con la revocación de sus
certificados.
• Orígenes de confianza: las firmas digitales controlan y autentican la instalación y
ejecución de aplicaciones, scripts y controles del lado cliente.
• Controles de Microsoft ActiveX®: hay numerosas opciones de configuración
disponibles para controlar el comportamiento automático del acceso a los datos o del
almacenamiento e intercambio de información.
• Contraseña y cifrado: ayuda a proteger los documentos, los datos adjuntos y los
espacios compartidos.
• Opciones de privacidad: quitan los datos específicos del usuario u organización de
los documentos.
• Administración de derechos: permite a los administradores configurar las
características de las aplicaciones de Microsoft Office para todos los usuarios o
grupos de usuarios (incluidas las opciones de seguridad que se describen en esta
lista).
Herramientas y servicios de desarrollo
El compromiso de Microsoft de generar código más seguro pasa por sus propias directivas y
procedimientos internos y se extiende hasta la comunidad de programadores en su conjunto.
Los programadores crean las aplicaciones utilizando Common Language Runtime y .NET
Framework, lo que facilita el uso de una seguridad basada en funciones y criptografía,
además de proporcionar clases y servicios que permiten a los programadores escribir
Características de seguridad en Microsoft Online Services 7 7

8. fácilmente código más seguro. Estas clases y servicios también permiten a los
administradores del sistema personalizar el acceso de dicho código a recursos protegidos.
Archivado para la continuidad de la actividad
Una cuestión clave en la protección de las operaciones empresariales es el mantenimiento
de dichas operaciones en caso de que se produzcan errores en las aplicaciones o pérdidas
de datos. El acceso al servicio de correo electrónico y a las transacciones históricas
realizadas a través del correo electrónico constituye un factor importante tanto por la
continuidad de la actividad como por requisitos de cumplimiento legal.
Microsoft Online Services incluye una opción de archivado hospedada que proporciona
herramientas avanzadas de archivado de mensajes y herramientas de cumplimiento para
mensajes de correo electrónico, mensajes instantáneos y mensajes de correo de Bloomberg.
Este archivo hospedado tiene las características siguientes:
• Acceso práctico: dado que se trata de una herramienta para la continuidad de la
actividad, los administradores y usuarios finales del correo electrónico pueden
obtener acceso al archivo para recuperar mensajes que pudieran haberse perdido o
eliminado en el entorno de correo electrónico principal.
• Recepción de correo ininterrumpida: si el envío normal de mensajes de correo
electrónico se bloquea porque el entorno de correo principal se queda inactivo o la
red corporativa no está disponible, los mensajes siguen copiándose en el archivo
hospedado. Los mensajes originales se mantienen en la cola y se envían cuando se
restablece el entorno de correo electrónico principal.
• Base de datos completamente indizada: cuando se archivan los mensajes, se
indizan por texto completo con los metadatos, el cuerpo del mensaje y todos los
datos adjuntos guardados en la base de datos. Todos los servidores de bases de
datos tienen bases de datos operativas en modo de espera en una ubicación
diferente. Las bases de datos principales envían periódicamente registros de las
transacciones a las bases de datos secundarias correspondientes a través del
protocolo de shell seguro (SSH) y mediante la programación periódica y formal de
copias de seguridad, queda garantizada la redundancia de los datos archivados de
los clientes.
Acceso basado en funciones al material archivado
La seguridad basada en funciones es una característica de los sistemas operativos y
servicios de Windows Server que permite realizar una administración centralizada de las
funciones de seguridad de los individuos y grupos de una organización. Las funciones
asignadas garantizan que solo un grupo de usuarios específico dispone de determinados
permisos, de modo que pueden concederse los privilegios más bajos para una determinada
operación.
Por ejemplo, en la tabla siguiente se muestra el modo en que la seguridad basada en
funciones controla el acceso administrativo en el servicio Hosted Archive utilizando una
asociación entre los privilegios y las funciones de usuario con un alto grado de granularidad.
