AI Pilot

El núcleo de Aether365 es el análisis de seguridad de Microsoft 365 en solo lectura: analiza tu tenant, muestra los hallazgos y te ofrece los pasos de corrección para que los ejecutes tú mismo. AI Pilot amplía esto con corrección asistida. Tras un análisis, AI Pilot puede proponer correcciones concretas, dejarte revisar cada una y aplicar los cambios que apruebes directamente en tu tenant de Microsoft 365 mediante Microsoft Graph.

AI Pilot es opcional y utiliza una conexión Microsoft de consentimiento de escritura independiente. El análisis en solo lectura sigue siendo la opción predeterminada para cada tenant, y no se escribe nada en tu tenant a menos que lo apruebes.

En qué se diferencia AI Pilot del análisis en solo lectura

	Análisis en solo lectura (predeterminado)	AI Pilot (opcional)
Qué hace	Lee la configuración del tenant, ejecuta análisis, muestra hallazgos y pasos de corrección	Todo lo que hace el análisis, además de aplicar las correcciones que apruebas
Quién corrige	Tú, siguiendo los pasos de corrección	AI Pilot, tras tu aprobación elemento por elemento
Consentimiento	Consentimiento Microsoft en solo lectura (concedido al conectar un tenant)	Un consentimiento de escritura independiente, concedido solo al activar AI Pilot
Planes	Todos los planes	Planes de pago

El análisis en solo lectura es siempre la opción predeterminada. AI Pilot nunca cambia esa postura por su cuenta: añade una conexión de escritura opcional e independiente que configuras de forma explícita.

Disponibilidad

AI Pilot está disponible en los planes de pago. Si tu plan no lo incluye, la sección de AI Pilot te invita a mejorar tu plan. El análisis en solo lectura sigue funcionando en todos los planes.

El flujo de AI Pilot

El uso de AI Pilot consta de cinco pasos:

1. Conectar un tenant de AI Pilot: concede el consentimiento de escritura Microsoft independiente para el tenant que quieras activar.
2. Ejecutar un análisis de AI Pilot: Aether365 analiza el tenant e identifica las comprobaciones fallidas.
3. Revisar hallazgos: AI Pilot genera un plan de corrección que muestra cada cambio propuesto, con el valor actual y el nuevo valor propuesto uno al lado del otro.
4. Aprobar correcciones elemento por elemento: apruebas cada corrección de forma individual. No se aplica nada hasta que lo hagas.
5. AI Pilot aplica y verifica: las correcciones aprobadas se aplican mediante Microsoft Graph, y se verifica el nuevo estado.

Activar AI Pilot para un tenant

AI Pilot requiere un consentimiento de administrador Microsoft independiente que concede permisos de escritura acotados, además de los permisos de lectura que se usan para el análisis. Es un paso único por tenant y no afecta a la conexión en solo lectura que ya tienes.

Se requiere un Global Administrator

El consentimiento de AI Pilot debe ser aprobado por un Global Administrator del tenant que quieras activar. Los permisos de escritura permiten a Aether365 aplicar en ese tenant las correcciones que apruebes.

Pasos:

1. Abre la página Connect Tenant.
2. Localiza la sección AI Pilot Connection.
3. Elige el tenant conectado en el que quieras activar AI Pilot y, a continuación, haz clic en Enable AI Pilot.
4. Se te redirige a la pantalla de consentimiento de Microsoft. Inicia sesión con una cuenta de Global Administrator de ese tenant.
5. Revisa los permisos de escritura acotados que se muestran en la pantalla de consentimiento y, a continuación, haz clic en Accept.
6. Microsoft te redirige de vuelta a Aether365. El tenant ahora muestra una insignia de AI Pilot, que confirma que el consentimiento de escritura está activo.

Tu conexión en solo lectura existente para el mismo tenant no se ve afectada. AI Pilot se conecta como una conexión independiente y autónoma junto a ella, no como una mejora que la reemplace. El análisis continúa sin cambios.

