Cómo revisar los vínculos anónimos de OneDrive para el cumplimiento normativo

Cuando comparte archivos desde OneDrive mediante un vínculo anónimo, cualquier persona que tenga el vínculo puede acceder al archivo sin iniciar sesión. Esta comodidad puede generar riesgos de cumplimiento si se comparten datos confidenciales fuera de su organización. Los administradores de TI y los responsables de cumplimiento necesitan un método confiable para auditar y revisar estos vínculos de uso compartido anónimos en todo su inquilino. Este artículo explica cómo usar el centro de administración de Microsoft 365, el portal de cumplimiento de Microsoft Purview y PowerShell para identificar y revisar todos los vínculos anónimos creados por los usuarios de su organización.

Descripción de los vínculos de uso compartido anónimos en OneDrive

Un vínculo anónimo, también llamado vínculo Cualquier persona, es un vínculo de uso compartido que no requiere que el destinatario se autentique. Cuando un usuario crea un vínculo Cualquier persona en OneDrive, puede establecer permisos para ver o editar el archivo. El vínculo también puede tener una fecha de expiración o un requisito de contraseña si la directiva del inquilino lo permite.

Desde la perspectiva del cumplimiento, los vínculos anónimos eluden los controles de acceso basados en identidad. Si un usuario comparte un archivo confidencial con un vínculo Cualquier persona y ese vínculo se reenvía o se publica públicamente, personas no autorizadas pueden acceder al archivo. La organización no puede revocar el acceso deshabilitando la cuenta del usuario porque el vínculo no depende de la identidad de quien lo comparte. Auditar estos vínculos es esencial para cumplir requisitos normativos como el RGPD, HIPAA y las directivas internas de protección de datos.

La capacidad de crear vínculos anónimos se controla mediante la configuración de uso compartido a nivel de inquilino en el centro de administración de Microsoft 365. Incluso si el uso compartido anónimo está deshabilitado a nivel de inquilino, los usuarios aún pueden crear tipos específicos de vínculos, como vínculos para Personas de su organización o vínculos de acceso directo. Sin embargo, si el uso compartido anónimo está habilitado, debe revisar periódicamente los vínculos que se han creado para garantizar el cumplimiento.

Pasos para revisar vínculos anónimos con Microsoft Purview

Microsoft Purview proporciona un portal de cumplimiento centralizado donde puede auditar y clasificar contenido confidencial compartido externamente. El Explorador de contenido de Purview le permite filtrar archivos por tipo de uso compartido, incluidos los vínculos anónimos.

1. Abra el portal de cumplimiento de Microsoft Purview
   Vaya a https://compliance.microsoft.com e inicie sesión con una cuenta que tenga permisos de Administrador de cumplimiento o Lector global. En el panel de navegación izquierdo, expanda Clasificación de datos y seleccione Explorador de contenido.
2. Aplique un filtro para vínculos de uso compartido
   En el Explorador de contenido, haga clic en el botón Filtrar en la parte superior de la página. En el panel de filtros, elija Vínculos de uso compartido en la lista desplegable. Seleccione Cualquier persona con el vínculo para mostrar solo los archivos que tienen vínculos de uso compartido anónimos activos. Haga clic en Aplicar.
3. Revise la lista de archivos con vínculos anónimos
   El Explorador de contenido muestra una tabla de archivos que coinciden con el filtro. Cada fila muestra el nombre del archivo, la ubicación, la etiqueta de confidencialidad y el tipo de vínculo de uso compartido. Puede ordenar por ubicación para centrarse en los sitios de OneDrive para la Empresa. Haga clic en un archivo para ver más detalles, incluida la URL exacta del vínculo de uso compartido y los permisos establecidos en él.
4. Exporte los resultados para un análisis más detallado
   Haga clic en el botón Exportar en la parte superior del Explorador de contenido para descargar un archivo CSV con los resultados filtrados. Este archivo incluye el nombre del archivo, la URL del sitio, el tipo de vínculo de uso compartido y la fecha de la última actividad. Use este CSV para crear un informe de cumplimiento o para investigar archivos específicos.

Pasos para revisar vínculos anónimos con PowerShell

Para auditorías a gran escala o comprobaciones de cumplimiento automatizadas, use SharePoint Online Management Shell para recuperar los vínculos de uso compartido anónimos mediante programación. Este método requiere el módulo SharePoint Online Management Shell.