Funciones y permisos utilizados en el servicio Hosted Archive
Función Descripción
Administrador de Puede consultar todos los mensajes de correo electrónico de los
Características de seguridad en Microsoft Online Services 8 8

9. cumplimiento usuarios y ejecutar todos los informes. Puede actualizar cualquier
cuenta.
Operador de Función con menos privilegios que el Administrador de cumplimiento.
cumplimiento Esta persona puede configurar las reglas de supervisión y ejecutar
informes básicos.
Auditor de Función destinada a una persona ajena a la organización que
cumplimiento revisará los mensajes de las personas que requieren supervisión.
externo
Administrador Puede consultar íntegramente sus propios mensajes de correo
técnico electrónico y la información del encabezado de los mensajes de
todos los demás usuarios.
Operador técnico Función con menos privilegios que el Administrador técnico. También
puede ejecutar algunos informes básicos.
Seguimiento Permite que un supervisor pueda ver los mensajes de sus
subordinados asignados. Esta función solo puede asignarse a las
personas que ya tienen la función de supervisor.
Operador de Tiene acceso limitado a los mensajes de correo electrónico de los
seguimiento usuarios para ayudar en la búsqueda de mensajes. No puede
consultar el cuerpo de los mensajes; puede etiquetar los resultados
de un mensaje por otra persona o compartir los resultados en una
carpeta con otro usuario.
Supervisor Puede revisar los mensajes de correo electrónico, los mensajes
instantáneos y las transcripciones de Bloomberg de los subordinados
que requieran revisión.
Director de RR.HH. Puede ejecutar algunos informes básicos y asignar delegados.
Administrador de Esta función complementaria está destinada a los usuarios finales
funciones que ya tienen derechos administrativos. Permite a estos usuarios
asignar funciones a otros usuarios.
Responsable de Debe iniciar sesión antes de que ningún usuario pueda obtener
seguridad acceso a los mensajes de correo electrónico de otro usuario.
Trabajador Función predeterminada con el menor número de privilegios. Las
personas asignadas a esta función solamente pueden consultar sus
propios mensajes archivados.
En la documentación de Microsoft Online Services se incluye información detallada sobre la
asignación de funciones a cargos específicos del servicio Hosted Archive.
Administración del correo electrónico
Existen importantes diferencias entre la protección de los datos, la aplicación de directivas
que determinan el modo en que se guardan y se administran los datos y el mantenimiento de
la privacidad de los datos. Estas tres características se combinan para confeccionar un
servicio más seguro.
Características de seguridad en Microsoft Online Services 9 9

10. Seguridad
El correo no deseado y los virus son algunos de los riesgos de seguridad más conocidos, por
lo que en Microsoft Exchange Online se han habilitado de forma predeterminada unos
eficaces filtros de correo no deseado.
Por otra parte, la administración de filtros personalizados de correo no deseado permite a los
administradores de servicios de la organización seleccionar diferentes atributos de contenido
de un mensaje para que se incremente la puntuación de dicho mensaje como correo no
deseado (la probabilidad de que el mensaje se ponga en cuarentena por ser un mensaje no
deseado) o les permite poner directamente en cuarentena aquellos mensajes que contienen
determinados atributos. Las direcciones IP de origen y destino pueden bloquearse
explícitamente y los encabezados, el contenido y los datos adjuntos de los mensajes pueden
comprobarse para determinar riesgos de seguridad comunes. Cada uno de los elementos
siguientes puede aumentar la puntuación de correo no deseado de un mensaje o marcar
directamente el mensaje como correo no deseado:
• Vínculos de imagen a sitios remotos
• Dirección IP numérica en dirección URL
• Redireccionamiento de direcciones URL a otro puerto
• Dirección URL de sitios web .biz o .info
• Mensajes vacíos
• JavaScript o VBScript en HTML
• Etiquetas Frame o IFrame en HTML
• Etiquetas Object en HTML
• Etiquetas Embed en HTML
• Etiquetas Form en HTML
• Errores web en HTML
• Palabras que están en la lista de palabras prohibidas
• Direcciones manipuladas (establecidas por el protocolo Marco de directivas de
remitente)
El servicio de filtrado de correo electrónico envía una notificación a los administradores
cuando los mensajes se clasifican como correo no deseado. Los administradores pueden
revisar estos mensajes o permitir que los usuarios revisen algunos o todos sus mensajes
bloqueados.
