Cosas que he construido y lo que salió de ellas. Cada una tiene un artículo corto.
Un informe mensual que le dice a cada país qué licencias base y complementos puede recuperar, y por qué. Construido para que un asiento solo cuente como sin uso cuando una fuente lo diga de verdad.
Cerca de mil app registrations con secretos y certificados que caducaban sin aviso. Lo difícil fue encontrar al responsable de cada una y avisar solo de las credenciales que se usan de verdad; el resultado es que el responsable se entera primero, en lenguaje llano.
El phishing y la suplantación llegaban a las bandejas de entrada. Llevé la evaluación y la migración que pusieron Proofpoint delante de unos 43.000 buzones en más de 25 países, sin perder ningún mensaje por el camino.
Un informe de auditoría mensual de cada cuenta privilegiada en Entra ID y en Active Directory, con lo que ha cambiado desde el anterior. Construido como dos automatizaciones con dos modelos de confianza distintos.
Entra ID → Event Hubs → Stream Analytics → CrowdStrike NG-SIEM, con Azure Automation manteniendo al día el cruce usuario–país. Más allá de filtrar: cada país pasa a ser una unidad medible, con sus propios eventos, volúmenes y métricas de seguridad.
En una escuela de negocios donde una clase no puede pararse porque un PC pide una contraseña, cada tipo de dispositivo recibió su propio perfil de inscripción, su baseline y su parte del catálogo de aplicaciones. Incorporar un equipo pasó a ser elegir el perfil correcto.
El centro de operaciones de seguridad detecta y analiza; el equipo de Workplace tiene las manos sobre los dispositivos. Sin un proceso acordado entre ambos, cada alerta era una conversación. Con uno, pasó a ser un playbook, y los playbooks se pueden automatizar.