Etiqueta: PowerAutomate

Proteja los datos utilizados en los flujos de la nube.

Para evitar accesos no autorizados y proteger la información sensible en tus flujos, es fundamental aplicar buenas prácticas de seguridad. Piensa en ello como si estuvieras protegiendo una receta familiar secreta.

1. No Dejes Secretos a la Vista (Evita «Hardcodear») 🤫

«Hardcodear» significa escribir datos sensibles, como contraseñas o claves de API, directamente en las acciones de tu flujo. Es una mala práctica porque cualquiera que pueda ver el historial de ejecuciones del flujo podrá ver esos datos en texto plano. Es como dejar la contraseña escrita en un Post-it pegado al monitor.

La solución: Usa variables de entorno para guardar esta información. Tu flujo leerá el valor de la variable, pero el dato sensible estará guardado y gestionado en un lugar centralizado, no a la vista de todos.

2. Usa una Caja Fuerte (Azure Key Vault) vaults

Para la información más crítica, la mejor opción es Azure Key Vault. Es un servicio en la nube diseñado para ser una «caja fuerte» digital y segura.

• Centralizado y seguro: Guardas todos tus «secretos» (claves, contraseñas, certificados) en un único lugar ultra-protegido.
• Integración segura: Tus flujos pueden «pedirle» un secreto a Key Vault en el momento exacto en que lo necesitan, sin que ese secreto quede expuesto en el historial del flujo.
• Control de acceso: Puedes definir de forma muy precisa quién (o qué aplicación) tiene permiso para acceder a la caja fuerte.

3. Usa «Tinta Invisible» (Entradas y Salidas Seguras) ✉️

Power Automate tiene una función para «ocultar» los datos que entran y salen de una acción. Se llama «Entradas seguras» y «Salidas seguras».

Al activar esta opción en la configuración de una acción, los datos que maneje esa acción no se mostrarán en el historial de ejecuciones. En su lugar, verás un mensaje de «Contenido oculto». Es como si la información se escribiera con tinta invisible: se usa en el proceso, pero nadie puede leerla después.

4. Pon un Portero en la Puerta (Asegura los Desencadenadores HTTP) 🚪

Si tu flujo se inicia con el desencadenador «Cuando se recibe una solicitud HTTP», significa que cualquiera que conozca la URL podría activarlo. Es como tener una puerta sin cerradura. Para asegurarla, tienes dos opciones principales:

• Pedir una «Identificación» (Token de Microsoft Entra ID): Puedes configurar el desencadenador para que solo se active si la solicitud viene con una «identificación» válida (un token de autenticación). Esto asegura que solo usuarios o aplicaciones autorizadas puedan llamar a tu flujo.
• Controlar la «Dirección» de Origen (Firewall de IP): Puedes configurar un cortafuegos para que solo se acepten llamadas que provengan de una lista de direcciones IP de confianza. Es como tener un portero que solo deja pasar a la gente que viene de «direcciones» conocidas.

Mantenga la configuración del flujo genérica

Para que tus flujos sean más seguros y fáciles de gestionar, su configuración debe ser genérica. Esto significa evitar escribir datos específicos directamente en el flujo y, en su lugar, usar variables de entorno y entidades de servicio.

Piensa en ello como construir con piezas de LEGO. Un flujo con datos «hardcodeados» (escritos directamente) es como un modelo pegado con pegamento: no puedes cambiarlo. Un flujo genérico es como un set de piezas estándar que puedes reutilizar y adaptar fácilmente.

1. Usa «Etiquetas» en lugar de Datos Fijos (Variables de Entorno) 🏷️

No escribas datos como URLs de SharePoint, direcciones de correo o claves secretas directamente en las acciones de tu flujo. Si alguien exporta ese flujo, podrá ver esos datos sensibles en texto plano.

La solución: Usa variables de entorno. Son como «etiquetas» o Post-its. Tu flujo hace referencia a la etiqueta (ej: URL_Sitio_SharePoint), y el valor real de esa etiqueta se configura en cada entorno por separado.

Beneficios:

• Seguridad: No expones datos sensibles dentro del diseño del flujo.
• Flexibilidad: Si la URL cambia, solo actualizas el valor de la variable de entorno, sin tener que editar el flujo.

2. Asigna un «Robot» como Dueño (Entidades de Servicio) 🤖

Normalmente, un flujo tiene como «dueño» a una persona. Si esa persona se va de la empresa, su cuenta se desactiva y todos sus flujos dejan de funcionar, creando un gran problema.

Una entidad de servicio (service principal) es como un «usuario robot» no humano. Es una identidad de seguridad que representa a una aplicación, no a una persona.

La solución: Asigna la propiedad de los flujos importantes y sus conexiones a una entidad de servicio.

Beneficios:

• Continuidad: El «robot» nunca se va de vacaciones ni deja la empresa, por lo que el flujo sigue funcionando de forma fiable.
• Seguridad: Puedes darle al «robot» solo los permisos mínimos y necesarios para que el flujo funcione, ni más ni menos. Esto reduce el riesgo de seguridad en comparación con usar una cuenta de usuario con permisos más amplios.