Directivas
Los administradores pueden precisar el comportamiento de los filtros de correo electrónico
en función de un gran número de reglas de directiva disponibles en el Centro de
administración del servicio de correo electrónico hospedado. Los mensajes de entrada y
salida pueden bloquearse, redirigirse o modificarse de algún otro modo en función de su
contenido, sus datos adjuntos o los campos que contenga.
Los filtros de directivas ofrecen muchas opciones, como la búsqueda de archivos adjuntos
comprimidos, el cifrado y descifrado de mensajes y el bloqueo de contenido ejecutable, entre
otras. Las reglas de expresiones regulares (Regex) permiten filtrar datos confidenciales,
como números de seguridad social o información de la tarjeta de crédito. Puede asignarse
una fecha de vencimiento a cualquier regla y una función "de prueba" que permita valorar el
efecto de una o varias reglas antes de aplicar la nueva directiva al dominio o la organización.
Características de seguridad en Microsoft Online Services 10 10

11. Privacidad
Microsoft considera que los datos del cliente son privados y adoptará las medidas habituales
que estime razonables para ayudar a proteger la confidencialidad de los mensajes de correo
electrónico de los clientes.
El protocolo Seguridad de la capa de transporte (TLS) ayuda a proteger los mensajes contra
cualquier tipo de manipulación o acceso no autorizado durante su transmisión. Además,
cuando se almacenan los mensajes (durante el servicio de archivado), se aplican controles
de acceso a todos los mensajes guardados para impedir el acceso no autorizado.
Por otra parte, los servicios hospedados se benefician de los procedimientos y directivas de
privacidad integrados en los procesos de desarrollo e implementación de software de
Microsoft. Las normativas de SDL (Security Development Lifecycle) proporcionan un conjunto
de directrices para el desarrollo e implementación de software destinado a consumidores,
software destinado a empresas y servicios web de Microsoft.
Para obtener más información sobre los esfuerzos realizados en relación con la privacidad,
visite la página de Trustworthy Computing (computación confiable) de Microsoft en Privacy
Resources.
Seguridad para el software de servicio
Un reto importante para todos los proveedores de software e integradores de sistemas es la
creación de una implementación más segura que reduzca la carga de trabajo de los
administradores y usuarios relacionada con la administración de seguridad y las
actualizaciones.
Seguridad para productos hospedados
La seguridad de los productos, es decir, la seguridad inherente de las aplicaciones en las que
se basa el servicio, a menudo se pasa por alto. El ciclo de vida de desarrollo de software
(SDL) de Microsoft Trustworthy Computing (computación confiable) es un proceso que ha
adoptado Microsoft para desarrollar un software capaz de hacer frente a ataques
malintencionados. El SDL incorpora una serie de actividades y entregables orientados a la
seguridad en cada una de las fases del proceso de desarrollo de software de Microsoft. La
aplicación sistemática de estas prácticas garantiza que el software sobre el que descansa
Microsoft Online Services es más seguro, su implementación es más sencilla y segura y
requiere menos actualizaciones.
Entre las actividades y entregables del SDL se incluyen:
• El desarrollo de modelos de riesgos durante el diseño del software.
• El uso de herramientas de análisis estático del código durante la implementación.
• La realización de revisiones del código y pruebas de seguridad durante una ofensiva
de seguridad controlada previa al lanzamiento.
Antes de que pueda publicarse un software conforme a SDL, un equipo independiente del
grupo de desarrollo debe someterlo a una revisión de seguridad final. En MSDN, puede
consultarse una introducción a SDL.
