Cloud empresarial, Microsoft 365 y Azure. Sin sustos en la factura, sin sorpresas en seguridad.

El cloud ya no es el destino, es el punto de partida

Hace diez años, “ir al cloud” era una decisión estratégica que se discutía durante meses en comité. Hoy es la base sobre la que se construye cualquier proyecto IT serio: correo, ofimática, colaboración, almacenamiento, copias de seguridad, identidad, análisis de datos. La pregunta ha cambiado por completo — ya no es si mover la infraestructura al cloud, sino cómo hacerlo bien para que la factura no se duplique a los 18 meses, la seguridad sea real y no de catálogo, y los usuarios trabajen mejor, no peor.

En Impulso Tecnológico llevamos diseñando, migrando y operando entornos cloud para empresas medianas desde antes de que Microsoft 365 se llamase así. Migramos los primeros buzones a BPOS en 2011, los movimos a Office 365 cuando cambió de nombre, y ahora los gobernamos en Microsoft 365 con Defender, Purview, Entra ID y todo el ecosistema asociado. La diferencia entre un cloud que funciona y un cloud que pesa no está en la herramienta — está en cómo se diseña, se segmenta, se licencia y se opera. Y eso es lo que hacemos.

Microsoft 365: el suelo común del puesto de trabajo moderno

Microsoft 365 es probablemente la plataforma más completa — y al mismo tiempo, la más mal aprovechada — del mercado actual. La mayoría de empresas que llegan a nosotros usan tres cosas de las quince que pagan: correo, Teams para videollamadas, y OneDrive como disco personal. El resto (SharePoint estructurado, Power Automate, Defender, Purview, Intune, Entra ID Conditional Access) está pagado pero apagado. Nuestro trabajo, antes que migrar nada nuevo, es activar lo que el cliente ya tiene y demostrar el retorno antes de proponer más licencias.

Cuando sí hay migración real, la hacemos con metodología propia:

• Análisis previo: auditoría del estado actual (Exchange on-prem, Google Workspace, IMAP genérico…) y censo de buzones, distribuciones, salas, recursos compartidos, calendarios y reglas. Sin censo, no hay migración limpia.
• Migración por oleadas: nunca a todo el mundo a la vez. Empezamos con un grupo piloto, ajustamos lo que falla, y luego avanzamos por departamentos en ventanas planificadas — con coexistencia de buzones para que no haya pérdida de correo durante el solape.
• Activación de seguridad básica desde el día uno: MFA obligatorio, bloqueo de protocolos heredados (IMAP/POP/SMTP básico), políticas anti-phishing de Defender for Office 365, registro de auditoría activado y revisado.
• Formación al usuario en el momento del cambio: no manuales PDF que nadie lee, sino microvídeos de 3 minutos enviados el día de la migración con lo que cambia en su día a día.

Microsoft Azure: infraestructura cuando la necesitas, no antes

Azure es la otra pata del cloud Microsoft, y la que más confusión genera en empresas medianas. La diferencia respecto a Microsoft 365 es sencilla: M365 es software como servicio (consumes aplicaciones ya hechas), Azure es infraestructura y plataforma como servicio (construyes lo que necesitas sobre máquinas, redes y servicios gestionados). En Impulso desplegamos Azure cuando hay un caso de uso real:

• Servidores virtuales para aplicaciones que no encajan en SaaS (ERP propietario, software de ingeniería específico, entornos de desarrollo, terminal server con licencias por usuario).
• Bases de datos gestionadas (Azure SQL, MySQL flexible, PostgreSQL) cuando el cliente quiere quitarse el mantenimiento del motor pero mantener control sobre los datos.
• Backup y disaster recovery con replicación geográfica para cargas críticas — la copia inmutable en Azure Blob es uno de los argumentos más fuertes contra el ransomware.
• Entornos híbridos conectados con ExpressRoute o VPN site-to-site, cuando hay servidores físicos que aún no toca migrar (impresoras industriales, controladores de planta, infraestructura legada con dependencias).

Lo que no hacemos es desplegar Azure por moda. Si la carga de trabajo funciona mejor en un servidor on-premise bien dimensionado y mantenido, lo decimos. El cloud no es la respuesta correcta a todas las preguntas — es la respuesta correcta a las preguntas adecuadas.

Licenciamiento y FinOps: el cloud sale caro cuando no se gobierna

El gran secreto del cloud — el que los comerciales evitan mencionar — es que sin disciplina financiera, el coste mensual crece silenciosamente hasta duplicar el presupuesto previsto. Máquinas virtuales encendidas que nadie usa, copias de seguridad sin política de retención, licencias E5 asignadas a usuarios que solo necesitan Business Standard, contenedores de pruebas que llevan año y medio corriendo. En Impulso aplicamos un modelo FinOps continuo para cada cliente:

• Revisión mensual de consumo: informe ejecutivo con coste por departamento, top 10 de recursos más caros y propuesta de optimización con ahorro estimado.
• Rightsizing automático: análisis de uso real de CPU/memoria/disco en máquinas Azure para detectar sobrecapacidad y proponer redimensionamiento sin afectar al rendimiento.
• Reserved Instances y Savings Plans: compromiso a uno o tres años para cargas predecibles, con descuentos del 30-65% frente al precio bajo demanda.
• Auditoría trimestral de licencias M365: detección de cuentas inactivas, licencias sobredimensionadas para el perfil real del usuario, y alineación entre lo facturado y lo realmente usado.