La solo lectura sigue siendo la opción predeterminada

Activar AI Pilot en un tenant no cambia nada para tus otros tenants. Cada tenant permanece en solo lectura hasta que actives AI Pilot en ese tenant en concreto.

Ejecutar un análisis de AI Pilot y revisar el plan

Una vez que un tenant tiene AI Pilot activado, puedes convertir los resultados de un análisis en un plan de corrección:

1. Ejecuta un análisis del tenant (manualmente o según su programación), o usa un análisis ya completado.
2. En el área de AI Pilot, genera un plan de corrección a partir del análisis. El plan enumera las comprobaciones fallidas que tienen una corrección automatizada.
3. El plan muestra cada cambio propuesto como una fila:
   • La comprobación que falló
   • El valor de configuración actual
   • El nuevo valor propuesto
   • La severidad del hallazgo

Revisa cada elemento antes de aprobar nada. Cada fila te indica con exactitud qué va a cambiar.

Niveles de riesgo

Cada corrección automatizada lleva un nivel de riesgo que refleja lo disruptivo que podría ser el cambio si no es lo que pretendías:

• Bajo: refuerzo rutinario con una disrupción insignificante, como bloquear los registros de correo de autoservicio o activar un método de autenticación más fuerte.
• Medio: restricciones más estrictas que pueden afectar al uso diario si se acotan mal, como restringir el acceso de invitados o el uso compartido externo.
• Alto: cambios que pueden dejar fuera a los usuarios si se configuran mal, como las políticas de Conditional Access. Los cambios de alto riesgo nunca se aplican automáticamente y siempre requieren tu aprobación explícita.

El plan de corrección marca cada elemento con su nivel de riesgo para que puedas priorizar tu revisión. La corrección automática (más abajo) solo aplica correcciones de riesgo bajo y medio; los cambios de alto riesgo siempre quedan a la espera de ti.

Aprobar correcciones elemento por elemento

AI Pilot aplica las correcciones elemento por elemento. No se aplica nada automáticamente y no existe ninguna acción global de tipo «aplicar todo» que omita tu revisión.

1. En el plan de corrección, haz clic en Approve en cada elemento que quieras que AI Pilot aplique.
2. Los elementos aprobados se aplican de uno en uno mediante Microsoft Graph.
3. Después de cada cambio, Aether365 verifica el nuevo estado y marca el elemento como aplicado.
4. Los elementos que no apruebes permanecen sin cambios. Puedes volver al plan más tarde para aprobar más elementos.

Confirma con un nuevo análisis

Tras aplicar correcciones, ejecuta un nuevo análisis para confirmar que las comprobaciones ahora pasan. El análisis lee el estado real del tenant de forma independiente, por lo que es la comprobación de referencia de que una corrección surtió efecto.

Deshacer una corrección

Si una corrección aplicada tiene un efecto no deseado, puedes revertirla. Cada elemento aplicado en la vista de actividad de AI Pilot tiene una acción de Revertir que restaura el ajuste a su valor anterior y verifica el resultado, del mismo modo en que se aplicó la corrección.

La reversión está protegida: solo se ejecuta mientras el ajuste siga manteniendo el valor que estableció AI Pilot. Si algo (o alguien) cambió ese ajuste después de aplicar la corrección, la reversión se niega en lugar de sobrescribir el cambio más reciente, de modo que tus ediciones posteriores nunca se pisan.

Correcciones automatizadas y manuales en el detalle de un análisis

No todas las comprobaciones fallidas tienen una corrección automatizada. Cuando abres el detalle de un análisis y observas un hallazgo fallido, AI Pilot te indica de qué tipo es:

• Los hallazgos con corrección automatizada muestran una casilla de AI Pilot. Márcala para que AI Pilot aplique esa corrección por ti.
• Los hallazgos sin corrección automatizada muestran un indicador Manual junto con los pasos de corrección manual que debes seguir tú mismo. Para un enfoque paso a paso al abordarlos, consulta Corrección de hallazgos.

