Microsoft Purview: De Shadow IT a Zero Trust, el futuro del SysAdmin

La IA no ha venido a eliminar nuestro trabajo, ha venido a elevarlo. Mi enfoque no es solo “que los servicios funcionen”, sino gobernar el dato que fluye por ellos. En este artículo reflexionamos cómo se implementa la arquitectura Zero Trust para proteger la información crítica, uniendo el mundo IT tradicional con la convergencia industrial (OT) bajo Microsoft Purview.

La IA ha entrado en nuestras empresas como un elefante en una cacharrería. Herramientas como Microsoft 365 Copilot no “hackean” tu red, pero actúan como el escáner de reconocimiento (nmap) más eficaz del mundo.

Aquí está la realidad que muchos ignoran: estamos auditando personas.

Cuando un usuario pregunta a la IA, no solo puede filtrar datos económicos por error; mediante técnicas de prompt injection o consultas “inocentes”, ese usuario puede obligar a la IA a revelar un mapa detallado de nuestra infraestructura. Una respuesta de la IA puede filtrar esquemas de direccionamiento IP, nombres de servidores críticos, VLANs, o incluso snippets de código que exponen API keys. Básicamente, estamos entregando a un atacante un mapa lógico y físico de nuestras comunicaciones y nuestra topología interna.

El perímetro clásico ha cambiado. El firewall es ciego ante esta filtración de inteligencia. En este escenario, el perímetro es el dato. A continuación, explico cómo he transformado una infraestructura vulnerable en un ecosistema Zero Trust usando Microsoft Purview. Si sabes configurar un FortiGate o un pfSense, esto te resultará familiar: es simplemente llevar la lógica de red a la capa de aplicación.

1. Visibilidad: El “Radar” del Administrador

No puedes proteger lo que no ves. La ceguera es el mayor riesgo para la continuidad de negocio.

• DSPM for AI (Escáner de Vulnerabilidades): Funciona como tu Security Fabric Audit. Identifica “reglas Any-Any” (enlaces públicos de SharePoint o carpetas compartidas con “Todos los usuarios”) que permiten que la IA indexe datos que nunca deberían ser públicos.
• Audit Logs (Syslog Forense): Cada interacción genera logs con item classes específicas (ej. IPM.SkypeTeams.Message.Copilot.*).
  • Caso Práctico: Sospechas que una IA ha revelado topología interna. Exportas el HTML de la sesión, buscas el string WebSearchQuery y confirmas si el tráfico salió fuera del túnel corporativo. Es un análisis forense de manual.
• AI Observability (Identidad de Máquina): Con agentes como Agent 365, ya no solo vigilamos humanos. Monitorizo “identidades de máquina”. ¿Un agente sin dueño ni política definida? Es un riesgo crítico. Identificar si el problema es el agente (código) o el propietario (configuración) es lo que diferencia a un administrador junior de un arquitecto.

2. Microsegmentación L7: Control de Acceso inteligente

La seguridad moderna no va de abrir puertos, sino de entender qué contiene el paquete.

• Sensitivity Labels (VLANs de Datos): Una etiqueta “Confidencial” es como un tag 802.1Q. Si el archivo está cifrado y el usuario no tiene los permisos (la ACL) para esa “VLAN” lógica, la IA hace un Drop absoluto.
• Políticas DLP (El WAF de los Prompts): Configuro reglas de Data Loss Prevention para aplicar Payload Scrubbing.
  • Caso Práctico: Un empleado intenta que Copilot resuma un contrato que contiene la topología de red. Aplico la regla “Prevent Processing”. Copilot puede citar que el archivo existe (permite el “Ping”), pero tiene prohibido leer el contenido para generar el resumen. El dato está protegido sin romper la productividad.
• Endpoint DLP: Para la “red pública” (IAs no gestionadas), despliego el agente en el SO (tipo EDR/FortiClient). Este intercepta el portapapeles y bloquea el Ctrl+C / Ctrl+V hacia fuera de mi entorno.

3. Defensa Activa: Respuesta Automatizada

Si el administrador tiene que mirar cada alerta, ya hemos perdido.

• Adaptive Protection (Aislamiento Dinámico): La joya de la corona. Si un usuario cruza la línea roja (exfiltración de datos), el sistema le inyecta restricciones instantáneas en Entra ID. Es el equivalente a un Automation Stitch en Fortinet, pero a nivel de identidad corporativa.
• Communication Compliance (DPI): Inspecciona el payload en busca de fuga de código. Envía los paquetes sospechosos a una zona de cuarentena para auditoría humana, igual que un FortiMail gestiona el spam.
• Security Copilot: Uso Promptbooks (Playbooks automáticos). En lugar de investigar manualmente, lanzo un “Risky user investigation” que correlaciona comportamientos en segundos. Nota: La IA sintetiza, pero tú validas con el Audit Log crudo.

4. Auditoría Forense: La prueba inmutable

Cuando el departamento legal llama, no sirve con decir “está bien”. Necesitas evidencias.

• Almacenamiento WORM: Copilot inyecta cada interacción en carpetas ocultas dentro de Exchange. Es una partición inmutable donde el usuario no tiene privilegios de escritura ni borrado, garantizando la cadena de custodia.
• eDiscovery y Purga Quirúrgica: Si tengo que destruir un dato tóxico, no hago un borrado masivo. Uso la Graph API para lanzar una petición POST quirúrgica, limitada a 10 ítems por buzón para reducir el radio de explosión (blast radius). Es la precisión de un francotirador.

la IA transforma la labor del sysadmin y lo complementa

Reflexión: Del Sysadmin al Arquitecto de Confianza

El Sysadmin convencional está acostumbrado a “tocar el hierro”. Pero la IA ha movido la trinchera.

La IA nos propone herramientas de software diseñadas para aislar y segmentar. Cuando aislamos un “Agente de IA” para que no tenga acceso a datos críticos, estamos aplicando el mismo principio técnico que cuando aislamos un HMI (Interfaz Hombre-Máquina) en una planta industrial para que no sea comprometido por un PLC vulnerable.

La convergencia IT/OT es inevitable. En la Industria 4.0, un agente de IA que gestiona la telemetría de una máquina en planta necesita la misma política de Zero Trust que el agente que gestiona el ERP financiero. La segmentación que he aprendido a configurar en Purview es la misma lógica que aplico para interconectar sistemas industriales con el mundo cloud.

La actualización que debemos hacer es mental: Debemos dejar de vernos como “el que mantiene las cajas” y empezar a vernos como arquitectos de flujos de información. Nuestra herramienta ya no es solo el destornillador o la CLI del switch; es la consola de Purview, la API de Graph, y la lógica de clasificación de datos. Quien controle el dato, controla la infraestructura del futuro. ¡Nos vemos en la trinchera!

Glosario Técnico: Purview ↔ Infraestructura