MFA en la empresa: por qué y cómo implementarlo sin complicaciones

El MFA en la empresa (autenticación multifactor) es un estándar de seguridad moderno que requiere que el usuario confirme su identidad mediante dos o más factores diferentes antes de obtener acceso a una cuenta o red empresarial. Generalmente se trata de una combinación de algo que el usuario sabe (contraseña) y algo que posee (un dispositivo móvil o una clave de seguridad). En un mundo donde las contraseñas se han convertido en el eslabón más débil debido a los ataques de phishing y las intrusiones masivas, el MFA representa una capa crítica de protección que, según los datos de Microsoft, detiene más del 99,9 % de los ataques a cuentas de usuario.

Aspectos clave para las empresas

• El MFA en la empresa evita el acceso no autorizado incluso en caso de robo o revelación de la contraseña de un empleado.
• La implementación de la autenticación de dos factores es obligatoria para cumplir con los requisitos de la directiva NIS2 y el Reglamento General de Protección de Datos (GDPR).
• La solución más popular para las pymes es Microsoft Authenticator debido a su integración con el entorno Microsoft 365.
• La implementación no requiere necesariamente inversiones costosas en hardware, ya que la mayoría de los empleados utilizan sus propios teléfonos inteligentes o los de la empresa.
• La ciberseguridad mejora drásticamente con el MFA con un impacto mínimo en la productividad diaria de los usuarios.

¿Por qué el MFA en la empresa es hoy una necesidad y no solo una opción?

Las estadísticas son implacables: las empresas en Madrid, Barcelona, Valencia y otras regiones son blanco diario de ataques automatizados. Los atacantes ya no solo eligen a las grandes corporaciones; las pequeñas y medianas empresas (pymes) son a menudo un blanco más fácil debido a una protección más débil. El problema central es que las contraseñas son fáciles de adivinar, robar u obtener mediante ingeniería social. Una vez que un atacante obtiene la contraseña de un administrador o un contable, tiene libre acceso a toda la red empresarial.

Con la implementación de la autenticación de dos factores (2FA), este peligro casi desaparece. Incluso si un hacker conoce su contraseña, no tiene acceso a su teléfono ni al token físico, lo que le impide iniciar sesión. En VitalIT observamos que las empresas que no tienen configurado el MFA buscan ayuda con mayor frecuencia cuando ya es demasiado tarde, cuando la protección contra ransomware ha fallado y los datos ya están cifrados.

Lea más sobre la protección contra virus de extorsión7 pasos prácticos que, además del MFA, protegen a su empresa de los ataques más graves.

Tipos de factores MFA: ¿Cuál es el mejor para su empresa?

No todos los métodos de MFA son igual de seguros. Al elegir el método adecuado para su infraestructura de IT, debemos sopesar la seguridad y la facilidad de uso. Las empresas suelen utilizar los siguientes enfoques:

Para la mayoría de nuestros clientes en el entorno Microsoft 365, recomendamos el uso de la aplicación Microsoft Authenticator. Esta permite el llamado 'number matching', donde el usuario debe introducir en el teléfono el número que ve en la pantalla del ordenador. Esto evita los ataques de 'MFA fatigue', donde los atacantes bombardean al usuario con notificaciones con la esperanza de que alguien confirme el inicio de sesión por error.

¿Cómo implementar el MFA sin causar resistencia entre los empleados?

El mayor obstáculo al implementar el MFA en la empresa no es de naturaleza técnica, sino la resistencia de los empleados al cambio. A las personas no les gustan los pasos adicionales al iniciar sesión. Por lo tanto, es crucial que la implementación se realice de forma gradual y con la comunicación adecuada.