1. Instale y conéctese a SharePoint Online
   Abra Windows PowerShell como administrador y ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell si el módulo aún no está instalado. Luego ejecute Connect-SPOService -Url https://[yourtenant]-admin.sharepoint.com e inicie sesión con una cuenta de Administrador de SharePoint.
2. Obtenga la URL del sitio de OneDrive de un usuario específico
   Ejecute el cmdlet Get-SPOSite -IncludePersonalSite $true -Filter "Url -like '-my.sharepoint.com/personal/'" -Limit All para recuperar todas las colecciones de sitios de OneDrive. Anote la URL del sitio que desea auditar.
3. Recupere los vínculos de uso compartido anónimos del sitio
   Ejecute el cmdlet Get-SPOSiteGroup -Site https://[tenant]-my.sharepoint.com/personal/[user]_[domain]_com para enumerar todos los grupos del sitio. Busque grupos con el nombre Todos excepto los usuarios externos o SharingLinks. Estos grupos contienen los vínculos anónimos. Como alternativa, use Get-SPOExternalUser -SiteId [site-id] para enumerar los usuarios externos que accedieron al sitio mediante vínculos anónimos.
4. Use un script para enumerar todos los vínculos anónimos en todos los sitios de OneDrive
   Ejecute el siguiente script para recorrer todos los sitios de OneDrive y exportar los vínculos anónimos a un archivo CSV. Reemplace [tenant] por el nombre de su inquilino.

   $sites = Get-SPOSite -IncludePersonalSite $true -Filter "Url -like '-my.sharepoint.com/personal/'" -Limit All
   $results = @()
   foreach ($site in $sites) {
       $links = Get-SPOSiteGroup -Site $site.Url | Where-Object {$_.Title -like "SharingLinks"}
       foreach ($link in $links) {
           $results += [PSCustomObject]@{
               SiteUrl = $site.Url
               LinkTitle = $link.Title
               Users = $link.Users -join "; "
           }
       }
   }
   $results | Export-Csv -Path "C:\temp\AnonymousLinks.csv" -NoTypeInformation
   

Errores y limitaciones comunes en la revisión de cumplimiento

Los vínculos anónimos no son visibles en el informe de uso compartido estándar de OneDrive

El informe de uso compartido de OneDrive en el centro de administración de Microsoft 365 solo muestra el número de vínculos de uso compartido externo creados, no las URL específicas de los vínculos ni los archivos a los que apuntan. Para obtener los detalles exactos de los vínculos, debe usar el Explorador de contenido de Purview o PowerShell. Basarse únicamente en el informe del centro de administración puede dar una falsa sensación de cumplimiento.

Se pueden crear vínculos anónimos en carpetas, no solo en archivos

Los usuarios pueden crear vínculos de uso compartido anónimos para carpetas enteras en OneDrive. Cuando una carpeta tiene un vínculo anónimo, todos los archivos dentro de esa carpeta se vuelven accesibles para cualquier persona que tenga el vínculo. Las revisiones de cumplimiento deben comprobar tanto los vínculos anónimos a nivel de archivo como a nivel de carpeta. El Explorador de contenido de Purview muestra los vínculos a nivel de carpeta como elementos separados.

Los vínculos anónimos expirados no se eliminan automáticamente

Cuando un vínculo anónimo expira, el vínculo en sí queda inactivo. Sin embargo, el objeto del vínculo permanece en la colección de sitios hasta que un usuario o administrador lo elimine explícitamente. Los vínculos expirados aún pueden aparecer en los informes de cumplimiento a menos que filtre por estado activo. En PowerShell, puede comprobar la propiedad ExpirationDate del grupo de vínculos de uso compartido para determinar si el vínculo sigue siendo válido.

Los vínculos anónimos eluden las etiquetas de confidencialidad en algunos casos

Si un archivo tiene una etiqueta de confidencialidad que restringe el uso compartido externo, los usuarios aún pueden crear un vínculo anónimo a ese archivo si la etiqueta no aplica cifrado ni control de acceso. Para evitarlo, configure las etiquetas de confidencialidad para que apliquen cifrado o bloqueen el uso compartido externo. Revise las directivas de etiquetas en el portal de cumplimiento de Microsoft Purview en Protección de la información > Etiquetas de confidencialidad.

Explorador de contenido de Purview frente a PowerShell para la revisión de vínculos anónimos

Elemento	Explorador de contenido de Purview	SharePoint Online PowerShell
Tiempo de configuración	No requiere instalación; acceso mediante el navegador	Requiere la instalación del módulo y credenciales de administrador
Nivel de detalle	Muestra archivos individuales con el tipo de vínculo de uso compartido y la etiqueta de confidencialidad	Puede recuperar las URL de los vínculos, los permisos y las fechas de expiración mediante programación
Automatización	Filtrado y exportación manuales; sin programación	Totalmente automatizable mediante scripts para auditorías programadas y alertas
Ámbito	Limitado a los archivos indexados por Purview; puede no incluir todos los sitios de OneDrive	Puede enumerar todos los sitios de OneDrive del inquilino
Requisitos de permisos	Administrador de cumplimiento o Lector global	Administrador de SharePoint

Ahora puede auditar los vínculos de uso compartido anónimos en OneDrive usando Purview para una comprobación visual o PowerShell para la automatización masiva. Comience ejecutando el filtro del Explorador de contenido de Purview para identificar los archivos de alto riesgo compartidos con vínculos Cualquier persona. Luego use el script de PowerShell para generar un inventario completo de los vínculos anónimos en todos los sitios de OneDrive. Para reforzar aún más el cumplimiento, configure una directiva de prevención de pérdida de datos en Purview que bloquee la creación de vínculos anónimos en archivos que contengan información confidencial.