Autenticación de dos factores: implementación sin resistencia de los empleados

La autenticación de dos factores es la medida individual con la mejor relación entre impacto y coste. Sin embargo, en muchos lugares sigue sin implementarse por miedo a la reacción de los empleados. Este temor es, en la práctica, injustificado si la implementación está bien preparada.

TL;DR — Puntos clave

• Las aplicaciones con notificación push son significativamente más seguras que los códigos SMS.
• Passkeys y Windows Hello eliminan la necesidad de la mayoría de los inicios de sesión manuales.
• Las excepciones son el mayor peligro: el atacante buscará precisamente esas cuentas.
• El procedimiento para la pérdida del teléfono debe estar preparado de antemano.

Qué métodos existen

Los métodos más comunes son la confirmación en la aplicación (con coincidencia de números), el código de un solo uso de la aplicación, las llaves de hardware (FIDO2) y las passkeys. El SMS sigue siendo mejor que nada, pero es vulnerable al secuestro de la tarjeta SIM (SIM swapping) y a la interceptación.

Para las cuentas de administrador, recomendamos llaves de hardware o passkeys; para los usuarios convencionales, una aplicación con notificación push. Al mismo tiempo, mediante el acceso condicional, limitamos la frecuencia con la que se requiere el inicio de sesión: en un dispositivo conocido y conforme, esto ocurre raramente.

Por qué es necesario el MFA

Hoy en día, la contraseña es principalmente un nombre de usuario que los atacantes ya poseen.

• Las bases de datos de contraseñas filtradas permiten ataques probando combinaciones conocidas.
• Las páginas de phishing capturan la contraseña en tiempo real.
• Sin MFA, una cuenta robada significa acceso inmediato al correo electrónico y a los documentos.
• Las aseguradoras y los clientes exigen cada vez más el MFA por contrato.

Cómo abordarlo: proceso recomendado

1. Inventariar las cuentas: usuarios, administradores, cuentas de servicio, externos.
2. Elegir métodos por grupos y preparar instrucciones breves en español.
3. Implementar el MFA primero para los administradores y la dirección.
4. Luego extenderlo por departamentos con un periodo de transición de dos semanas.
5. Eliminar las excepciones; donde no sea posible, limitar el acceso a dispositivos conocidos.
6. Establecer un proceso de ayuda por pérdida de teléfono con verificación de identidad segura.

Comparación de métodos

Errores más comunes

El error más frecuente son las excepciones permanentes para la dirección o para un sistema "problemático". Los atacantes apuntan precisamente a estas cuentas porque saben que suelen estar exentas.

El segundo error es la ausencia de un procedimiento ante la pérdida del teléfono. Si el departamento de TI restablece el MFA tras una llamada sin verificar la identidad, toda la medida puede ser eludida mediante ingeniería social.

Cómo ayudamos en VitalIT

En VitalIT implementamos MFA y acceso condicional, además de preparar instrucciones y soporte para los empleados. Consulte nuestros servicios de ciberseguridad.

Relacionado: Passkeys y Gestión de contraseñas en la empresa.

Preguntas frecuentes (FAQ)

¿Necesitamos licencias adicionales?

Para el MFA básico generalmente no; el acceso condicional requiere Entra ID P1, incluido en Business Premium.

¿Qué ocurre con los empleados sin smartphone?

Utilizamos una llave de hardware o un dispositivo de empresa; existe una solución para cada caso.

¿Deben los empleados usar su teléfono privado?

No necesariamente. La alternativa es una llave de hardware, que también es una solución más clara desde el punto de vista legal.

¿Con qué frecuencia se solicitará el inicio de sesión?

En un dispositivo conocido y conforme, típicamente cada pocas semanas; en un dispositivo nuevo, en cada inicio de sesión.

¿El MFA detiene todos los ataques?

No todos, pero detiene la gran mayoría de los que utilizan contraseñas robadas. Para el resto, se requiere acceso condicional y supervisión.