¿Quién tiene acceso a su información? La importancia de la gobernanza en Microsoft 365 antes de adoptar IA
- hace 3 horas
- 5 min de lectura
Por: Juan Carlos Pérez Terán 31/08/26
Muchas organizaciones invierten miles o incluso millones de pesos cada año en plataformas como Microsoft 365 para impulsar la colaboración, la productividad y el trabajo híbrido. Sin embargo, existe una realidad incómoda que pocas veces aparece en los reportes de dirección o en las reuniones de TI:
La mayoría de las empresas tiene hoy más información expuesta de la que imagina, más accesos de los que necesita y menos control del que cree tener.
Y lo más preocupante es que, en muchos casos, el problema no proviene de un hacker sofisticado ni de una organización criminal internacional. El riesgo suele estar dentro de casa.
Los estudios más recientes del Verizon Data Breach Investigations Report muestran que aproximadamente el 62% de las brechas de seguridad involucran un elemento humano, ya sea por errores, negligencia, abuso de privilegios o manipulación de usuarios. Esta cifra debería ser suficiente para que cualquier organización replantee la forma en que administra el acceso a su información.
Si a esto le sumamos que hoy las organizaciones almacenan información en Teams, SharePoint, OneDrive, correos electrónicos, grupos de Microsoft 365, aplicaciones conectadas y, cada vez más, en herramientas de inteligencia artificial como Microsoft Copilot, el escenario se vuelve evidente:
Sin una estrategia formal de gobernanza, el crecimiento natural de la plataforma termina convirtiéndose en un riesgo operativo, legal y financiero.
El problema no es Microsoft 365. El problema es la falta de gobierno.
Microsoft 365 es una de las plataformas empresariales más robustas del mercado. El problema es que fue diseñada para facilitar la colaboración y cuando la colaboración crece sin reglas claras, aparece el caos. Un empleado crea un Equipo nuevo en Teams porque no encontró el existente, otro genera un Sitio de SharePoint para un proyecto temporal. Alguien comparte documentos con usuarios externos para "agilizar el trabajo". Un gerente invita proveedores a un canal. Un colaborador abandona la empresa, pero conserva accesos porque nadie los revocó. Meses después, nadie recuerda quién es propietario de qué.
Lo que comenzó como una iniciativa para mejorar la productividad termina generando:
Información duplicada.
Equipos redundantes.
Documentos contradictorios.
Confusión sobre la versión correcta.
Costos crecientes de almacenamiento.
Riesgos de fuga de información.
Malestar entre usuarios.
Y, paradójicamente, una reducción de la productividad.
Cuando nadie gobierna, cada usuario crea su propia empresa
Imagina una oficina física donde cualquier persona pudiera:
Construir oficinas nuevas.
Cambiar cerraduras.
Entregar llaves a proveedores.
Guardar documentos confidenciales donde quisiera.
Destruir expedientes sin autorización.
Ninguna organización aceptaría algo así.
Sin embargo, eso ocurre diariamente en entornos digitales mal gobernados.
Muchas empresas permiten que cualquier usuario cree Equipos en Microsoft Teams sin un proceso de aprobación.
Cada Equipo genera automáticamente recursos adicionales:
Un Grupo de Microsoft 365.
Un sitio de SharePoint.
Un espacio de almacenamiento.
Permisos asociados.
Canales de comunicación.
Posibles accesos externos.
Lo anterior multiplica exponencialmente la superficie de riesgo de la organización.
Con el tiempo aparecen fenómenos conocidos como Teams Sprawl o SharePoint Sprawl, es decir, la proliferación descontrolada de espacios colaborativos que dificultan encontrar información, identificar responsables y controlar accesos.
El acceso excesivo: una de las amenazas más subestimadas
En prácticamente todas las auditorías que realizamos encontramos el mismo patrón:
Usuarios con acceso a información que no necesitan. No porque exista mala intención.