Seguridad de la identidad: en cloud, la identidad es el nuevo perímetro

Cuando los servidores estaban en una sala con llave, el perímetro era físico. En cloud, la identidad es el nuevo perímetro — y por eso casi todos los ataques actuales empiezan con credenciales robadas, no con vulnerabilidades técnicas. Nuestro estándar mínimo para cualquier tenant Microsoft 365 incluye:

• MFA obligatorio para el 100% de los usuarios, sin excepciones (ni ejecutivos ni administradores). Preferentemente con Microsoft Authenticator + número matching, no SMS.
• Conditional Access: políticas que bloquean accesos desde geografías no autorizadas, dispositivos no gestionados, sesiones de riesgo detectado por Entra ID Protection, o clientes legacy sin MFA capacidad.
• Privileged Identity Management (PIM): roles administrativos asignados just-in-time — un técnico no es admin global todo el día, lo es durante la hora que necesita para una tarea concreta, con aprobación y registro.
• Defender for Office 365 Plan 2: protección anti-phishing avanzada, sandbox para adjuntos sospechosos, simulación de ataques internos para entrenamiento.
• Defender for Endpoint integrado con el tenant: los puestos de trabajo Windows reportan al mismo Security Center que el cloud, con respuesta automatizada ante indicadores de compromiso.

Backup de Microsoft 365: lo que Microsoft no hace por ti

Existe una confusión peligrosa muy extendida: “Si mis datos están en Microsoft 365, Microsoft hace el backup”. Falso. Microsoft replica datos para garantizar disponibilidad del servicio (que el correo no se pierda si se cae un datacenter), pero no protege contra borrados accidentales, ataques internos, ransomware que cifre OneDrive, o errores humanos más allá de su ventana de retención (30-93 días según el servicio). La responsabilidad del backup recae sobre el cliente. En Impulso desplegamos Veeam Backup for Microsoft 365 como estándar:

• Backup diario de buzones, OneDrive, SharePoint y Teams con retención configurable (un año mínimo, retención legal donde aplica).
• Almacenamiento en cloud independiente (Azure Blob inmutable u objetos S3 con Object Lock) para que ni un compromiso del tenant pueda borrar las copias.
• Restauración granular: un correo específico, una versión anterior de un documento, una conversación de Teams, un sitio completo de SharePoint.
• Pruebas trimestrales de restauración documentadas. Un backup no probado es una suposición, no una protección.

Gobernanza de Teams, SharePoint y OneDrive

Microsoft 365 sin gobernanza es una jungla a los seis meses: cientos de equipos creados sin criterio, archivos importantes en OneDrive personal de gente que ya no está, accesos externos repartidos sin control, sitios SharePoint sin propietario. Diseñamos e implantamos un marco de gobernanza adaptado al cliente:

• Política de creación de Teams con plantillas aprobadas y patrón de nombres consistente.
• Sensitivity labels (Purview) para clasificar información confidencial y restringir su comparti­ción externa.
• Revisión periódica de accesos externos: invitados B2B inactivos, sharing links públicos, accesos heredados.
• Migración de OneDrive personal a SharePoint cuando el documento es de equipo, no del usuario.
• Retención y eliminación automática según política documental — alineada con RGPD y normativas sectoriales.

Soporte y operación: cuando el cloud falla, el lunes a las 9

Toda esta arquitectura está bien diseñada en presentaciones, pero la realidad es que el cloud también falla. Un usuario se queda fuera de Teams en una reunión con cliente. Un tenant entero pierde conectividad por un cambio de DNS mal hecho. Una licencia E5 se queda sin asignar porque cambió el plan de facturación. Para eso existe nuestro servicio de operación cloud continuo:

• Soporte 9×5 con SLA de respuesta sub-1 hora para incidencias críticas.
• Guardia 24×7 opcional para entornos donde la operación no puede parar.
• Monitorización proactiva del estado del tenant (Service Health, alertas de seguridad, anomalías de uso).
• Soporte multilingüe español, inglés y portugués — relevante para nuestros clientes con operación en Iberia y mercados internacionales.

Cómo trabajamos

Cada proyecto cloud entra por la valoración gratuita (1 hora, in situ o remota) → auditoría técnica del entorno actual y plan de migración (1-3 semanas según volumen) → propuesta cerrada con presupuesto fijo por fase → ejecución por oleadas sin parar el negocio → operación continua con SLA, FinOps mensual y revisión trimestral de seguridad.

Si tu empresa tiene una incidencia cloud crítica ahora mismo, llama al +34 91 505 7574. La primera respuesta llega en minutos, no en días.