De ToolShell al fin de soporte: tu cronograma de migración de SharePoint empieza ahora
La cadena de explotación ToolShell representa mucho más que otra vulnerabilidad de seguridad que requiere parches. Marca un cambio fundamental en la forma en que actores estatales atacan la infraestructura de colaboración en las instalaciones, con los grupos chinos Linen Typhoon y Violet Typhoon comprometiendo con éxito servidores SharePoint para robar claves criptográficas y establecer acceso persistente a la red. Esta campaña de explotación activa, combinada con la fecha límite de soporte extendido de Microsoft del 14 de julio de 2026, crea una ventana de tiempo comprimida que la mayoría de las organizaciones subestima gravemente.
La matemática es sencilla pero implacable. Una migración realista de SharePoint requiere de 12 a 18 meses desde la evaluación inicial hasta la implementación completa. Con solo 20 meses restantes hasta la fecha límite de soporte a partir de noviembre de 2025, las organizaciones que pospongan la planificación más allá de este trimestre se enfrentarán a decisiones apresuradas, restricciones presupuestarias o se verán operando infraestructura sin soporte mientras intentan migrar a contrarreloj. Este artículo proporciona una línea de tiempo basada en hitos que considera los ciclos presupuestarios, la complejidad de la evaluación de proveedores y las realidades de la migración, no proyecciones optimistas de los proveedores.
Resumen Ejecutivo
Idea principal: Migrar con éxito desde SharePoint en las instalaciones antes de la fecha límite de soporte de Microsoft del 14 de julio de 2026 requiere iniciar el proceso de planificación de inmediato, siguiendo un enfoque estructurado de cinco hitos que abarca de 12 a 18 meses. Las organizaciones deben considerar los ciclos presupuestarios, la evaluación minuciosa de proveedores, la implementación por fases y la adopción por parte de los usuarios, elementos de la línea de tiempo que no pueden comprimirse sin poner en riesgo la seguridad, el cumplimiento y la continuidad operativa.
Por qué te debe importar: Las organizaciones que inicien la planificación de su migración de SharePoint a finales de 2025 o principios de 2026 se enfrentarán a elecciones imposibles: apresurar fases críticas de evaluación y planificación, aceptar brechas en la cobertura de seguridad durante migraciones apresuradas u operar infraestructura vulnerable y sin soporte mientras completan la transición. La convergencia de la explotación activa de ToolShell y la fecha límite de soporte elimina el lujo de esperar al ciclo presupuestario del próximo año o de tomar decisiones retrasadas.
Aspectos Clave
- ToolShell demuestra una vulnerabilidad arquitectónica: Esta cadena de explotación dirigida a SharePoint en las instalaciones (CVE-2025-53770, CVSS 9.8) representa tácticas sofisticadas de actores estatales que roban claves criptográficas para acceso persistente, vulnerabilidades que los parches por sí solos no pueden abordar adecuadamente en arquitecturas heredadas en las instalaciones.
- La migración requiere al menos 12-18 meses: Las organizaciones subestiman sistemáticamente los plazos de migración entre 6 y 12 meses, sin considerar la recopilación de requisitos, la evaluación de proveedores, la validación de cumplimiento, la implementación por fases y la adopción por parte de usuarios en entornos distribuidos.
- Los ciclos presupuestarios aumentan la presión de la línea de tiempo: Las organizaciones sin asignación presupuestaria para el año fiscal 2026 enfrentarán el inicio del proyecto a mediados o finales de 2026, lo que empuja la finalización hasta 2027 o más allá, muy por encima de la fecha límite del 14 de julio de 2026.
- Cinco hitos críticos que no pueden comprimirse: Evaluación y requisitos, evaluación de proveedores, planificación y diseño, implementación piloto y migración a producción, cada uno requiere plazos específicos para ejecutarse con éxito sin crear brechas de seguridad o interrupciones operativas.
- Comenzar en noviembre de 2025 ya es tarde: Con 20 meses hasta la fecha límite de soporte y 12-18 meses requeridos para la migración, las organizaciones que comiencen ahora tienen un margen mínimo para complicaciones o retrasos inesperados.
Entendiendo ToolShell: Por qué cambia el cálculo de migración
ToolShell se diferencia de las vulnerabilidades típicas por su alcance e intención. Los grupos estatales chinos desarrollaron esta cadena de explotación específicamente para atacar instalaciones de SharePoint Server, aprovechando vulnerabilidades críticas como CVE-2025-53770, CVE-2025-53771, CVE-2025-49704 y CVE-2025-49706. La sofisticación del exploit no reside solo en el compromiso inicial, sino en su capacidad para robar claves criptográficas, estableciendo acceso persistente que puede sobrevivir a los ciclos de parcheo.