Una plataforma de hospedaje reforzada
Los servidores que conforman la plataforma de hospedaje proporcionan servicios
especializados, como DNS, firewall, bases de datos, servicios de directorio, servicios de
SharePoint Online y funciones de correo electrónico. A grandes rasgos, el refuerzo de la
plataforma incluye la eliminación o desactivación de los servicios innecesarios en cada
Características de seguridad en Microsoft Online Services 11 11

12. equipo, así como la segmentación de la red para garantizar que cada servicio solo está
expuesto al tráfico de red necesario para su función. El refuerzo continuo y exhaustivo de la
plataforma implica:
• Determinar qué servicios deben estar activos, qué servicios deben ejecutarse
cuando sea necesario y qué servicios pueden deshabilitarse.
• Administrar los filtros de los puertos de red junto con Microsoft Internet Security and
Acceleration (ISA) Server.
• Limitar las extensiones web de Internet Information Services (IIS) en los servidores
web.
• Reducir la exposición del protocolo a los protocolos basados en SMB (Server
Message Block), NetBIOS, CIFS (Common Internet File System) y LDAP
(Lightweight Directory Access Protocol).
• Crear directivas de auditoría útiles y eficientes que capturen los eventos de interés.
Riesgos específicos y operaciones de mitigación
Las ofertas de Microsoft Online Services comparten el mismo nivel de comunicaciones del
cliente, que proporciona medidas de seguridad frente a las formas habituales de ataques de
red. Esta característica ofrece un alto grado de integridad y privacidad, pues utiliza un
enfoque triple para las comunicaciones cliente/servidor que permite proteger la identidad de
las partes, la conexión resultante y los datos que se transmiten a través de la conexión.
Estas características ayudan a evitar los ataques de tipo "Man in the middle" y pueden
impedir que el tráfico sea visible a terceras personas y la manipulación de la información
durante su transmisión.
Además, las características de seguridad de Internet Security and Acceleration (ISA) Server
integradas en Microsoft Online Services evitan muchos ataques potenciales mediante la
separación física de los segmentos de red internos y externos y mediante un conjunto de
directivas que rigen las comunicaciones a través de esta separación. Las opciones de
mitigación de ataques "flood" de congestión del servidor de ISA bloquean los intentos de
ataque por fuerza bruta al identificar y evitar las solicitudes HTTP demasiado frecuentes que
proceden de la misma dirección IP. Las opciones de configuración del servidor específicas de
ISA minimizan la superficie de ataque y admiten directivas centralizadas para reforzar el
sistema contra los accesos no autorizados.
Las conexiones pueden protegerse además con la autenticación Kerberos, lo que permite al
cliente y a los servidores comprobar la identidad del otro antes de establecer las conexiones.
Un riesgo bien conocido son los virus, el spyware y otras amenazas para los datos del cliente
que pueden tener lugar cuando los datos están fuera de la red de Microsoft Online Services.
Aunque este riesgo puede no afectar a la seguridad de los propios servicios en línea,
representa una amenaza para la disponibilidad y la integridad global de los datos del cliente.
Microsoft mantiene el compromiso de proporcionar herramientas y procesos que permitan
ofrecer una seguridad completa e integral. Por ejemplo, Microsoft Forefront Security, que se
implementó en los servidores perimetrales de la red de servicio, proporciona mayor
protección frente al software malintencionado existente y emergente a través del análisis de
todos los documentos que se cargan en un sitio de SharePoint antes de su incorporación en
el centro de datos.
Cumplimiento de la responsabilidad
Microsoft Online Services ayuda a supervisar y mantener las medidas de seguridad a través
de:
• Auditorías de seguridad trimestrales realizadas por terceros: esto permite
garantizar que las medidas de seguridad están actualizadas y son efectivas.
Características de seguridad en Microsoft Online Services 12 12

13. • Pruebas periódicas de penetración: proporciona un nivel adicional de
realimentación a los administradores.
• Implementaciones proactivas de contramedidas frente a amenazas
potenciales: constituye una parte fundamental de las prácticas recomendadas para
las operaciones de Microsoft Online Services.
