Glosario de Infraestructura Operativa

Categoría de software acuñada por simiriki: la capa de ejecución entre política (lo que el administrador M365 pretende) y configuración (lo que el tenant realmente corre). Los CSPM observan; los consultores asesoran; la Infraestructura Operativa cierra el ciclo con evaluación continua, remediación aprobada y generación de evidencia.

Métrica propietaria 0–100 de postura. Derivada de 197 resultados de reglas ponderados por severidad (Crítico −15, Alto −8, Medio −3, Bajo −1). Grados A+ a F. Reproducible: el mismo snapshot del tenant produce el mismo sIPO sin importar quién lo corra.

Métrica propietaria de exposición al riesgo, normalizada a la escala del tenant (usuarios, buzones, sitios). Usada en revisiones ejecutivas mensuales de S.O.S y en el benchmark M365 México 2026 para comparar postura entre tenants de distinto tamaño.

Metodología de cuatro fases para operar Microsoft 365: Evaluar, Optimizar, Proteger, Escalar. Cada fase tiene entregables fijos, precios planos y métricas observables desde el día uno.

Mecanismo de autenticación que exige al menos dos factores independientes (típicamente algo que sabes + algo que tienes). En Microsoft 365 se aplica vía políticas de Conditional Access; ausencia de MFA en cuentas privilegiadas es el hallazgo crítico número uno del benchmark sIPO mexicano.

Motor de políticas de Microsoft Entra ID que evalúa señales (usuario, dispositivo, ubicación, riesgo) antes de conceder acceso a un recurso. Sustituye reglas binarias por decisiones contextuales: requerir MFA, bloquear acceso, exigir dispositivo compliant.

Servicio de Microsoft Entra ID que activa permisos administrativos solo cuando se necesitan, con flujo de aprobación y caducidad. Reemplaza permisos permanentes (standing access) por just-in-time (JIT).

Autenticación una sola vez para acceder a múltiples aplicaciones. En Microsoft 365 se implementa vía Entra ID con SAML, OIDC o WS-Federation. Reduce vectores de phishing al consolidar la superficie de autenticación.

Protocolos antiguos (POP3, IMAP4, SMTP AUTH básico, Exchange ActiveSync básico) que no soportan MFA y son el vector preferido de password-spray. simiriki recomienda bloquearlos vía Conditional Access en todos los tenants.

Registro DNS TXT que declara qué servidores están autorizados a enviar correo en nombre de un dominio. Primera de las tres capas de autenticación de correo (SPF + DKIM + DMARC); por sí sola no es suficiente.

Firma criptográfica añadida a cada correo saliente que el receptor verifica contra una clave pública publicada en DNS. Demuestra que el correo no fue manipulado en tránsito y que el dominio remitente lo firmó.

Política DNS que indica a los receptores qué hacer con correo que falla SPF o DKIM (none/quarantine/reject) y dónde reportar fallos. DMARC en p=reject es la única política que detiene completamente el spoofing del dominio.

Estándar que obliga a usar TLS en SMTP entrante con validación de certificado. Cierra el hueco de downgrade attacks que SPF/DKIM/DMARC no cubren. simiriki publica una política MTA-STS en /.well-known/mta-sts.txt.

Producto Microsoft de protección anti-phishing y anti-malware para Exchange Online. Incluye Safe Links, Safe Attachments, anti-phishing impersonation, y detonación de adjuntos en sandbox. Requiere licencia E5 o add-on.

Conjunto de políticas que detectan, alertan o bloquean la salida de información sensible (números de tarjeta, CURP, RFC, secretos) por correo, archivos compartidos o endpoints. En Microsoft 365 vive en Purview con plantillas predefinidas y reglas personalizables.

Etiquetas aplicadas a documentos y correos que activan controles automáticos: cifrado, marcas de agua, restricción de compartición externa, expiración. Persisten en el archivo y se aplican aun fuera del tenant.

Cifrado del dato almacenado en disco, base de datos o blob storage. simiriki usa AES-256-GCM para tokens OAuth (lib/crypto.ts) y Supabase PostgreSQL con cifrado a nivel de columna para campos sensibles.

Cifrado del dato mientras viaja por la red. En simiriki: TLS 1.2+ obligatorio en todos los endpoints HTTPS (HSTS preload), MTA-STS en SMTP entrante, OAuth con PKCE para flujos públicos.

