Evaluación de ciberamenazas en correo electrónico: qué medir y cómo interpretarlo

El correo sigue siendo uno de los puntos de entrada más utilizados porque combina una superficie técnica amplia con una variable difícil de controlar: la decisión de una persona bajo presión. Medir solamente cuántos mensajes bloqueó la plataforma no alcanza. Un assessment útil debe explicar qué intentó atravesar los controles, qué llegó a los usuarios, cómo reaccionaron y qué capacidad existe para contener un incidente.

La evaluación no debería empezar por una herramienta, sino por una pregunta de riesgo: ¿qué escenarios de correo podrían interrumpir la operación, comprometer credenciales o habilitar fraude? Esa pregunta define qué datos recopilar y evita que el informe termine siendo una colección de gráficos sin contexto.

1. Definir el alcance antes de extraer datos

En Microsoft 365 conviene trabajar con un período suficientemente largo para absorber variaciones semanales y campañas puntuales. Como referencia operativa, un trimestre suele permitir observar patrones sin mezclar configuraciones demasiado antiguas.

El alcance mínimo debería incluir:

• Exchange Online Protection y Microsoft Defender for Office 365, si está licenciado.
• Políticas de anti-spam, anti-phishing, Safe Links y Safe Attachments.
• Dominios aceptados, conectores, reglas de transporte y excepciones.
• Eventos reportados por usuarios y acciones posteriores del equipo de seguridad.
• Identidades con privilegios, cuentas compartidas y buzones de alto impacto.

También hay que registrar cambios realizados durante el período. Si una política se endureció a mitad del trimestre, comparar todo como una sola serie puede producir conclusiones equivocadas.

2. Separar volumen, exposición e impacto

Tres niveles ayudan a ordenar el análisis.

Volumen

Describe la presión general sobre el servicio:

• Mensajes recibidos.
• Spam y malware bloqueados.
• Intentos de suplantación.
• URLs y adjuntos analizados.

El volumen sirve para dimensionar la superficie, pero no expresa por sí solo el riesgo. Una organización puede bloquear millones de mensajes automatizados y, al mismo tiempo, quedar expuesta por una única campaña dirigida.

Exposición

Mide lo que superó o evitó los controles:

• Mensajes maliciosos entregados.
• Amenazas retiradas después de la entrega.
• Mensajes permitidos por reglas, listas seguras o excepciones.
• Campañas dirigidas a usuarios sensibles.
• Dominios similares o remitentes comprometidos con apariencia legítima.

Aquí importa distinguir entre detección preventiva y corrección posterior. Retirar un mensaje después de la entrega es mejor que no detectarlo, pero implica una ventana de exposición que debe medirse.

Impacto

Conecta el evento con una consecuencia:

• Clics sobre URLs maliciosas.
• Apertura o ejecución de adjuntos.
• Entrega de credenciales.
• Sesiones sospechosas posteriores.
• Reglas de bandeja creadas por un atacante.
• Tiempo entre detección, contención y recuperación.

Este nivel requiere correlacionar correo, identidad, endpoints y respuesta a incidentes. Sin esa correlación, el assessment describe controles, no riesgo.

3. Métricas que sí permiten comparar

Los conteos absolutos deben acompañarse con tasas. Algunas métricas útiles son:

Métrica	Cálculo	Qué ayuda a entender
Tasa de entrega maliciosa	Mensajes maliciosos entregados / mensajes maliciosos detectados	Eficacia preventiva
Tasa de interacción	Usuarios que interactuaron / usuarios expuestos	Vulnerabilidad frente a una campaña
Tiempo de remediación	Detección a retiro o contención	Capacidad de respuesta
Dependencia de excepciones	Mensajes permitidos por excepciones / mensajes evaluados	Deuda de configuración
Reporte útil	Reportes válidos / reportes totales de usuarios	Calidad del canal humano de detección

No existe un umbral universal que determine que una tasa es “buena”. El valor está en construir una línea base propia, segmentarla por escenario y observar la tendencia después de cada cambio.

