Microsoft lanza nuevas recomendaciones de seguridad: ¿están tus dispositivos preparados para las amenazas de la IA?
Microsoft sigue ampliando las recomendaciones de seguridad disponibles en Microsoft Secure Score. Y esta vez hay un detalle que me parece especialmente interesante.
Las nuevas recomendaciones están relacionadas con la preparación de nuestros dispositivos frente a amenazas cada vez más aceleradas por la inteligencia artificial.
Microsoft ha anunciado cuatro nuevas recomendaciones de seguridad para dispositivos Windows administrados y protegidos mediante Microsoft Defender for Endpoint:
- TPM 2.0.
- Virtualization-based Security (VBS).
- Memory Integrity o HVCI.
- Windows LAPS.
Las recomendaciones comenzarán a aparecer automáticamente en Microsoft Secure Score durante septiembre de 2026 y no requieren ninguna configuración adicional para activarlas.
Pero antes de empezar a perseguir puntos en Secure Score, creo que merece la pena entender qué significa realmente cada una.
Porque, como siempre digo, tener una recomendación pendiente no significa que debamos pulsar Enable inmediatamente.
¿Qué está cambiando en Microsoft Secure Score?
Microsoft va a incorporar cuatro nuevas recomendaciones dentro de la categoría de seguridad de dispositivos.
El objetivo es identificar dispositivos Windows compatibles que no tengan determinadas protecciones habilitadas.
Las nuevas recomendaciones serán:
- Ensure that TPM 2.0 is present, enabled, and activated
- Enable Virtualization-based Security (VBS)
- Enable Memory Integrity (HVCI)
- Ensure LAPS is enabled on every endpoint and server
Es decir, Microsoft Defender for Endpoint podrá ayudarnos a responder preguntas como:
- ¿Tenemos dispositivos sin TPM 2.0 activo?
- ¿Cuántos equipos podrían utilizar VBS pero no lo tienen habilitado?
- ¿Tenemos Memory Integrity desactivado?
- ¿Existen endpoints o servidores sin LAPS?
Y aquí está, en mi opinión, la parte realmente interesante. No estamos hablando de una nueva herramienta. Estamos hablando de mejor visibilidad sobre configuraciones de seguridad que probablemente muchos ya tengamos parcialmente desplegadas.
Antes de continuar: ¿qué es Microsoft Secure Score?
Microsoft Secure Score es una forma de medir nuestra postura de seguridad mediante diferentes recomendaciones.
Podemos encontrar recomendaciones relacionadas con:
- Identidad.
- Dispositivos.
- Aplicaciones.
- Datos.
A medida que implementamos determinadas medidas recomendadas, nuestra puntuación puede mejorar.Pero aquí hay algo importante.
TPM 2.0: la base de confianza del dispositivo
La primera recomendación comprobará que nuestros dispositivos disponen de TPM 2.0, que está habilitado y correctamente activado.
Podemos imaginarlo como un componente de seguridad del dispositivo que ayuda a proteger información sensible y determinadas operaciones criptográficas.
Windows utiliza TPM en diferentes funcionalidades, por ejemplo:
- BitLocker.
- Windows Hello.
- Protección de credenciales.
- Arranque seguro.
- Integridad del dispositivo.
En los últimos años TPM 2.0 se ha convertido además en un requisito importante dentro del ecosistema Windows.
Pero en una organización grande podemos encontrarnos situaciones como:
- Equipos antiguos.
- TPM deshabilitado desde BIOS.
- Problemas de configuración.
- Dispositivos que no cumplen los requisitos.
- Hardware heterogéneo.
Y aquí Defender podrá ayudarnos a identificar qué dispositivos deberían disponer de TPM 2.0 y no lo tienen correctamente configurado.
VBS: utilizar la virtualización para proteger Windows
La segunda recomendación está relacionada con:
Virtualization-based Security o VBS.
VBS utiliza capacidades de virtualización del hardware para crear una zona aislada dentro del sistema operativo. Dicho de forma sencilla:
Windows puede utilizar la virtualización para separar determinados componentes críticos del resto del sistema. Esto ayuda a proteger información especialmente sensible frente a determinados ataques. VBS sirve además como base para otras funcionalidades de seguridad.
