Una advertencia primero
Ninguna herramienta «cumple la Ley 21.719». La ley exige decisiones que solo puede tomar la organización: para qué trata datos, con qué base, cuánto tiempo los guarda. Lo que sí hace Microsoft 365 es dar los medios técnicos para varios deberes y, sobre todo, dejar evidencia de que se aplicaron, que es lo que pide el principio de responsabilidad (artículo 3) y lo que el responsable tiene que acreditar ante un incidente (artículo 14 quinquies).
Varias de las funciones de esta guía dependen de la licencia: algunas vienen en Microsoft 365 E3 o Business Premium y otras requieren E5 o complementos. Antes de planificar, revisa qué incluye la tuya.
Saber qué datos hay y dónde
Los deberes de información del artículo 14 ter (publicar qué datos se tratan, para qué y por cuánto tiempo) parten de un inventario. Microsoft Purview ayuda a completarlo con lo que hay de verdad en los sistemas:
- Tipos de información confidencial. Purview reconoce patrones como números de tarjeta, cuentas bancarias o el número de la cédula de identidad chilena, y los usa en las demás funciones.
- Explorador de contenido. Muestra en qué buzones, sitios y carpetas hay archivos con esos datos. Suele revelar planillas olvidadas que nadie había incluido en el RAT.
- Aplicaciones empresariales de Entra ID. Listan los servicios externos conectados al tenant y los permisos que tienen. Cada uno puede ser un encargado que necesita contrato (artículo 15 bis).
Seguridad (artículo 14 quinquies)
El artículo 14 quinquies enumera medidas de seguridad apropiadas al riesgo. Así se relacionan con Microsoft 365:
| Lo que pide la ley | Controles de Microsoft 365 |
|---|---|
| a) Seudonimización y cifrado | Microsoft 365 cifra los datos en reposo y en tránsito. Las etiquetas de confidencialidad de Purview pueden cifrar un documento o correo para que solo lo abran personas autorizadas, incluso fuera de la empresa. BitLocker, administrado con Intune, cifra los equipos. |
| b) Confidencialidad, integridad, disponibilidad y resiliencia | Autenticación multifactor y acceso condicional de Entra ID; Privileged Identity Management para que los permisos de administrador sean temporales; prevención de pérdida de datos (DLP) de Purview para impedir que salgan datos sensibles por correo o al compartir. |
| c) Restaurar el acceso tras un incidente | Microsoft 365 Backup y las directivas de retención. Ojo: retener no es respaldar. Para recuperarse de un ransomware hace falta un respaldo que se pueda restaurar. |
| d) Verificar regularmente la eficacia | Puntuación de seguridad de Microsoft (Secure Score), administración de vulnerabilidades de Defender y las evaluaciones del Administrador de cumplimiento de Purview, que dejan registro de qué se revisó y cuándo. |
El deber de secreto del artículo 14 bis también se apoya aquí: limitar quién puede leer un buzón compartido o una carpeta de RRHH es una medida concreta de confidencialidad.
Protección por defecto (artículo 14 quáter)
La ley pide que, por defecto, solo se traten los datos estrictamente necesarios, considerando cuántos se recogen, por cuánto tiempo se guardan y quién puede acceder. En Microsoft 365 eso se traduce en configuraciones concretas:
- Vínculos de uso compartido. Que el tipo de vínculo predeterminado en SharePoint y OneDrive sea «personas específicas» y no «cualquier persona», y que los vínculos de invitado caduquen.
- Plazos de conservación. Directivas de retención que eliminen correos y archivos cuando vence el plazo definido en el RAT, en vez de guardarlo todo para siempre.
- Revisiones de acceso. Las revisiones de acceso de Entra ID piden a los dueños confirmar periódicamente quién sigue necesitando acceso a un grupo o a un equipo.
- Invitados. Controlar quién puede invitar usuarios externos y revisar los que ya no colaboran.
Detectar y reconstruir brechas
Para reportar una vulneración (artículo 14 sexies) hay que saber qué pasó, qué datos se vieron afectados y de cuántas personas. Eso solo se puede responder si los registros existían antes del incidente:
- Registro de auditoría de Purview. Registra quién abrió, descargó, compartió o eliminó qué. Verifica que esté activo y cuántos días conserva según tu licencia.
- Microsoft Defender XDR. Agrupa en un incidente las alertas de correo, identidades, equipos y aplicaciones en la nube, lo que ahorra días de reconstrucción.
- Inicios de sesión de Entra ID. Muestran desde dónde y cuándo se usó una cuenta comprometida.
El detalle de qué reportar y a quién está en la guía de brechas de datos.
Responder a los titulares
Cuando alguien pide acceso o supresión de sus datos, hay 30 días corridos para responder (artículo 11). La búsqueda de contenido y eDiscovery de Purview permiten encontrar en todo el tenant los correos y archivos que mencionan a esa persona, exportarlos para revisarlos y dejar registro de la búsqueda. Las directivas de retención, a su vez, ayudan a explicar cuánto tiempo se conservan sus datos. Más detalle en la guía de derechos ARCOP.
Si no sabes cómo está configurado tu tenant, un diagnóstico de dos días revisa identidades, dispositivos y protección de datos contra Secure Score y el benchmark CIS, y entrega un plan a 30, 60 y 90 días. Es lo que hacemos en el Assessment Microsoft 365.