Esta distinción es la misma tanto si revisas un análisis para aprobar correcciones a mano como si dejas que la corrección automática se encargue de las que sí lo permiten. Los hallazgos manuales siempre quedan a tu cargo.

Corrección automática al finalizar un análisis

Más allá de revisar las correcciones de una en una, AI Pilot puede aplicar automáticamente los hallazgos fallidos corregibles en cuanto finaliza un análisis de AI Pilot, y luego verificar cada cambio. Esto resulta práctico para los tenants que confías a AI Pilot para mantenerlos en buen estado sin un paso de revisión manual tras cada análisis.

La corrección automática solo se ejecuta cuando se cumplen ambas condiciones:

• El tenant tiene una conexión de AI Pilot con el consentimiento de escritura concedido.
• La corrección automática está activada para tu cuenta. Es un interruptor independiente de la conexión de AI Pilot, así que tener simplemente una conexión de AI Pilot no inicia por sí solo la aplicación automática de correcciones.

Cuando se cumplen ambas condiciones, un análisis de AI Pilot completado desencadena que los hallazgos fallidos corregibles se apliquen y luego se verifiquen, del mismo modo que se aplica y verifica una corrección que apruebas a mano. Los hallazgos que no tienen corrección automatizada quedan para que los gestiones manualmente, igual que en el detalle del análisis descrito arriba.

La corrección automática solo aplica correcciones de riesgo bajo y medio. Los cambios de alto riesgo - como las políticas de Conditional Access - nunca se aplican automáticamente; siempre quedan a la espera de tu aprobación explícita, esté o no activada la corrección automática.

La corrección automática solo se ejecuta en un análisis de AI Pilot que inicies tú mismo. Los análisis programados son siempre de solo lectura: una programación nunca ejecuta AI Pilot ni aplica ninguna corrección, ni siquiera en un tenant que tiene la corrección automática activada. La automatización nunca escribe en tu tenant por su cuenta.

Tú mantienes el control

La corrección automática está desactivada hasta que la actives. Con ella desactivada, AI Pilot sigue haciendo todo lo demás: tú apruebas solo las correcciones que quieras, cuando quieras. Con ella activada, los hallazgos corregibles se gestionan por ti en cada análisis, y los hallazgos manuales siguen estando a tu cargo.

Cuentas break-glass

Las cuentas break-glass son cuentas de acceso de emergencia que conservas para no quedarte nunca fuera de tu propio tenant. Puedes designarlas para una conexión de AI Pilot, y AI Pilot las excluye de los cambios de alto impacto, en particular de cualquier política de Conditional Access que cree.

Configúralas en la conexión de AI Pilot mediante el nombre principal de usuario o el identificador de objeto. Si no se designa ninguna cuenta break-glass, AI Pilot te avisa antes de que apliques un cambio de alto impacto, porque aplicar uno sin una cuenta de emergencia excluida corre el riesgo de dejar fuera del tenant a todos, incluido a ti. Es muy recomendable designar al menos una antes de aplicar Conditional Access.

Conditional Access

Las políticas de Conditional Access se encuentran entre los controles de mayor impacto de Microsoft 365: deciden quién puede iniciar sesión y en qué condiciones. AI Pilot puede crear por ti un pequeño conjunto de políticas de Conditional Access recomendadas, con barreras de seguridad estrictas:

• Bloquear la autenticación heredada: bloquea los protocolos heredados que no pueden imponer MFA.
• Exigir MFA a los administradores: exige autenticación multifactor para los roles de directorio con privilegios.
• Exigir MFA a todos los usuarios: exige autenticación multifactor en todos los usuarios y aplicaciones.