Para los equipos de seguridad, esto representa un problema fundamental. Las arquitecturas tradicionales de seguridad de confianza cero asumen la intrusión y limitan el movimiento lateral mediante verificación continua. SharePoint en las instalaciones, diseñado en una era de seguridad perimetral, carece de estas protecciones arquitectónicas. Incluso organizaciones con capacidades rigurosas de respuesta a incidentes enfrentan ventanas de vulnerabilidad entre la divulgación del exploit y la aplicación exitosa de parches en entornos complejos.
El enfoque de los actores estatales en plataformas de colaboración sigue un patrón claro. Estos sistemas contienen datos de alto valor, como contratos, propiedad intelectual y comunicaciones confidenciales. Los servidores de colaboración comprometidos también ofrecen puntos de pivote para el movimiento lateral hacia otros recursos de la red. Las organizaciones no pueden resolver vulnerabilidades arquitectónicas solo con parches, lo que hace que estos sistemas sean objetivos atractivos y de alto valor.
La verdadera línea de tiempo de migración: Cinco hitos críticos
Hito 1: Evaluación y Requisitos (Meses 1-3)
La base de una migración exitosa radica en la documentación integral de requisitos, una fase que las organizaciones suelen apresurar o incluso omitir. Esta etapa requiere una evaluación de riesgos de seguridad de la infraestructura actual de SharePoint, mapeo de requisitos de cumplimiento para los marcos relevantes, clasificación de datos y análisis de sensibilidad, documentación de flujos de trabajo de usuarios en todos los departamentos y participación de las áreas de TI, seguridad, cumplimiento y negocio.
Las organizaciones que comprimen esta fase inevitablemente descubren requisitos omitidos a mitad de la migración, lo que obliga a cambios costosos o a la incorporación de herramientas adicionales después de la migración. El entregable no es solo un documento de requisitos, sino una comprensión clara de lo que tu reemplazo de SharePoint debe lograr desde las perspectivas de seguridad, cumplimiento y operación. Para sectores regulados, esto incluye el mapeo de requisitos para CMMC, HIPAA, GDPR u otros marcos relevantes.
Hito 2: Evaluación y Selección de Proveedores (Meses 3-6)
La evaluación de proveedores implica mucho más que revisar materiales de marketing y asistir a demostraciones. Las organizaciones deben realizar pruebas de concepto con datos y flujos de trabajo reales, validar los enfoques de arquitectura de seguridad, mapear el soporte de marcos de cumplimiento a requisitos específicos, analizar el costo total de propiedad incluyendo costos operativos ocultos y negociar contratos con acuerdos de soporte y niveles de servicio adecuados.
La pregunta crítica no es «¿puede esta plataforma hacer lo que hace SharePoint?» sino «¿resuelve esta plataforma los problemas que nos llevan a dejar SharePoint?». Las plataformas que ofrecen arquitectura de Red de Contenido Privado con principios de confianza cero, autorización FedRAMP Moderate y gobernanza unificada en uso compartido de archivos, correo electrónico y transferencia de archivos gestionada representan enfoques fundamentalmente distintos a simplemente migrar SharePoint a una nube multiusuario.
Hito 3: Planificación y Diseño (Meses 6-9)
La planificación de la migración determina si tu transición será exitosa o se convertirá en una crisis prolongada. Esta etapa desarrolla una metodología de migración detallada, incluyendo decisiones sobre el enfoque por fases, diseño de la arquitectura de seguridad y configuración de marcos de cumplimiento, integración con sistemas existentes, mapeo de accesos y permisos de usuarios, desarrollo de programas de capacitación y comunicación, e identificación de grupos piloto con definición de criterios de éxito.
El resultado no es un simple plan de proyecto, sino un plan integral que cubre arquitectura técnica, validación de seguridad y cumplimiento, comunicación con usuarios, entrega de capacitación y planificación de contingencias. Las organizaciones que apresuran esta fase enfrentan tiempos de inactividad prolongados, confusión de usuarios, brechas de seguridad y la necesidad de repetir actividades de migración.
Hito 4: Implementación Piloto y Validación (Meses 9-12)
La implementación piloto con 50-200 usuarios es la prueba crítica del enfoque de migración antes de afectar a toda la organización. Esta fase valida que los flujos de trabajo reales funcionen correctamente, que las políticas de seguridad se apliquen como se diseñaron, que los registros de auditoría capturen los datos de cumplimiento requeridos y que la experiencia de usuario cumpla los umbrales de adopción.
