Microsoft
Por qué recomiendo el stack de identidad + endpoint del modern workplace
He estado administrando Microsoft 365 + Entra ID desde 2018, pasando por el rebrand de Office 365, el rename de Azure AD a Entra ID, y la consolidación de Intune bajo el paraguas de Endpoint Manager y de regreso. Este es el caso que les hago a los clientes que están evaluando su stack de identidad y endpoint, y las trampas de SKU que ningún vendedor imprime en su brochure.
Por qué Microsoft funciona
Cuatro razones se sostienen en todos los deployments.
La identidad es el perímetro
Entra ID con conditional access y enforcement de MFA viene de fábrica. Una sola identidad lleva al usuario a M365, Azure y SaaS de terceros vía SCIM y SAML, lo que significa que dejas de mantener seis directorios de usuarios distintos.
Bloquear autenticación heredada en Entra ID mata toda la clase de ataques de password-spray. Mira el post de autenticación heredada. El delta de seguridad más grande que puedes shippear en una tarde.
Un solo tenant admin, una sola factura
M365, Entra, Intune y Defender viven todos bajo un mismo tenant con una sola relación de facturación. El pricing por usuario escala linealmente, y dejas de perseguir renovaciones con tres vendedores en tres calendarios distintos.
Reemplacé un contrato de MDM, un vendedor de AV aparte, y una herramienta de identidad legacy con un solo tenant de M365 Business Premium para un cliente de 60 usuarios. El costo neto de suscripción bajó alrededor de 40% y el rastro de auditoría finalmente vivió en un solo lugar.
Gestión de endpoint sale incluida
Intune cubre Windows nativamente, iOS y Android a través de hooks de MDM nativos, y Mac vía perfiles de configuración. BYOD se maneja con conditional access basado en app, así puedes aplicar política sobre datos corporativos sin enrolar completamente los dispositivos personales.
Empujé un perfil de VPN corporativo a 80 dispositivos BYOD en 20 minutos vía políticas de protección de apps de Intune. Cero tickets de help desk, cero exposición de datos personales.
Baseline de cumplimiento incluido
Controles de SOC 2, GDPR y HIPAA están disponibles a nivel de plataforma, así heredas un pedazo significativo de evidencia de auditoría en vez de construirla desde cero. Microsoft Purview maneja DLP, clasificación de datos y retención desde la misma superficie de admin.
Saqué un paquete de evidencia listo para auditoría de SOC 2 Type II desde Purview y Compliance Manager en una tarde. El auditor aceptó el bundle en la primera revisión.
Dónde encaja mejor
No para todas las empresas. El encaje es más nítido cuando uno de estos te describe:
Sumar Entra e Intune sobre un tenant de M365 existente es trabajo incremental, no una migración. Misma superficie de admin, misma identidad, misma factura.
Intune es honesto sobre Mac: decente, no de primera línea. Empresas puro-Mac todavía quieren Mosyle o Jamf, pero empresas mixtas con mayoría Windows y algo de Mac obtienen un solo MDM que cubre ambos.
La preparación de SOC 2, HIPAA e ISO es dramáticamente más fácil cuando la plataforma carga un pedazo real de los controles. Purview más Compliance Manager carga el peso de la evidencia de auditoría.
Si tu equipo ya piensa identity-first (los grupos manejan acceso, conditional access maneja postura), Entra recompensa ese modelo mental. Si piensan network-first, espera curva de aprendizaje.
Los tradeoffs honestos
Marketing no va a imprimir estos. Yo sí, en producción. Toca para expandir.
LicenciaLa complejidad de SKUs es genuinamente difícil de internalizar
Business Basic vs Standard vs Premium, Enterprise E1 vs E3 vs E5, frontline F1 vs F3, más add-ons de Defender, bundles de EMS, y Copilot por usuario. Docenas de combinaciones válidas, solo unas pocas correctas para cualquier cliente dado. El modo de falla más común que veo: el cliente subcontrató en la PO 1 (usualmente saltándose Defender for Business o AAD P1), chocó con un gap de feature a mitad de año, renovó temprano a precio de lista. Pídele a tu reseller que cotice tres escenarios antes de firmar.
AdminLa UX de admin está fragmentada en cuatro portales
admin.microsoft.com, entra.microsoft.com, intune.microsoft.com y security.microsoft.com tienen convenciones ligeramente distintas: UX de búsqueda diferente, comportamiento de blades diferente, patrones de asignación de políticas diferentes. La memoria muscular no se transfiere limpio entre ellos, y Microsoft mueve blades entre portales cada par de releases. Bookmark deep links, documenta la ruta en tus runbooks, y presupuesta tiempo para el siguiente rebarajado.
MacIntune para Mac es honesto pero no de primera línea
Los perfiles de configuración funcionan, el deployment de apps funciona, la postura de compliance funciona. Nada está tan pulido como Mosyle o Jamf, y el lag para soportar nuevos releases de macOS es real. Empresas puro-Mac deberían quedarse con un MDM nativo de Mac. Empresas mixtas con quizás 20% de Macs están bien en Intune. La línea se vuelve borrosa por ahí del 50/50 y vale la pena decidirla antes de comprometerte.
