Cómo Implementar MFA Obligatorio en Microsoft 365

Cómo Implementar MFA Obligatorio en Microsoft 365: Guía Paso a Paso

Las contraseñas solas ya no bastan. El 84 % de las brechas de credenciales se debe a phishing, spray o reutilización de claves. Microsoft recomienda —y pronto exigirá— la Autenticación Multifactor (MFA) resistente a phishing para todos los tenants. Esta guía muestra cómo habilitar MFA de la forma más rápida y con el menor impacto para los usuarios.

Índice

Introducción: ¿Por qué el MFA es obligatorio hoy?
¿Qué es MFA en Microsoft 365?
Requisitos previos antes de configurar MFA
Métodos de MFA disponibles
Configuración de MFA a nivel usuario
Configuración de MFA a nivel organización (condicional, obligatorio)
Mejores prácticas: evitar bloqueos y problemas de adopción
Consideraciones especiales (BYOD, cuentas de servicio)
Conclusión y siguiente paso: reforzar aún más la seguridad

1. Introducción: ¿Por qué el MFA es obligatorio hoy?

Con el aumento del trabajo remoto y los ataques de phishing dirigidos, depender de una sola contraseña es un riesgo inaceptable. MFA añade un segundo factor (algo que posees o eres) y detiene más del 99 % de los ataques de contraseña. Microsoft anunció que los Security Defaults con MFA se activarán por defecto para todos los tenants nuevos y anima a migrar los existentes.

2. ¿Qué es MFA en Microsoft 365?

MFA combina dos o más factores:

Conocimiento: lo que sabes (contraseña, PIN).
Posesión: lo que tienes (móvil, llave FIDO2).
Inherencia: lo que eres (huella, rostro).

En Microsoft 365, MFA se implementa a través de Microsoft Entra ID y puede activarse a nivel de usuario individual (Legacy MFA), mediante Security Defaults o a través de Conditional Access.

3. Requisitos previos antes de configurar MFA

Rol de Global Administrator o Conditional Access Administrator.
Licencia mínima: Microsoft 365 Business Premium, Office 365 E1/E3 (para Security Defaults) o Entra ID P1 si usarás Conditional Access.
Usuarios con números móviles o acceso a correo para la primera verificación.
Microsoft Authenticator instalado si se elige push (recomendado).

4. Métodos de MFA disponibles

Método	Resistencia Phishing	Requisitos	Uso recomendado
FIDO2 / Passkey	⭐⭐⭐⭐⭐	Llave USB/NFC o plataforma	Admins y VIP
Microsoft Authenticator Push + Código	⭐⭐⭐⭐	Móvil iOS/Android	Usuarios generales
Windows Hello (biometría)	⭐⭐⭐	Dispositivo gestionado	Equipos corporativos
SMS / Llamada	⭐	Número móvil	Escenario de contingencia

5. Configuración de MFA a nivel usuario

5.1 Portal clásico (enfoque rápido)

Entra Admin Center ▸ Users ▸ Multi-Factor Authentication.
Selecciona uno o varios usuarios ▸ Enable.
Al siguiente inicio, se les pedirá registrar método.

5.2 PowerShell para habilitar varios usuarios

Connect-MsolService
Get-MsolUser -Department "Ventas" | Set-MsolUser -StrongAuthenticationRequirements @(
 @{RelyingParty="*"; State="Enabled"}
)

Nota: Este método es útil para pruebas piloto pero no escala ni aplica controles de acceso.

6. Configuración de MFA a nivel organización

6.1 Security Defaults (fácil y gratuito)

Entra Admin Center ▸ Properties ▸ Manage Security Defaults.
Activa Enable Security Defaults.
Todos los usuarios deberán registrar MFA en 14 días.

Limitaciones: no puedes excluir cuentas de servicio ni granularidad por grupo.

6.2 Conditional Access (granular, requiere Entra ID P1/P2)

6.2.1 Crear política “MFA Global”

Entra Admin Center ▸ Conditional Access ▸ + New policy.
Asignaciones: Include ▸ All users; Exclude ▸ “Cuentas de servicio”.
Cloud apps: All cloud apps.
Conditions: Location → Exclude trusted locations si aplica.
Grant: Require authentication strength → Multi-Factor Auth.
Habilita en Report-only 7 días, revisa logs, luego cambia a On.

6.2.2 Campaña de registro forzado

Entra Admin Center ▸ Identity Protection ▸ Registration Campaign y selecciona grupo “Todos”. Los usuarios verán un “máximo 5 recordatorios” hasta registrar MFA.

7. Mejores prácticas: evitar bloqueos y problemas de adopción

Comunicación previa: envía email con FAQs y vídeo de 2 minutos.
Formación “just in time”: pantallas paso a paso durante el registro.
Método de respaldo: habilita dos métodos (Authenticator + SMS).
Trusted locations: para reducir fricción, excluye oficinas fijas inicialmente (solo si existe IP fija y Zero Trust Network).
Exclusiones temporales: usa grupos para eximir cuentas críticas hasta completar pruebas.
Monitorea en tiempo real: Entra ▸ Sign-in logs ▸ filtra errores “MFA denied” para actuar rápido.

8. Consideraciones especiales (BYOD, cuentas de servicio)

8.1 BYOD y dispositivos personales

Requiere MFA + evaluación del dispositivo. Opciones:

Conditional Access con Require device to be marked as compliant (Intune).
Usar App Protection Policies para aislar datos corporativos en móviles.

8.2 Cuentas de servicio y flujo SMTP

Evita MFA. Usa Authentication tokens (OAuth) o Managed Identities.
Crea grupo «Service Accounts – Exempt» y exclúyelo en la política de MFA.
Deshabilita el inicio interactivo para estas cuentas.

9. Conclusión y siguiente paso: reforzar aún más la seguridad

Habilitar MFA obligatorio en Microsoft 365 reduce drásticamente el riesgo de compromiso de cuentas. Con Security Defaults o Conditional Access bien configurado, protegerás a usuarios, datos y reputación. Como siguiente paso, valora implementar claves FIDO2 para administradores críticos y complementa con políticas de Risk-based Conditional Access y Endpoint Protection para un enfoque Zero Trust completo.

¿Necesitas asistencia? Cloud Fighters ofrece servicios de implementación acelerada de MFA y asesoría en seguridad en la nube.