Plataforma que correlaciona señales de múltiples telemetrías (endpoint, email, identidad, cloud apps) para detectar y responder a amenazas. Microsoft Defender XDR es la implementación nativa en el ecosistema Microsoft 365.

Plataforma que ingiere logs de múltiples fuentes, los normaliza y permite correlación, alerting y forensia. Microsoft Sentinel es el SIEM-nativo-cloud del ecosistema Microsoft; típicamente cuesta entre $5K y $50K USD/mes en tenants mid-market.

Capa de automatización que ejecuta playbooks de respuesta a incidentes sin intervención humana o con aprobación explícita. En Sentinel se implementa vía Logic Apps + Automation Rules.

Capacidad de detectar comportamiento malicioso en endpoints (no solo firma de archivos) y responder con aislamiento, kill-process o rollback. Microsoft Defender for Endpoint es la implementación Microsoft; requiere licencia E5 o add-on.

Lista priorizada de 18 controles de seguridad mantenida por el Center for Internet Security. Cada control trae safeguards medibles. simiriki mapea cada una de sus 197 reglas de detección a controles CIS específicos.

Documento de CIS con recomendaciones de configuración específicas para Microsoft 365. Define dos niveles (Level 1 esencial, Level 2 defensa en profundidad). simiriki ejecuta el Level 1 completo en el escaneo gratuito.

Framework del National Institute of Standards and Technology organizado en seis funciones: Identify, Protect, Detect, Respond, Recover, Govern (v2.0, febrero 2024). Es el lenguaje de referencia en defensa corporativa.

Estándar internacional de sistemas de gestión de seguridad de la información (ISMS). Define cómo organizar políticas, controles, evaluación de riesgos y mejora continua. La certificación es auditada por tercero acreditado.

Reporte de auditoría desarrollado por AICPA contra cinco criterios de Trust Services (Security, Availability, Processing Integrity, Confidentiality, Privacy). Tipo I evalúa diseño; Tipo II evalúa diseño + efectividad operativa por 6-12 meses.

Ley federal mexicana sobre datos personales en manos del sector privado. Texto vigente publicado en el DOF el 20 de marzo de 2025, con última reforma el 14 de noviembre de 2025. Regulada por el INAI. Aplica a cualquier empresa privada que recolecte o procese datos de individuos.

Organismo autónomo regulador de transparencia y protección de datos personales en México. Es la autoridad sancionadora de la LFPDPPP y la LGPDPPSO; emite las guías y resoluciones que detallan la aplicación de ambas leyes.

Regulador financiero mexicano. La Circular Única de Bancos y la Circular Única de Casas de Bolsa imponen obligaciones de ciberseguridad, continuidad de negocio, reporte de incidentes y conservación documental aplicables al sector financiero mexicano.

Norma Oficial Mexicana sobre conservación de mensajes de datos. Exige time-stamping con autoridad certificadora autorizada por la Secretaría de Economía para acreditar la integridad de documentos digitales. Aplica a CFDI, contratos, expedientes legales.

Esquema obligatorio de facturación electrónica en México, versión 4.0 vigente desde 2023. Toda factura, recibo de nómina y complemento de pago debe emitirse en CFDI con firma digital del SAT.

Régimen aduanero mexicano para empresas que importan insumos temporalmente para procesarlos y exportarlos. Tiene obligaciones específicas de trazabilidad documental, conservación de evidencia electrónica y reporte al SAT.

Instancia aislada de Microsoft 365 vinculada a una organización. Identificada por un Tenant ID (GUID) y uno o más dominios verificados. Todo escaneo simiriki opera contra un tenant específico con consentimiento de administrador.

Secuencia automatizable de acciones para remediar un hallazgo. simiriki mantiene 69 playbooks mapeados a sus reglas de detección; cada ejecución requiere aprobación humana explícita y deja audit trail completo.

Registro inmutable de cada acción ejecutada sobre el tenant. Microsoft 365 Unified Audit Log registra eventos de Exchange, SharePoint, Teams, Entra ID, Power Platform; debe estar habilitado para cumplir LFPDPPP Art. 19/20.

Extensión de OAuth 2.0 que protege el authorization-code flow en clientes públicos (browsers, mobile). simiriki la usa en /scan para no exponer client_secret y proteger contra interception attacks.