Seguridad para el entorno de hospedaje
El entorno de hospedaje se compone de equipos, sistemas operativos, aplicaciones y
servicios, redes, equipos operativos y de supervisión y hardware especializado, además del
personal administrativo y de operaciones necesario para ejecutar y mantener el servicio. El
entorno también incluye los centros de operaciones físicos que albergan la solución y que
hay que proteger frente a daños malintencionados y accidentales.
Puntos de diseño clave de la arquitectura
Creada sobre la sólida base de los sistemas operativos de Windows Server 2003, la
arquitectura de Microsoft Online Services aprovecha las ventajas que brindan las
características de seguridad, administración y operatividad centralizada de Microsoft
Windows Server tanto para las plataformas de servicios back-end como para las
características de redes que ayudan a proteger las comunicaciones del cliente.
Características de red e infraestructura back-end
La administración centralizada de directivas de seguridad conforma una tecnología avanzada
que es una característica constante de las soluciones de hospedaje de Microsoft, como
Microsoft Solution for Windows-based Hosting y Microsoft Solution for Hosted Messaging and
Collaboration. Este es un buen ejemplo de cómo la plataforma de Microsoft Online Services
aprovecha los años de experiencia adquiridos por Microsoft y sus asociados en el diseño,
elaboración e implementación de plataformas basadas en web para el hospedaje de
servicios, como correo electrónico, mensajería, servicios de colaboración y reuniones
basados en web, bases de datos SQL y sitios web.
En la interfaz con la red pública, Microsoft utiliza dispositivos de seguridad con un uso
especial para las funciones de filtrado de IP, firewall y NAT. Las funciones de este nivel
incluyen el bloqueo por denegación de servicio (DOS), sistemas de detección de intrusiones
(IDS), capa de sockets seguros (SSL) y validación de certificados o acceso inicial. El
perímetro de la red de servicio hospeda los servidores y servicios que proporcionan la
autenticación de primer nivel, los servicios de proxy de aplicación (es decir, ISA 2006) y el
equilibrio de carga.
La red back-end se compone de segmentos de LAN particionados para servidores web y de
aplicaciones, el almacenamiento de datos y la administración centralizada. Estos servidores
se agrupan en segmentos de direcciones privadas tras los equilibradores de carga.
Los propios centros de datos están interconectados mediante VPN y todos los accesos
administrativos se protegen mediante una autenticación multifactorial.
Las operaciones se administran con el respaldo de las correlaciones de eventos, que ayudan
a los administradores a supervisar proactivamente el gran volumen de información generado
a través de la red proporcionando mecanismos de supervisión coherentes y oportunos para
todos los servidores del centro de datos.
Implementación de servidores automatizada
La plataforma back-end agrupa servidores en unidades que proporcionan servicios
específicos, de modo que a medida que la demanda aumenta, pueden incorporarse en línea
nuevas unidades. A través de los servicios de implementación automatizada (ADS) de
Características de seguridad en Microsoft Online Services 13 13

14. Microsoft, se implementan de forma rápida y segura configuraciones válidas para los nuevos
servidores que se conocen de antemano.
ADS ofrece herramientas de automatización de implementaciones que permiten al personal
de Microsoft Online Services instalar sistemas operativos y aplicaciones en decenas e
incluso en cientos de sistemas vacíos, lo que proporciona una funcionalidad de seguridad y
auditoría confiable y reproducible sin la intervención del administrador. Las secuencias
orientadas a scripts rigen la configuración del hardware, la implementación de sistemas
operativos y la instalación de aplicaciones, de modo que las prácticas operativas esenciales
se codifican en tareas reproducibles, lo que reduce la probabilidad de que se produzcan
errores humanos.
Seguridad física
La seguridad física está estrechamente relacionada con las medidas de seguridad virtuales o
basadas en software, pues en ambos tipos de seguridad se utilizan procedimientos similares
de evaluación y mitigación de riesgos.
Microsoft Online Services se suministra a los clientes a través de una red de centros de
datos globales diseñados para que estén en ejecución 24 horas todos los días del año y que
emplean diferentes medidas para ayudar a proteger las operaciones frente a cortes de
energía, intrusiones físicas y cortes de red. Estos centros de datos se ajustan a las
normativas del sector en lo que respecta a la confiabilidad y la seguridad física, están
dispersos geográficamente y los administra y supervisa el personal de operaciones de
Microsoft.