Las lecciones aprendidas durante la implementación piloto informan directamente los procedimientos de migración a producción. Los problemas detectados y resueltos en el piloto son problemas evitados en el despliegue general. Las organizaciones que omiten o apresuran la implementación piloto descubren estos problemas cuando el impacto es mayor y el alcance de usuarios más amplio, extendiendo los plazos y dañando la confianza organizacional en la migración.
Hito 5: Migración Completa a Producción (Meses 12-18)
La migración a producción se realiza en oleadas, no como un evento único. Los departamentos pioneros migran primero, proporcionando validación adicional antes de que sigan los grupos estándar. Los grupos complejos o de alta sensibilidad migran al final, beneficiándose de procedimientos refinados y lecciones aprendidas. Cada oleada requiere monitoreo, soporte, resolución de incidencias y validación antes de avanzar a la siguiente.
Este enfoque por fases da tiempo para la adaptación de los usuarios, permite resolver incidencias sin presión de crisis y valida que todo funcione correctamente antes de desmantelar los sistemas heredados. Comprimir los plazos genera resistencia de los usuarios, soluciones alternativas de seguridad y posibles brechas en la gobernanza de datos.
La realidad del calendario: Por qué esperar significa perder la fecha límite
Las matemáticas de los plazos de migración son implacables. Hoy es noviembre de 2025. La fecha límite de soporte de Microsoft es el 14 de julio de 2026, aproximadamente a 20 meses. Una migración realista toma de 12 a 18 meses. Las organizaciones que comiencen ahora tienen un margen de 2 a 8 meses para imprevistos. Las que esperen hasta el primer trimestre de 2026 no tendrán margen. Las que esperen la asignación presupuestaria del año fiscal 2027 no llegarán a tiempo.
La realidad de los ciclos presupuestarios agrava esta presión. Las organizaciones sin presupuesto asignado para el reemplazo de SharePoint en el año fiscal 2026 probablemente necesitarán planificación y aprobación para el año fiscal 2027, lo que implica iniciar el proyecto a mediados o finales de 2026. Esto empuja la finalización a 2027 o 2028, requiriendo operar durante más tiempo con infraestructura sin soporte mientras avanza la migración.
Cada mes de retraso aumenta la exposición a vulnerabilidades como ToolShell, reduce el tiempo disponible para una evaluación exhaustiva de proveedores y eleva la probabilidad de decisiones apresuradas bajo presión de fechas límite. Las organizaciones que empiezan tarde también enfrentarán limitaciones de capacidad de los proveedores, ya que el mercado en general se apresurará a completar migraciones antes de la fecha límite de soporte.
Medidas de seguridad interinas: necesarias pero insuficientes
Mientras avanza la planificación de la migración, las organizaciones deben implementar medidas de seguridad mejoradas en la infraestructura actual de SharePoint. Aplica los parches de seguridad en cuanto se publiquen, implementa segmentación de red para limitar el movimiento lateral desde servidores SharePoint comprometidos, mejora la monitorización de indicadores de ToolShell y patrones de autenticación inusuales, refuerza los controles de acceso incluyendo requisitos de autenticación multifactor y aumenta la frecuencia de copias de seguridad con pruebas regulares de restauración.
Estas medidas interinas reducen el riesgo pero no eliminan las vulnerabilidades arquitectónicas fundamentales que hacen que las plataformas de colaboración en las instalaciones sean objetivos atractivos. Son una mitigación temporal del riesgo, no una estrategia de seguridad a largo plazo. Las organizaciones deben acelerar la planificación de la migración en lugar de depender indefinidamente de controles interinos.
Kiteworks: Tu destino para migrar desde SharePoint
Las organizaciones que evalúan alternativas a SharePoint enfrentan una decisión crítica: migrar a SharePoint Online y heredar muchas de las mismas limitaciones de cumplimiento en una arquitectura multiusuario, o pasar a una plataforma diseñada específicamente para resolver los problemas que te llevan a abandonar la infraestructura en las instalaciones.
Kiteworks ofrece una red de datos privada con arquitectura de confianza cero que elimina la superficie de ataque que explotan los actores estatales en plataformas en las instalaciones. A diferencia del modelo multiusuario de SharePoint Online, Kiteworks proporciona infraestructura lógicamente aislada, incluyendo una nube privada virtual autorizada FedRAMP Moderate (desde junio de 2017) y FedRAMP High Ready (desde febrero de 2025), brindando una validación de seguridad que pocos igualan.