Simplemente porque nadie revisó los permisos desde hace años. Departamentos completos pueden acceder a carpetas históricas. Excolaboradores conservan enlaces compartidos. Proveedores externos permanecen activos después de terminar un proyecto. Equipos antiguos contienen información financiera, comercial o estratégica accesible para personas que ya no deberían verla.
Los estudios más recientes sobre riesgos internos muestran que los incidentes asociados a negligencia de usuarios continúan representando la mayor proporción de los riesgos que enfrentan las organizaciones. Y lo preocupante es que estos riesgos rara vez son visibles hasta que ocurre un incidente.
El día que Copilot encuentra lo que nadie sabía que estaba expuesto
La llegada de la inteligencia artificial está cambiando por completo la conversación.
Durante años, una carpeta mal configurada podía pasar desapercibida porque nadie la buscaba.
Ahora la situación es distinta.
Microsoft Copilot fue diseñado para encontrar, relacionar y presentar información disponible para cada usuario conforme a los permisos existentes.
Esto significa que Copilot no crea nuevos riesgos.
Simplemente puede revelar con enorme rapidez los riesgos que ya existían.
Si un usuario tiene acceso indebido a documentos de recursos humanos, reportes financieros, propuestas comerciales o información confidencial almacenada en SharePoint, Copilot podrá encontrarla con gran facilidad porque, técnicamente, ese usuario tiene permiso para verla.
Por ello, la pregunta correcta ya no es:
"¿Estamos listos para comprar Copilot?"
La pregunta correcta es:
"¿Estamos seguros de que nuestros permisos reflejan realmente quién debería ver cada información?"
La diferencia parece pequeña.
Las consecuencias pueden ser enormes.
El impacto no es sólo de seguridad. También afecta la productividad y el clima laboral. Cuando pensamos en gobernanza normalmente imaginamos riesgos de ciberseguridad. Pero los efectos suelen sentirse primero en la operación. Personas que no encuentran documentos. Equipos que trabajan sobre versiones equivocadas. Canales de Teams abandonados, información dispersa entre chats, correos y SharePoint. Reuniones para aclarar dónde está determinada información, tiempo perdido buscando archivos. Duplicidad de trabajo, frustración. Conflictos entre áreas.
Pérdida de confianza en las herramientas.
Al final, los usuarios terminan regresando a comportamientos menos eficientes:
Envío de archivos por correo.
Uso de aplicaciones personales.
Almacenamiento local.
Mensajería fuera de control corporativo.
El resultado es exactamente lo contrario de lo que la transformación digital pretendía lograr.
El costo de ignorar el problema
Las organizaciones suelen dimensionar estos riesgos únicamente cuando ocurre un incidente.
Y entonces ya es demasiado tarde.
De acuerdo con el IBM Cost of a Data Breach Report, el costo promedio global de una brecha de datos se ubica en millones de dólares. Evidentemente no todas las organizaciones enfrentarán un escenario de esa magnitud.
Pero prácticamente todas experimentarán alguno de estos costos:
Horas de productividad desperdiciadas.
Costos de almacenamiento innecesario.
Exposición accidental de información.
Pérdida de conocimiento organizacional.
Problemas de cumplimiento regulatorio.
Incremento de trabajo para áreas de TI.
Pérdida de confianza de clientes o socios.
Por eso la gobernanza ya no debe verse como un proyecto tecnológico.
Es una práctica de administración empresarial.
¿Qué debería gobernarse dentro de Microsoft 365?
Una estrategia moderna de gobernanza debería contemplar, entre otros temas:
Quién puede crear Equipos en Teams.
Quién puede crear Sitios de SharePoint.
Cómo se autorizan invitados externos.
Cuándo deben eliminarse o archivarse espacios inactivos.
Qué información puede compartirse externamente.
Cómo se gestionan propietarios y responsables.
Qué políticas de retención aplican.
Cómo se respalda la información.
Cómo se clasifican documentos sensibles.
Cómo se revisan periódicamente los permisos.
Cómo se prepara la organización para Copilot y la IA.
Comentarios