Microsoft utiliza mecanismos de acceso de alta seguridad que están restringidos a un
pequeño número de personas encargadas de las operaciones, las cuales deben cambiar
periódicamente sus claves de acceso como administradores. El acceso a los centros de
datos y la autoridad para abrir las tarjetas de acceso al centro de datos los controla el
director de operaciones de red conforme a las prácticas de seguridad del centro de datos
local.
Además, se realizan evaluaciones de seguridad a cargo de terceras personas independientes
para validar los procesos de seguridad de Microsoft y garantizar que todas las prácticas y
directivas de seguridad están en vigor.
Redundancia del centro de datos
Los centros de datos de Microsoft proporcionan sistemas automatizados de conmutación por
error que, en caso de que sea necesario, pueden transferir rápidamente las operaciones a
otros centros de datos alternativos separados geográficamente. La conmutación por error es
un proceso transparente que no requiere la intervención de los clientes mientras se reanuda
el servicio.
Ejecución del servicio: Microsoft Operations Famework y Microsoft
Solutions Framework
Microsoft proporciona directrices y paquetes de implementación para la instalación efectiva
de las tecnologías de Microsoft. Estas directrices se agrupan en dos marcos: Microsoft
Solutions Framework (MSF) y Microsoft Operations Framework (MOF).
MOF y MSF recopilan las pautas relativas a la administración de riesgos en una entidad de
conocimiento denominada "disciplina". Microsoft Online Services utiliza las disciplinas de
MSF y MOF para la instauración y utilización de la implementación de sus servicios. Estas
disciplinas aventajan a los esquemas de administración de riesgos convencionales a través
de la aplicación de principios clave, una terminología personalizada, un proceso de análisis y
Características de seguridad en Microsoft Online Services 14 14

15. evaluación estructurado y reproducible y la integración en un marco de operaciones de SPS
mayor.
Administración de riesgos
El personal administrativo de Microsoft Online Services adopta un proceso visible, tangible,
reproducible y continuo a través del cual evalúa objetivamente los riesgos y las
oportunidades. Esto le permite emprender la acción necesaria para hacer frente a las causas
del riesgo y a sus síntomas.
Los siguientes principios caracterizan la disciplina de administración de riesgos que se utiliza
en Microsoft Online Services:
• Evaluación continua de los riesgos. El equipo nunca deja de buscar nuevos riesgos y
los riesgos existentes se evalúan periódicamente.
• Integración de la administración de riesgos en todas las funciones y puestos.
Todas las funciones de TI comparten la responsabilidad de la administración de
riesgos y todos los procesos de TI se han diseñado teniendo en cuenta la
administración de riesgos.
• Tratamiento positivo de la identificación de riesgos. Los miembros del equipo
tienen que estar dispuestos a identificar riesgos sin temor a recibir castigos o críticas.
• Uso de programaciones basadas en riesgos. Damos prioridad al equipo, las
directivas y los procedimientos que corren un riesgo mayor a la hora de hacer
pruebas e implementar cambios.
• Establecimiento de un nivel aceptable de formalización en los procesos. Para
tener éxito, se necesita un proceso que el equipo sea capaz de entender y utilizar.
Disponibilidad de los datos
Para facilitar la protección del entorno de los datos del cliente, también se necesitan los
mecanismos correspondientes que garanticen un alto nivel de disponibilidad para estos
datos. Para proporcionar esta disponibilidad y garantizar la continuidad de la actividad,
Microsoft Online Services almacena los datos del cliente en servidores en clústeres con
servicios de copia de seguridad redundantes proporcionados por Microsoft System Center
Data Protection Manager (DPM).
La protección que ofrece DPM 2007 es continua y captura todos los cambios que se
producen en los datos mediante agentes de nivel de bloque para las aplicaciones, lo que
proporciona al personal de operaciones de Microsoft Online Services una efectiva y sencilla
solución para la protección de los datos de las cintas y discos.