Lock-inEl lock-in de identidad + MDM toma trimestres en desarmarse
Una vez que Entra es tu IDP, cada app SaaS está cableada vía SAML o SCIM, cada grupo maneja acceso, cada policy de conditional access es parte de tu postura de seguridad. Una vez que Intune es tu MDM, cada perfil de dispositivo, cada baseline de compliance, cada deployment de apps vive ahí. Cambiar a Okta más Jamf es un proyecto multi-trimestre, no un fin de semana. No es razón para evitar Microsoft. Es razón para entrar con los ojos abiertos.
Ninguno es un dealbreaker. Son el tipo de cosa que quieres saber antes de poner tu nombre en el proyecto.
¿Es lo correcto para tu empresa?
Cuatro dimensiones para revisar antes de comprometerte:
- Tamaño: 10–10.000 empleados. Por debajo de 10, hasta Business Basic se siente pesado para lo que la mayoría de micro-empresas realmente necesitan; un plan chico de Google Workspace o un servicio de email hospedado suele ser la respuesta correcta. Arriba de 10.000, la conversación necesita un partner real con músculo de deployment, no un consultor solo.
- Madurez de IT: Al menos un admin que haya vivido en admin.microsoft.com. No tiene que estar certificado MS-102 el día uno, pero tiene que ser la persona que diseña tus políticas de conditional access y la baseline del tenant. Esas decisiones son caras de deshacer seis meses después.
- Stack existente: Ya en Office, o en Google Workspace y desbordando la tooling de admin. Si estás profundamente invertido en Okta, Jamf y una suite de productividad aparte, cambiar tiene que pasar una vara más alta que “Microsoft sale más barato en bundle”.
- Geografía: Global. LATAM tiene una buena red de partners de Microsoft, pricing regional en USD con margen de canal para negociar, y partners CSP con manos localmente para primeros deployments. EU tiene la historia más fuerte de residencia de datos. APAC funciona pero los específicos por país importan.
Si tres de los cuatro coinciden, Microsoft está en la shortlist. Si los cuatro coinciden, probablemente es la respuesta correcta.
Quién lo implementa
Internamente, el implementador líder debería ser un admin de IT con exposición real al admin center de M365. MS-102 (Microsoft 365 Administrator Expert) es la baseline práctica para el líder, con los caminos de Identity admin y Endpoint admin sumados a medida que el equipo crece. No tienen que ser la única persona que toque el tenant, pero tienen que ser quien decide la baseline de conditional access, la postura de compliance de Intune, y los guardrails a nivel de tenant en el día uno. Esas decisiones son caras de refactorizar una vez que los usuarios de producción dependen de ellas.
La ayuda externa vale la pena para primeros deployments y para entrenamiento de handover. Los partners CSP de Microsoft hacen esto profesionalmente; los consultores independientes (yo incluido) también. La razón no es que Microsoft sea difícil. Los portales de admin son accesibles y la documentación es genuinamente buena. Es que las decisiones a nivel de tenant quedan horneadas en tu configuración en la semana uno, y son caras de refactorizar en la semana 52. Paga una vez por alguien que haya hecho esto veinte veces, ahórrate un año de fricción.
Si estás levantando tu primer tenant de Microsoft 365 o migrando desde Google Workspace, hablemos. Arrancamos con una llamada de scoping de 30 minutos; si encaja, especificamos un engagement de una semana desde ahí.
Primeros pasos
- Lee cómo bloquear autenticación heredada en Microsoft Entra ID. La acción única más rápida que reduce tu superficie de ataque. La mayoría de los ataques de password-spray dependen de protocolos de auth heredados (POP, IMAP, SMTP basic auth) que deberían haber estado apagados hace años. Una sola policy de conditional access, delta enorme.
- Elige un tier antes de especificar cualquier otra cosa. Mis cortes actuales:
- Business Basic — solo email y Office web, sin Defender, sin Intune. Por debajo de ~25 usuarios sin presión de cumplimiento.
- Business Standard — suma apps de Office desktop. El tier SMB más común cuando no hay driver de seguridad o cumplimiento.
- Business Premium — suma Defender for Business, Intune y Entra ID P1. El sweet spot para 10–300 empleados que necesitan postura de seguridad real.
- E3 + EMS E3 — tier enterprise, suma Purview compliance y Defender for Endpoint Plan 1. Mid-market y arriba, especialmente cuando SOC 2 o HIPAA está en el roadmap.
- Planea la estructura del tenant y las políticas de conditional access ANTES de migrar nada. Las decisiones a nivel de tenant (dominio custom, defaults de MFA, named locations, conditional access baseline, cuentas break-glass) son caras de deshacer una vez que los usuarios de producción están loggeados. Dibújalo en papel, consíguete un segundo par de ojos, después aprovisiona.
Más allá de los primeros pasos: tomo trabajo de deployment, migración y auditoría de Microsoft 365, Entra ID e Intune para clientes SMB y mid-market en LATAM y remoto globalmente. Hablemos de tu deployment. Te digo en 30 minutos si es trabajo de Microsoft, trabajo de Google Workspace, o ‘primero arregla tu DNS’ job.