La gobernanza unificada de la plataforma resuelve una limitación fundamental de SharePoint: la seguridad fragmentada en múltiples canales de intercambio de datos. Kiteworks consolida los canales de comunicación de datos, incluyendo uso compartido seguro de archivos, correo electrónico seguro, MFT segura, Kiteworks SFTP y formularios de datos seguros de Kiteworks bajo políticas centralizadas y registros de auditoría, eliminando la sobrecarga de cumplimiento de correlacionar datos entre sistemas dispersos.
Para los equipos de cumplimiento, Kiteworks automatiza lo que SharePoint requiere hacer manualmente. La plataforma cubre casi el 90% de los requisitos de CMMC 2.0 nivel 2 para contratistas de defensa, ofrece marcos preconfigurados para cumplimiento HIPAA, cumplimiento PCI DSS, cumplimiento GDPR, cumplimiento PCI, cumplimiento CMMC 2.0 y cumplimiento ITAR, y proporciona informes de auditoría automatizados que, según las organizaciones, son un 90% más rápidos que los procesos manuales de SharePoint.
El impacto medible es clave para justificar el presupuesto. Las organizaciones que migran a Kiteworks reportan una reducción del 75% en incidentes de seguridad relacionados con el intercambio de datos confidenciales, informes de cumplimiento un 90% más rápidos en comparación con SharePoint en las instalaciones y un 60% menos de costo total de propiedad al eliminar costos de hardware, reducir la carga operativa de seguridad y liberar capacidad del personal de TI.
Quizás lo más crítico para las organizaciones que enfrentan la fecha límite de julio de 2026, Kiteworks ofrece una metodología de migración probada y perfeccionada en miles de implementaciones. Nuestro equipo dedicado de migración acompaña a las organizaciones en cada hito con enfoques por fases que minimizan la disrupción y maximizan las mejoras de seguridad. Este soporte estructurado ayuda a cumplir plazos exigentes sin sacrificar requisitos ni crear brechas de seguridad.
La presión del calendario es real, pero el camino de solución es claro. Descubre cómo Kiteworks te ayuda a ejecutar una migración de SharePoint basada en hitos que cumple con la fecha límite de julio de 2026, resolviendo las brechas de seguridad, cumplimiento y gobernanza que la infraestructura en las instalaciones ya no puede abordar. Agenda una consulta para revisar tu línea de tiempo y requisitos específicos.
Preguntas frecuentes
ToolShell es una cadena de exploits desarrollada por los grupos estatales chinos Linen Typhoon y Violet Typhoon que explota vulnerabilidades críticas en SharePoint Server, incluyendo CVE-2025-53770 (CVSS 9.8), CVE-2025-53771, CVE-2025-49704 y CVE-2025-49706. Estos exploits permiten a los atacantes comprometer servidores SharePoint y robar claves criptográficas que otorgan acceso persistente a la red incluso después de que la vulnerabilidad inicial haya sido parcheada. Los servidores SharePoint son objetivos de alto valor porque contienen comunicaciones confidenciales, contratos, propiedad intelectual y sirven como puntos de pivote para el movimiento lateral hacia otros recursos de la red. El exploit demuestra que las plataformas de colaboración en las instalaciones enfrentan vulnerabilidades arquitectónicas que los parches por sí solos no pueden resolver, ya que estos sistemas fueron diseñados en una era de seguridad perimetral en lugar de una arquitectura de confianza cero que asume la intrusión y limita el movimiento lateral.
Las líneas de tiempo realistas de migración de SharePoint abarcan de 12 a 18 meses desde la evaluación inicial hasta la implementación en producción, mucho más de los 6-9 meses que muchas organizaciones suponen. Este plazo incluye evaluación y recopilación de requisitos (meses 1-3), evaluación y selección de proveedores con pruebas de concepto (meses 3-6), planificación y diseño detallados incluyendo arquitectura de seguridad y configuración de cumplimiento (meses 6-9), implementación piloto y validación con un subconjunto de usuarios (meses 9-12) y migración a producción por fases (meses 12-18). Las organizaciones subestiman sistemáticamente estos plazos porque no consideran los ciclos de aprobación presupuestaria, la evaluación exhaustiva de seguridad de alternativas, la validación de marcos de cumplimiento, la capacitación y adopción de usuarios y la realidad de que las migraciones a gran escala no pueden apresurarse sin crear brechas de seguridad o disrupciones operativas. Plataformas como Kiteworks, con metodologías de migración probadas y equipos de soporte dedicados, ayudan a ejecutar en plazos realistas, pero incluso con excelente soporte del proveedor, la gestión del cambio organizacional y las actividades de validación requieren tiempos específicos que no pueden comprimirse sin un riesgo significativo.
