Microsoft Compliance Manager

Microsoft Compliance Manager es una herramienta del portal de cumplimiento de Microsoft Purview que ayuda a las organizaciones a evaluar, supervisar y mejorar su estado de cumplimiento con respecto a los marcos normativos. Proporciona una puntuación de cumplimiento, una medida numérica de la correspondencia entre los controles de su organización y los requisitos de las normas seleccionadas. Compliance Manager está disponible para las organizaciones con suscripciones de Microsoft 365 o Azure.

Se accede a Compliance Manager a través del portal de cumplimiento de Microsoft Purview en compliance.microsoft.com. El panel principal muestra la puntuación de cumplimiento general, un desglose por categoría (protección de datos, control de acceso y gestión de incidentes) y una lista de evaluaciones. No es necesario ser especialista en cumplimiento para utilizar la herramienta: le guía paso a paso por los requisitos de cada norma.

Una evaluación en Compliance Manager representa una valoración de su organización con respecto a un marco normativo específico (por ejemplo, ISO 27001, GDPR o HIPAA). Cada evaluación contiene un conjunto de controles derivados de la normativa, junto con acciones gestionadas por Microsoft (controles que Microsoft gestiona por usted) y acciones gestionadas por el cliente (controles que debe implementar usted mismo). Puede crear evaluaciones para varias normativas simultáneamente.

La puntuación de cumplimiento es un porcentaje (0-100 %) que representa el grado de implementación de los controles de su organización en relación con las evaluaciones que ha creado. Se asignan puntos por:

• Acciones gestionadas por Microsoft: se acreditan automáticamente cuando los controles de Microsoft están implementados
• Acciones gestionadas por el cliente: se acreditan cuando marca una acción como implementada y, opcionalmente, carga evidencias

Una puntuación más alta indica una mejor cobertura de controles, pero no garantiza el cumplimiento normativo real.

Las acciones de mejora son pasos específicos que puede seguir para mejorar su puntuación de cumplimiento. Cada acción incluye una descripción de lo que debe implementarse, la normativa con la que se relaciona, el número de puntos que vale, instrucciones de implementación (a menudo con vínculos a la documentación de Microsoft) y un campo para registrar el estado de implementación. Las acciones se agrupan en categorías como Proteger la información, Administrar dispositivos y Controlar el acceso.

Para las acciones gestionadas por el cliente, Compliance Manager permite cargar documentos de evidencia (capturas de pantalla, informes de auditoría, documentos de políticas o resultados de pruebas) que demuestren que el control está implementado. Esto crea un rastro de evidencias de cumplimiento que puede compartir con auditores o inspectores. Los documentos de evidencia se almacenan en el portal de Compliance Manager y se pueden descargar en cualquier momento.

Compliance Manager incluye más de 300 plantillas de normativas que puede utilizar para crear evaluaciones. Las plantillas abarcan desde normas globales (ISO 27001, NIST CSF) hasta normativas específicas del sector (PCI DSS, HIPAA) y leyes regionales (GDPR, LGPD, CCPA). Las plantillas premium que cubren normativas ajenas a Microsoft 365 requieren una licencia adicional (por ejemplo, Microsoft 365 E5 Compliance o el complemento Compliance Manager).

Para cada acción de mejora, Compliance Manager realiza un seguimiento de:

• Estado de implementación: No implementada, Implementada, Implementación alternativa, Planificada
• Estado de la prueba: No probada, Aprobada, Con errores, Sin evaluación
• Fecha de la prueba: cuándo se realizó la última prueba

Marcar una acción como «Implementada» sin cargar evidencias otorga puntos, pero puede cuestionarse durante una auditoría formal; respalde siempre su estado con evidencias reales.

Compliance Manager admite la delegación basada en roles: puede asignar acciones de mejora específicas a miembros individuales del equipo o a grupos. Esto resulta útil para organizaciones grandes en las que distintos equipos son responsables de diferentes áreas de control (el equipo de seguridad es responsable de los controles de acceso, el equipo de RR. HH. de la formación sobre políticas y el equipo de operaciones de TI de los controles de infraestructura). Los usuarios asignados reciben notificaciones y pueden actualizar directamente el estado de sus acciones.

Compliance Manager y Azure Policy abordan distintos aspectos del cumplimiento:

• Compliance Manager: realiza un seguimiento de los controles organizativos con respecto a los marcos normativos; se centra tanto en los controles relacionados con las personas y los procesos como en los controles técnicos; se administra desde el portal de cumplimiento de Purview
• Azure Policy: aplica y audita la configuración técnica de los recursos de Azure; automatiza el cumplimiento de la infraestructura; se administra desde el portal de Azure

Ambos son necesarios para contar con un programa de cumplimiento completo.

Compliance Manager permite exportar los resultados de las evaluaciones a Excel para compartirlos con auditores, responsables de la dirección o reguladores. La exportación incluye la lista completa de controles, su estado, los resultados de las pruebas y vínculos a las evidencias. Muchas organizaciones utilizan esta exportación como base para su Declaración de aplicabilidad (SoA), un documento exigido por ISO 27001 que enumera todos los controles y su estado de implementación.

Ponga a prueba su comprensión de los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Compliance Manager proporciona una puntuación de cumplimiento y acciones de mejora relacionadas con más de 300 marcos normativos; que las acciones gestionadas por Microsoft se acreditan automáticamente, mientras que las acciones gestionadas por el cliente requieren que implemente y documente los controles; y que se pueden cargar documentos de evidencia para crear un rastro de auditoría. A continuación, exploraremos los requisitos específicos del GDPR y cómo implementarlos en Azure.