Comprender la propiedad y el acceso al flujo

Para gestionar tus flujos de forma segura y estable, es crucial decidir quién es el «dueño» del flujo: un usuario robot (entidad de servicio o SPN) o una persona (cuenta de usuario).

Piensa en ello como si fuera un coche de empresa. ¿Las llaves y la responsabilidad son de un empleado concreto o de la propia empresa?

1. El Dueño del Flujo: ¿Robot o Persona?

Dueño: Usuario Robot (Entidad de Servicio – SPN) 🤖

Esta es la opción recomendada para flujos críticos y automatizados. Es como si el coche fuera propiedad de la empresa, no de un conductor.

Ventajas:

• Estabilidad: Si un empleado (el conductor) se va de la empresa, el flujo (el coche) sigue funcionando sin problemas porque no estaba a su nombre.
• Seguridad: Al «robot» se le dan solo los permisos mínimos y necesarios para hacer su trabajo, ni más ni menos.
• Auditoría clara: Es fácil saber qué ha hecho el flujo, ya que todas las acciones quedan registradas a nombre del «robot».
• Gestión centralizada: Es más fácil gestionar los permisos de todos los «coches de la flota» desde un punto central.

Dueño: Persona (Cuenta de Usuario) 👤

Esta opción es más adecuada para flujos personales o que requieren interacción humana. Es como si el coche fuera propiedad de un empleado.

Ventajas:

• Fácil de configurar: Cualquier usuario puede crear flujos rápidamente sin una configuración compleja.
• Interacción humana: Es ideal para flujos que necesitan una aprobación o una decisión por parte de una persona.
• Contexto personalizado: El flujo se ejecuta con los permisos y el contexto del usuario dueño, lo que puede ser necesario en ciertos escenarios.

Buenas Prácticas de Propiedad

• Usa un usuario robot (SPN) para flujos importantes, de larga duración o que son críticos para el negocio.
• Usa una cuenta de persona para flujos personales, que dependen del contexto de un usuario específico o que requieren interacción humana directa.

¿Y si Necesito Compartir un Flujo? 🔑

Añadir un Copropietario

Añadir un copropietario es como darle una copia de la llave del coche a un compañero. Esa persona podrá hacer casi todo: ver el historial, editar el flujo, añadir a otros copropietarios e incluso borrarlo. Haz esto solo cuando sea estrictamente necesario para colaborar en el desarrollo.

Compartir con Permisos de «Solo Ejecución» (La opción más segura)

Esta es la forma recomendada de compartir un flujo con otros usuarios. Es como dejar que alguien use el coche para un viaje específico, pero sin darle la llave. El usuario puede iniciar el flujo, pero no puede ver su historial, ni editarlo, ni ver cómo está hecho por dentro.

El Acceso de los Administradores 👮‍♂️

Algunos usuarios, como los Administradores del Entorno, tienen una «llave maestra». Pueden acceder, editar y ver el historial de todos los flujos del entorno, sin importar quién sea el dueño. Es importante tener esto en cuenta para la seguridad y la gobernanza de los datos.

Utilice la auditoría en Microsoft Dataverse y Microsoft Purview.

Para cumplir con las políticas de seguridad y saber qué ocurre con tus flujos y tus datos, Power Platform ofrece capacidades de auditoría. Piensa en la auditoría como si instalaras cámaras de seguridad y un libro de registro en tu sistema.

La auditoría te ayuda a responder preguntas como:

• ¿Quién ha creado o modificado un dato y cuándo?
• ¿Qué campos exactos se han cambiado?
• ¿Qué valor tenía un campo antes de que se modificara?
• ¿Quién ha borrado un dato?
• ¿Quién ha estado accediendo al sistema?

1. Auditoría en Dataverse: El Libro de Registro del «Edificio» 🏢

Dataverse tiene su propio sistema de auditoría interna. Es como el libro de registro de un edificio específico (un entorno de Dataverse).

• Requisito: Solo funciona para flujos que están dentro de una solución.
• Cómo funciona: Tienes que activar la auditoría para cada entorno y para cada tabla de datos que quieras vigilar. Para tener una visión completa de tus flujos, es importante activar la auditoría en las tablas «Workflows» y «Connection reference».
• Qué puedes ver: Puedes ver el historial de cambios de un registro concreto (ej: «¿quién ha modificado a este cliente?») o ver un resumen de toda la actividad que ha ocurrido en el entorno.

2. Registro en Microsoft Purview: La Central de Seguridad de la «Ciudad» 🏙️

Microsoft Purview es la solución de cumplimiento y gobernanza de Microsoft a gran escala. Es como la central de seguridad que vigila toda la ciudad, no solo un edificio.