La elevada disponibilidad de los datos que ofrecen los servicios de replicación continua en
clúster (CCR) de la plataforma de Microsoft Online Services se complementa con los
servicios de copia de seguridad y restauración de DPM. DPM ofrece:
• Compatibilidad integrada de configuraciones avanzadas de clústeres en Microsoft
Exchange y Microsoft SQL Server®.
• Ventanas de copia de seguridad de SQL Server más cortas.
• Opciones avanzadas de protección de datos de SharePoint Online.
DPM 2007 integra a la perfección un servicio de restauración que permite recuperar las
bases de datos tal y como se encontraban en un momento dado con los registros de las
aplicaciones existentes para que la recuperación de información en los servidores de
Exchange, SQL y SharePoint Online se produzca sin pérdidas y sin necesidad de efectuar
continuas operaciones de replicación o sincronización.
Características de seguridad en Microsoft Online Services 15 15

16. Conclusión
A las ventajas de Software Plus Services normalmente se contraponen los costos percibidos
en materia de riesgos de seguridad y la potencial interrupción del acceso a datos esenciales
para la actividad.
Microsoft traslada toda su experiencia en el diseño, desarrollo e implantación de software y
operaciones a su oferta de SPS de Microsoft Online Services, lo que permite a las empresas
beneficiarse considerablemente de ventajas en los costos mientras ayudan a evitar muchos
de los riesgos de seguridad asociados a los servicios de software basados en web.
El incremento de la seguridad en la solución Microsoft Online Services se deriva de:
• La simplificación y automatización del acceso a través de un único inicio de sesión.
• La reducción de la intervención del usuario en tareas relacionadas con la seguridad.
• La automatización de las actualizaciones de software y servicios.
• La exhaustividad de la implementación de protocolos de seguridad y cifrado de red
punteros conforme a los estándares de la industria.
• La madurez en el diseño, elaboración, comprobación e implementación de las
aplicaciones conforme a las disciplinas de desarrollo de software establecidas por
Microsoft.
• La comprobación in situ de las plataformas de hospedaje de servicios.
• Las prácticas recomendadas para el diseño y las operaciones del centro de datos.
Las ofertas de Microsoft Online Services se han diseñado para proporcionar un entorno de
Software Plus Services que proporcione una seguridad mejorada y acceso continuado a las
aplicaciones y los datos. El refuerzo de la seguridad en cada etapa de transacción de SPS
(acceso de los usuarios y administradores, conectividad de la red y plataforma de hospedaje
de servicios y centro de datos físico), le ayuda a beneficiarse de las reconocidas ventajas
SPS a la vez que reduce los riesgos.
Características de seguridad en Microsoft Online Services 16 16

17. Información adicional
Para obtener más información sobre los temas tratados en este documento, visite los
vínculos siguientes.
Microsoft Online Services
• Online Services from Microsoft (http://www.microsoft.com/online)
• Microsoft Solutions for Hosting Providers (http://www.microsoft.com/serviceproviders/
hostingproviders.mspx)
Seguridad y operaciones
• Microsoft Trustworthy Computing Security Development Lifecycle
(http://msdn2.microsoft.com/en-us/library/ms995349.aspx)
• Microsoft Security Central (http://www.microsoft.com/security/default.mspx)
• Microsoft Operations Framework
(http://www.microsoft.com/technet/solutionaccelerators/cits/mo/mof/default.mspx)
• Security Services built into Windows Server 2003
(http://www.microsoft.com/windowsserver2003/technologies/security/default.mspx)
• Microsoft Forefront (http://www.microsoft.com/forefront/default.mspx)
• Microsoft ISA Server 2006
(http://www.microsoft.com/isaserver/prodinfo/overview.mspx)
Privacidad
• The Microsoft Trustworthy Computing Privacy Overview
(http://www.microsoft.com/mscorp/twc/privacy/default.mspx)
Características de seguridad en Microsoft Online Services 17 17