CertifyDeckCargando contenido…
El temario oficial de Microsoft Certified: Security, Compliance, and Identity Fundamentals, organizado por dominio. Marca cada punto según lo vayas repasando.
Inicia sesión para guardar tu progreso entre sesiones.
Describe security and compliance concepts
En un entorno local la organización gestiona toda la pila; al pasar a IaaS, PaaS y SaaS el proveedor asume cada vez más capas (hosts y red, después sistema operativo y entorno de ejecución, y en SaaS toda la aplicación). Pase lo que pase, el cliente conserva siempre sus datos, sus identidades y accesos, sus dispositivos y su configuración. Con la IA, el cliente sigue siendo responsable del uso, del acceso y de las políticas.
Describe the shared responsibility model ↗Shared responsibility in the cloud ↗
La defensa en profundidad usa varias capas de controles que se solapan, de modo que si una falla la siguiente sigue protegiendo los datos: seguridad física, identidad y acceso, perímetro, red, proceso, aplicación y datos. Todas trabajan por la tríada CIA: confidencialidad (solo los autorizados ven los datos), integridad (los datos no se alteran sin autorización) y disponibilidad (acceso cuando se necesita).
Confianza cero es una estrategia, no un producto, basada en no confiar en nadie y verificarlo todo, sin importar desde dónde llegue la solicitud. Sus tres principios son verificar de forma explícita, usar acceso con privilegios mínimos y asumir que habrá una brecha. Se aplica en siete pilares: identidades, dispositivos, aplicaciones, datos, infraestructura, redes, y visibilidad, automatización y orquestación.
El cifrado hace ilegibles los datos sin la clave: el simétrico usa la misma clave para cifrar y descifrar y es rápido; el asimétrico usa un par de claves pública y privada, y permite firmas digitales. Se protege la información en reposo, en tránsito y en uso. El hash es unidireccional, no usa claves y sirve de huella; con sal se protegen mejor las contraseñas. Las claves deben custodiarse aparte, con rotación.
GRC integra tres áreas: la gobernanza (reglas y procesos para dirigir y controlar la actividad), el riesgo (identificar, evaluar, responder y supervisar amenazas; aceptar, mitigar, transferir o evitar) y el cumplimiento (adherirse a leyes y estándares aplicables, que fija mínimos y no equivale a seguridad). Conceptos clave: residencia de los datos, soberanía de los datos y privacidad de los datos.
Define identity concepts
Con aplicaciones en la nube, trabajo remoto, dispositivos personales y acceso de socios, el perímetro de red ya no es una frontera fiable, y la pregunta pasa a ser quién o qué realiza cada solicitud. Por eso la identidad es el nuevo perímetro. Hay identidades humanas, de dispositivo, de carga de trabajo y de agente, y una infraestructura de identidad se apoya en cuatro pilares: administración, autenticación, autorización y auditoría.
La autenticación es el proceso de demostrar que eres quien dices ser y responde a la pregunta de quién eres. Se basa en factores: algo que sabes, algo que tienes y algo que eres. Un solo factor, como una contraseña, es vulnerable; la autenticación multifactor exige dos o más factores de categorías distintas y reduce mucho el riesgo de apropiación de cuentas. Solo confirma la identidad, no los permisos.
La autorización determina qué puede hacer una identidad ya autenticada y responde a la pregunta de qué tienes permitido hacer. Se basa en roles, permisos y atributos, y siempre se evalúa después de una autenticación correcta. El principio de privilegios mínimos concede solo el acceso imprescindible, lo que reduce el daño de una cuenta comprometida y el riesgo de pérdida accidental de datos.
Un proveedor de identidades crea y administra información de identidad y ofrece autenticación, autorización y auditoría a las aplicaciones, que le delegan el inicio de sesión. Tras verificar las credenciales emite tokens de seguridad: el token de identificador prueba el inicio de sesión y el de acceso concede permiso a un recurso. Permite el inicio de sesión único, y se comunica mediante OpenID Connect, OAuth 2.0 y SAML.
Un servicio de directorio almacena información sobre objetos de la red (usuarios, dispositivos, grupos, directivas, aplicaciones) y la pone a disposición de usuarios y aplicaciones. Active Directory Domain Services (AD DS) es el directorio local de Microsoft y su servidor es un controlador de dominio. Se diseñó para redes locales y no admite de forma nativa SaaS ni OAuth 2.0 y OpenID Connect; Microsoft Entra ID es su evolución en la nube.
Describe the concept of directory services and Active Directory ↗Active Directory Domain Services overview ↗
La federación permite acceder a servicios entre organizaciones o dominios mediante relaciones de confianza entre proveedores de identidad distintos, de modo que el usuario se autentica con sus credenciales de origen y no necesita una cuenta nueva. La confianza no es bidireccional por defecto y funciona entre fabricantes gracias a protocolos estándar. Ejemplos: colaboración B2B, inicio de sesión social y AD FS para extender AD local a la nube.
Practica por dominio oficial y revisa la explicación de cada respuesta.
Empezar a practicar