Por ejemplo:
- Credential Guard.
- Memory Integrity.
- Protección de código.
- Aislamiento de componentes sensibles.
Muchas organizaciones tienen dispositivos perfectamente actualizados, con antivirus y EDR, pero determinadas protecciones de hardware y virtualización no están habilitadas.
Secure Score podrá ayudarnos a detectar precisamente estos casos.
Memory Integrity o HVCI: una capa más contra código malicioso
La tercera recomendación está relacionada con: Hypervisor-Protected Code Integrity (HVCI).
Aunque probablemente muchos administradores la conozcan por su nombre más habitual: Memory Integrity.
Esta funcionalidad utiliza el hypervisor de Windows para ayudar a garantizar que únicamente se cargue código y drivers de confianza dentro del kernel. Y esto es importante porque el kernel es una de las zonas más sensibles del sistema operativo. Si un atacante consigue ejecutar código con privilegios a nivel de kernel, el problema puede ser bastante serio.
Memory Integrity añade una capa adicional para dificultar este tipo de ataques. Hasta aquí todo perfecto. Entonces…
¿Por qué no lo activamos en todos los dispositivos?
Porque, como ocurre con muchas medidas de seguridad, debemos comprobar primero la compatibilidad.
Microsoft recomienda validar aplicaciones y drivers antes de habilitar HVCI en aquellos entornos donde sea necesario realizar pruebas.
Y esto es especialmente importante en organizaciones con:
- Hardware antiguo.
- Drivers específicos.
- Aplicaciones heredadas.
- Software industrial.
- Herramientas de seguridad de terceros.
- Aplicaciones que requieren acceso profundo al sistema.
Por eso yo no haría: Secure Score → Recomendación → Enable para todos.
Yo haría: Secure Score → Identificar dispositivos → Piloto → Validar → Desplegar progresivamente.
Que, curiosamente, suele evitar bastantes tickets.
LAPS: porque las contraseñas locales también importan
La cuarta recomendación está relacionada con una tecnología que personalmente considero fundamental en la administración moderna de dispositivos Windows: Windows LAPS.
LAPS permite gestionar automáticamente las contraseñas de las cuentas locales de administrador.
En lugar de tener algo parecido a esto: «Administrador local Contraseña: Empresa2024» en 500 dispositivos… Podemos tener contraseñas diferentes y gestionadas de forma centralizada. Esto reduce considerablemente uno de los problemas históricos de muchas organizaciones.
La misma contraseña de administrador local en todos los equipos
Porque si un atacante consigue obtener esa contraseña…
ya conoce la contraseña de administrador local de muchos más dispositivos.
Con LAPS podemos rotar y gestionar estas credenciales de forma individual.
Además, la contraseña puede almacenarse de forma segura en los servicios correspondientes de Microsoft Entra ID o Active Directory dependiendo de nuestro escenario.
La nueva recomendación ayudará a identificar endpoints y servidores donde LAPS no está habilitado.
Y sinceramente, si tuviera que elegir una de las cuatro recomendaciones para revisar primero en muchos entornos…
probablemente empezaría por esta.
¿Qué tiene que ver todo esto con la inteligencia artificial?
Aquí está probablemente la parte que más llama la atención del anuncio. Microsoft está utilizando el concepto: AI-readiness.
Pero creo que conviene entenderlo correctamente. No significa que tengamos que activar TPM, VBS o LAPS para utilizar Copilot. Ni que nuestros dispositivos vayan a ejecutar modelos de inteligencia artificial localmente gracias a estas configuraciones. La idea está relacionada con otra cosa. La velocidad a la que evolucionan las amenazas. La inteligencia artificial está acelerando diferentes procesos dentro del mundo de la ciberseguridad.
Por ejemplo:
- Descubrimiento de vulnerabilidades.
- Análisis de código.
- Automatización.
- Creación de campañas.
- Investigación de amenazas.
Microsoft ha reconocido recientemente que el ritmo de descubrimiento de vulnerabilidades está cambiando debido a los avances en IA. Y la respuesta no consiste únicamente en tener mejores sistemas de detección. También necesitamos mejorar la seguridad base de nuestros dispositivos.