Como una política de Conditional Access mal configurada puede dejar fuera a todos, AI Pilot nunca activa ninguna directamente. Usa un modelo deliberado de dos pasos:

1. Crear en report-only. AI Pilot crea la política en el modo report-only de Microsoft, con tus cuentas break-glass excluidas. El modo report-only no bloquea ni concede nada: solo registra lo que habría ocurrido, lo que puedes revisar en tus registros de inicio de sesión de Entra en la pestaña de Conditional Access.
2. Revisar el impacto. Contrasta los resultados de report-only con los inicios de sesión reales para confirmar que la política se comporta como se pretende y no atrapa a nadie que no debería.
3. Aplicar. Solo cuando estés conforme, aplicas explícitamente la política, lo que la pasa de report-only a activada. AI Pilot te avisa en ese momento si no hay ninguna cuenta break-glass excluida.

Conditional Access nunca se aplica automáticamente ni se impone sin tu acción explícita. AI Pilot solo toca las políticas que ha creado - llevan un prefijo de nombre Aether365 - - y nunca modifica tus políticas de Conditional Access existentes.

Designa primero una cuenta break-glass

Antes de aplicar cualquier política de Conditional Access, designa al menos una cuenta break-glass para conservar el acceso de emergencia. AI Pilot la excluye automáticamente de la política.

El modelo de seguridad

AI Pilot está diseñado para que el acceso de escritura sea deliberado y revisable:

• Opcional. AI Pilot está desactivado de forma predeterminada. El análisis en solo lectura es la postura predeterminada para cada tenant.
• Consentimiento independiente. El acceso de escritura usa su propio consentimiento Microsoft, distinto del consentimiento de análisis en solo lectura. Concederlo requiere un Global Administrator.
• Aprobación elemento por elemento. Cada corrección se revisa y se aprueba de forma individual antes de que se escriba nada en tu tenant. Ninguna corrección se aplica automáticamente a ciegas.
• Verificado. Después de aplicar cada corrección, se verifica el nuevo estado y puedes confirmar el resultado con un análisis independiente. Esto vale también para la corrección automática: cada corrección aplicada automáticamente se verifica antes de marcarse como completada.
• La corrección automática es opcional. La aplicación automática de correcciones al finalizar un análisis solo ocurre si la activas, sumada a una conexión de AI Pilot. Nunca aplica correcciones que carezcan de remediación automatizada, y los hallazgos manuales siguen estando a tu cargo.
• Por niveles de riesgo. Cada corrección se clasifica como riesgo bajo, medio o alto. La corrección automática solo aplica correcciones de riesgo bajo y medio; los cambios de alto riesgo siempre requieren aprobación explícita.
• Reversible. Las correcciones aplicadas pueden revertirse a su valor anterior, de forma protegida para que una reversión nunca sobrescriba un cambio más reciente hecho desde entonces.
• Consciente del break-glass. Las cuentas de acceso de emergencia que designes quedan excluidas de los cambios de alto impacto y de cualquier política de Conditional Access que cree AI Pilot.
• Conditional Access en dos pasos. Las políticas de alto impacto se crean primero en modo report-only y solo se aplican tras tu revisión y acción explícitas, nunca de forma automática.
• Acotado. Los permisos de escritura cubren únicamente las áreas de corrección que admite Aether365.

Revocar el consentimiento de AI Pilot

Para retirar el acceso de escritura de AI Pilot a un tenant:

1. En tu tenant de Microsoft, abre el centro de administración de Entra (portal.azure.com > Enterprise Applications > Aether365).
2. Retira los permisos de escritura, o elimina la entrada de la aplicación empresarial.

Tu conexión en solo lectura en Aether365 sigue funcionando para el análisis después de revocar el consentimiento de escritura. Si más adelante quieres volver a tener AI Pilot, reactívalo desde la sección AI Pilot Connection de la página Connect Tenant.

Relacionado

• Conectar un tenant: configurar la conexión en solo lectura y la AI Pilot Connection
• Corrección de hallazgos: abordar los hallazgos manualmente
• Threat Alerts: riesgo de identidad en tiempo real y respuesta a brechas en un clic
• Policy Management: revisar y reforzar las políticas clave del tenant
• Lectura de resultados de análisis: entender los resultados del análisis
• Modelo de seguridad: solo lectura predeterminada y acceso de escritura opcional
• Permisos de Microsoft: los permisos que solicita Aether365