4. Revisar excepciones como deuda técnica

Las listas seguras, bypasses y reglas de transporte suelen acumularse para resolver urgencias operativas. Cada excepción reduce la capacidad del motor de protección y puede permanecer activa mucho después de desaparecer su justificación.

Para cada excepción conviene documentar:

1. Propietario de negocio.
2. Motivo original.
3. Fecha de creación y última validación.
4. Alcance exacto.
5. Control compensatorio.
6. Fecha de vencimiento.

Una excepción sin propietario o vencimiento debería tratarse como una desviación de seguridad, no como una configuración permanente.

5. Analizar identidad después del correo

Una campaña de phishing rara vez termina en el mensaje. Si hubo interacción, el siguiente paso es revisar:

• Inicios de sesión desde ubicaciones o dispositivos no habituales.
• Cambios de métodos de autenticación.
• Consentimientos OAuth.
• Creación de reglas de reenvío.
• Acceso a SharePoint, OneDrive o aplicaciones sensibles.
• Revocación efectiva de sesiones y credenciales.

La autenticación multifactor reduce el riesgo, pero no elimina ataques de adversary-in-the-middle, robo de tokens o fatiga de aprobación. Por eso el assessment debe verificar la implementación concreta, no limitarse a indicar que “MFA está habilitado”.

6. Validar con simulaciones controladas

Las simulaciones de ataque permiten medir comportamiento, pero deben diseñarse para aprender y no para castigar. Una campaña útil:

• Representa escenarios relevantes para la organización.
• Segmenta por exposición y función, no para publicar rankings individuales.
• Mide reporte, interacción y tiempo de reacción.
• Incluye formación inmediata y específica.
• Repite el escenario después de aplicar mejoras.

El resultado debe interpretarse junto con las defensas técnicas. Una tasa de clic aislada no explica si el enlace fue bloqueado, si las credenciales estaban protegidas o si el equipo respondió a tiempo.

7. Presentar el resultado al comité de riesgos

El informe ejecutivo debería evitar la terminología del portal de seguridad. Una estructura efectiva contiene:

1. Escenarios prioritarios: fraude, compromiso de cuentas, malware y fuga de información.
2. Exposición observada: frecuencia, población afectada y controles que fallaron.
3. Impacto potencial: procesos y activos alcanzables.
4. Capacidad de respuesta: tiempos, dependencias y brechas.
5. Plan de tratamiento: acciones, responsables, costo relativo y plazo.

Las recomendaciones deben priorizar reducción de riesgo. Corregir una regla que permite suplantación dirigida puede ser más urgente que aumentar la cobertura de una función avanzada con poco impacto sobre los escenarios observados.

8. Convertir el assessment en un ciclo

Una evaluación puntual pierde valor rápidamente. El objetivo es instalar un ciclo trimestral:

• Actualizar la línea base.
• Revisar excepciones.
• Comparar tendencias.
• Verificar acciones comprometidas.
• Probar escenarios de mayor riesgo.
• Ajustar políticas y procedimientos.

El indicador de madurez no es cuántas amenazas aparecen en un dashboard, sino qué tan rápido la organización puede identificar una exposición, tomar una decisión y verificar que la corrección funcionó.

Conclusión

Un assessment de correo útil conecta telemetría, configuración, identidad y respuesta. Microsoft 365 aporta gran parte de los datos necesarios, pero la calidad del resultado depende de cómo se formulan las preguntas y de la disciplina para validar contexto.

El entregable final debería permitir que seguridad, infraestructura y dirección compartan una misma lectura: cuáles son los escenarios relevantes, qué controles están funcionando, dónde existe exposición residual y qué acciones reducen el riesgo de manera verificable.

Referencias técnicas

1. Reports and insights in Microsoft Defender for Office 365Microsoft Learn
2. Zero-hour auto purge in Microsoft Defender for Office 365Microsoft Learn
3. Trustworthy EmailNIST Special Publication 800-177 Revision 1