Defender e Intune: aquí es donde empieza lo interesante
Estas recomendaciones aparecen dentro del ecosistema de Microsoft Defender for Endpoint.
Pero para quienes administramos dispositivos con Intune, la combinación puede resultar especialmente interesante.
Podemos utilizar: Microsoft Defender para identificar el problema. Microsoft Intune para desplegar la configuración. Microsoft Defender para comprobar la mejora.
Por ejemplo:
- Secure Score identifica dispositivos sin una determinada protección.
- Analizamos los dispositivos afectados.
- Creamos un grupo piloto.
- Desplegamos la configuración mediante Intune.
- Validamos.
- Ampliamos el despliegue.
- Y volvemos a revisar el estado.
Este modelo de Detectar → Configurar → Validar encaja bastante bien con una administración moderna de endpoints.
¿Dónde aparecerán las nuevas recomendaciones?
Microsoft indica que las recomendaciones estarán disponibles dentro de Microsoft Secure Score en el portal de Microsoft Defender.
Los administradores podrán utilizar la etiqueta: AI-Readiness
para localizar estas nuevas recomendaciones. No será necesario activar nada. Las recomendaciones aparecerán automáticamente durante el despliegue.
Tu Secure Score puede cambiar
Y este detalle puede provocar alguna confusión.
Al aparecer nuevas recomendaciones, Microsoft puede modificar:
- Los puntos disponibles.
- La puntuación total.
- El porcentaje de Secure Score.
Por lo tanto, si un día entras en Defender y ves que tu puntuación ha cambiado…
no significa necesariamente que alguien haya modificado una política.
Puede que simplemente Microsoft haya añadido nuevas recomendaciones que ahora forman parte de la evaluación.
¿Qué haría yo como administrador?
Personalmente, seguiría un proceso bastante sencillo.
1. Revisar las nuevas recomendaciones
Entrar en Secure Score y localizar las recomendaciones relacionadas con:
- TPM 2.0.
- VBS.
- Memory Integrity.
- LAPS.
2. Identificar los dispositivos afectados
No todos los dispositivos son iguales.
Intentaría separar:
- Dispositivos modernos.
- Hardware antiguo.
- Equipos especiales.
- Equipos de desarrollo.
- Servidores.
- Dispositivos con aplicaciones heredadas.
3. Validar especialmente Memory Integrity
De las cuatro recomendaciones, HVCI es probablemente la que más revisaría antes de activar de forma masiva.
Comprobaría:
- Drivers.
- Aplicaciones.
- Compatibilidad.
- Eventos.
- Rendimiento.
4. Revisar LAPS
Aquí buscaría especialmente escenarios donde todavía tengamos:
- Contraseñas locales compartidas.
- Administradores locales históricos.
- Scripts antiguos.
- Procesos manuales.
Porque estos son precisamente los escenarios donde LAPS puede aportar muchísimo valor.
5. Documentar excepciones
Y esto también es importante. Puede que algunos dispositivos no puedan utilizar una determinada configuración. Perfecto. Pero debería existir una razón documentada. No simplemente: «Ese equipo está así porque siempre ha estado así.»
Mi opinión
Me parece una actualización interesante porque Microsoft está utilizando Secure Score para algo más útil que simplemente decirnos: «Tu seguridad es 72 %.»
Estas recomendaciones pueden ayudarnos a descubrir algo que ocurre constantemente en organizaciones grandes.
Tenemos una política diseñada, pero no todos los dispositivos están realmente igual de protegidos.
Podemos pensar que tenemos VBS. Pero quizá solo esté habilitado en el 60 % de los equipos.
Podemos pensar que utilizamos LAPS. Pero quizá existan 100 dispositivos fuera de la política.
Podemos pensar que todos los equipos modernos tienen TPM. Hasta que encontramos varios dispositivos donde está deshabilitado.
Y esa es precisamente la utilidad de Secure Score. No sustituye al administrador, no conoce nuestro negocio, no sabe qué aplicación heredada tenemos instalada desde 2007…Pero puede ayudarnos a encontrar dónde deberíamos mirar.