Operar SharePoint en las instalaciones después de la fecha límite de soporte de Microsoft del 14 de julio de 2026 genera riesgos acumulativos que empeoran con el tiempo. Las vulnerabilidades de seguridad descubiertas después de esa fecha no recibirán parches, dejando tus sistemas permanentemente expuestos a exploits documentados que los atacantes pueden aprovechar sin posibilidad de remediación. Los marcos de cumplimiento exigen cada vez más que los sistemas que gestionan datos confidenciales reciban actualizaciones de seguridad regulares, dificultando o imposibilitando demostrar cumplimiento al operar software sin soporte, lo que afecta especialmente a organizaciones sujetas a CMMC, HIPAA, PCI DSS o marcos similares. Las pólizas de ciberseguro suelen excluir la cobertura de brechas que involucren software sin soporte, dejando a las organizaciones expuestas financieramente. Desde la perspectiva operativa, los problemas de compatibilidad con sistemas y herramientas de seguridad más recientes se acumularán, haciendo que la migración eventual sea más compleja y costosa. Las organizaciones deben ver julio de 2026 no como un objetivo lejano, sino como la fecha máxima aceptable de finalización, lo que requiere comenzar la evaluación y planificación de inmediato para evitar operar infraestructura vulnerable, sin soporte y potencialmente fuera de cumplimiento.
Esta decisión depende de si SharePoint Online resuelve los problemas centrales que te llevan a dejar la infraestructura en las instalaciones. SharePoint Online elimina el mantenimiento de hardware pero opera en una arquitectura multiusuario donde tus datos comparten infraestructura con miles de organizaciones, lo que puede no cumplir requisitos estrictos de seguridad para datos altamente sensibles. También hereda muchas limitaciones de cumplimiento de SharePoint en las instalaciones, careciendo de informes de auditoría automatizados, trazabilidad completa de los datos y gobernanza unificada en correo electrónico, uso compartido de archivos y otros canales de intercambio de datos. Las organizaciones con requisitos exigentes de seguridad o cumplimiento suelen encontrar que las plataformas de intercambio seguro de datos diseñadas específicamente abordan mejor sus necesidades. Plataformas como Kiteworks ofrecen arquitectura de Red de Contenido Privado con infraestructura lógicamente aislada, autorización FedRAMP Moderate, soporte para casi el 90% de los requisitos de CMMC 2.0 nivel 2 y gobernanza unificada en todos los canales de movimiento de datos confidenciales. La elección correcta depende de tus requisitos específicos de arquitectura de seguridad, necesidades de cumplimiento y si necesitas consolidar transferencia de archivos gestionada, seguridad de correo electrónico y uso compartido bajo políticas y registros de auditoría unificados.
Los errores más comunes y costosos en la planificación de migraciones de SharePoint incluyen subestimar los plazos en 6-12 meses, no considerar los ciclos y procesos de aprobación presupuestaria, omitir la recopilación exhaustiva de requisitos lo que lleva a cambios a mitad de migración, apresurar u omitir la implementación piloto que revelaría problemas antes de un impacto organizacional amplio y tratar de hacer una migración de corte total en lugar de una migración por fases que permita validación controlada y resolución de incidencias. Las organizaciones también suelen no mapear los requisitos de cumplimiento de forma integral, descubriendo brechas solo durante auditorías después de la migración. Otro error crítico es evaluar plataformas solo por listas de funcionalidades en vez de enfoques arquitectónicos de seguridad y gobernanza, preguntando «¿puede hacer lo que hace SharePoint?» en vez de «¿resuelve los problemas que nos llevan a dejar SharePoint?». Muchas organizaciones también subestiman los requisitos de gestión del cambio y capacitación para la adopción de usuarios, lo que genera soluciones alternativas que eluden los controles de seguridad. Finalmente, a menudo no validan que la plataforma elegida realmente cubra sus necesidades específicas de gobernanza de datos, seguridad de confianza cero y automatización de cumplimiento antes de comprometerse con la migración, descubriendo limitaciones solo después de invertir tiempo y presupuesto significativos.
Recursos adicionales
- Artículo del Blog
5 mejores soluciones de uso compartido seguro de archivos para empresas - Artículo del Blog
Cómo compartir archivos de forma segura - Video
Kiteworks Snackable Bytes: Uso compartido seguro de archivos - Artículo del Blog
12 requisitos esenciales para software de uso compartido seguro de archivos - Artículo del Blog
Las opciones más seguras de uso compartido de archivos para empresas y cumplimiento