• Qué registra: Purview registra las actividades que ocurren en Power Automate a un nivel más general, como:
  • Cuándo se crea un flujo.
  • Quién edita un flujo.
  • Quién elimina un flujo.
• Para qué sirve: Te da una visión de cumplimiento a nivel de toda la organización, registrando la actividad de Power Automate junto con la de otros servicios como SharePoint, Teams, etc.

En resumen: Usa la auditoría de Dataverse para un seguimiento detallado de los cambios en los datos dentro de un entorno específico, y usa Microsoft Purview para una visión de alto nivel de la actividad en Power Automate a nivel de toda la empresa.

Evitar la transferencia no autorizada de datos.

Para evitar que los datos de tu empresa se transfieran o se acceda a ellos sin autorización, Power Platform ofrece varias capas de seguridad. Piensa en ello como si estuvieras protegiendo una oficina con información confidencial.

1. Define las Reglas de la Oficina (Directivas de Prevención de Pérdida de Datos – DLP) 🚫

Las directivas DLP son las reglas internas de tu oficina sobre qué herramientas se pueden usar y con quién se puede hablar.

• Bloquea o aísla conectores no empresariales: Es como decir: «En esta oficina, solo se pueden usar las herramientas de la empresa (Outlook, SharePoint). Queda prohibido usar herramientas personales como Dropbox, Twitter o Gmail para manejar datos de trabajo». Esto evita que los empleados puedan enviar fácilmente datos confidenciales a sus cuentas personales.
• Bloquea operaciones de alto riesgo: Ciertas acciones, como la acción «HTTP», son como un «mensajero genérico» que puede enviar datos a cualquier dirección de internet. En entornos con muchos usuarios, es una buena práctica bloquear este «mensajero» para evitar fugas de información.
• Filtra los puntos de conexión: Es como darle al mensajero una lista de direcciones permitidas. Solo puede entregar paquetes a esos destinos específicos y a ningún otro.

2. Pon un Portero en la Entrada (Firewall de IP) 🧱

Un firewall de IP es como un control de seguridad en la entrada del edificio. Solo deja pasar a las personas (solicitudes) que vienen de «direcciones» (direcciones IP) conocidas y de confianza.

Si una solicitud para acceder a tus recursos viene de una ubicación no autorizada, el «portero» simplemente le niega la entrada.

3. «Lo que Pasa en la Empresa, se Queda en la Empresa» (Aislamiento de Inquilinos) 🏢

El aislamiento de inquilinos (tenant isolation) es una regla estricta que impide que las conexiones de tu empresa se usen para acceder a los sistemas de otra empresa.

Evita que un usuario, por ejemplo, use el conector de SharePoint de tu empresa para conectarse a un sitio de SharePoint de otra organización. Es una barrera fundamental para prevenir que los datos crucen las fronteras de tu «inquilino» (tu instancia de Microsoft 365).

4. Añade Controles de Acceso Inteligentes (Directivas de Acceso Condicional) 🔐

El acceso condicional es como añadir medidas de seguridad adicionales y más inteligentes en la puerta de las salas más sensibles. No solo se basa en de dónde vienes, sino en quién eres y cómo intentas entrar.

Puedes aplicar reglas como:

• Autenticación multifactor: «Para entrar en esta sala, no basta con tu tarjeta; también necesitas tu huella dactilar».
• Controles basados en la ubicación: «Solo puedes acceder a los datos si estás conectado desde una de nuestras oficinas».

Utilizar claves gestionadas por el cliente para flujos en la nube

Las claves administradas por el cliente (customer-managed keys o CMK) te permiten usar tus propias claves de cifrado para proteger los datos de tus flujos, en lugar de usar las claves que gestiona Microsoft por defecto.

Analogía: Piensa en tus datos como si fueran objetos de valor que guardas en la caja de seguridad de un banco.

• Por defecto (Claves de Microsoft): Usas la cerradura y la llave que te proporciona y custodia el propio banco. Es seguro y cómodo.
• Claves administradas por el cliente: Llevas tu propia cerradura y tu propia llave única al banco para que la instalen en tu caja. El banco sigue proporcionando la caja fuerte y la seguridad del edificio, pero solo tú tienes la llave que puede abrirla.

Beneficios de Usar tus Propias Claves 🔑

• Mayor control: Tú y solo tú tienes el control total sobre la llave que protege tus datos.
• Cumplimiento normativo: Cumples con regulaciones estrictas que exigen que las organizaciones controlen sus propias claves de cifrado.
• Gestión del acceso a los datos: Si en algún momento necesitas revocar el acceso a tus datos de forma inmediata, simplemente puedes «romper» o desactivar tu llave. Nadie, ni siquiera Microsoft, podrá acceder a la información.
• Seguridad de Azure Key Vault: Tus claves se guardan en Azure Key Vault, que es como otra caja fuerte de máxima seguridad, diseñada específicamente para custodiar llaves y secretos digitales.
• Gestión del ciclo de vida de la clave: Tienes el poder de cambiar la «cerradura» (rotar la clave) periódicamente, revocarla y auditar quién la ha usado, dándote un control total sobre la seguridad.