1. Educación: Explique a los empleados por qué hacemos esto. El objetivo no es el control, sino la seguridad de sus datos y los de la empresa.
2. Grupo piloto: Involucre primero al departamento de IT y a la dirección. Esto le permitirá detectar posibles problemas en aplicaciones específicas.
3. Periodo de gracia: Establezca un periodo (por ejemplo, 14 días) en el que los empleados deban registrarse antes de que el MFA sea obligatorio.
4. Uso de ubicaciones de confianza: Configure el acceso condicional (Conditional Access) en Azure AD / Entra ID, de modo que el MFA no sea necesario cada vez que un empleado esté en la oficina en una red segura.
5. Soporte técnico: Asegúrese de que su soporte de IT esté disponible para ayudar con la configuración en los teléfonos móviles.

Aspectos técnicos: De Microsoft 365 a las conexiones VPN

El MFA en la empresa no debe limitarse solo al correo electrónico. Para una seguridad total, debe integrarse en todos los lugares donde sea posible el acceso externo. Si sus empleados trabajan desde casa, la VPN debe estar protegida obligatoriamente con un factor adicional. Muchas empresas ya utilizan cortafuegos avanzados, como pfSense / Netgate, que permiten la integración de MFA para accesos remotos.

Asimismo, no olvide el acceso a la infraestructura de servidores. Si todavía utiliza un Active Directory local, considere una conexión híbrida con Entra ID, que aporta capacidades de seguridad modernas también a su entorno local. En este sentido, es importante que toda la transición esté documentada, ya que una documentación del entorno IT organizada reduce los costes de mantenimiento en el futuro.

Concepto avanzado: Del MFA a las claves de seguridad (Passkeys)

Aunque el MFA en la empresa es actualmente el estándar de oro, la industria ya se está moviendo hacia un futuro 'passwordless'. La tecnología Passkeys elimina por completo la necesidad de contraseñas, ya que utiliza biometría o hardware para la autenticación. Puede leer más sobre esto en nuestro artículo sobre Passkeys en la empresa.

MFA y legislación (GDPR y NIS2)

A menudo nos encontramos con la pregunta de si el MFA es legalmente obligatorio. Aunque el GDPR no menciona explícitamente la frase 'autenticación de dos factores', exige la aplicación de medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos. En caso de una intrusión y robo de datos personales, las autoridades comprobarán si la empresa hizo todo lo posible para evitarlo. La ausencia de MFA se considera negligencia hoy en día.

Aún más estricta es la nueva directiva NIS2, que afecta a un espectro más amplio de empresas en sectores clave. Esta directiva exige directamente el uso de autenticación multifactor como parte de la higiene cibernética básica. Si su empresa colabora con grandes socios en la UE, estos pronto le exigirán pruebas de estándares de seguridad, incluido el MFA.

Preguntas frecuentes sobre MFA en empresas (FAQ)

¿Pueden los empleados negarse a utilizar su teléfono privado para el MFA?

Legalmente, la empresa no puede obligar al empleado a utilizar un dispositivo privado. En tales casos, la empresa debe proporcionar un teléfono de empresa o tokens de hardware más económicos (por ejemplo, YubiKey).

¿Qué sucede si un empleado pierde el teléfono con el MFA configurado?

El administrador de IT puede desactivar temporalmente el MFA para ese usuario o crear un código de acceso de un solo uso, y luego configurar la autenticación en el nuevo dispositivo lo antes posible.

¿Es Microsoft Authenticator gratuito?

Sí, la aplicación es gratuita, pero el uso de algunas funciones avanzadas (como el Acceso Condicional) requiere una licencia de Microsoft 365 adecuada (por ejemplo, Business Premium).

¿Tengo que confirmar el MFA cada vez que abro Outlook?

No. Normalmente se configura un dispositivo de confianza, donde el inicio de sesión solo se actualiza cada pocas semanas o en caso de acceso desde una ubicación no confiable.

¿El MFA ralentiza los procesos de trabajo?

La implementación del MFA prolonga el proceso del primer inicio de sesión unos 5 segundos, lo cual es insignificante en comparación con la seguridad que aporta.

¿Es el código SMS lo suficientemente seguro para la empresa?

El SMS es mejor que nada, pero no se recomienda, ya que los atacantes pueden interceptar los mensajes o realizar una estafa de transferencia de número de teléfono.

Conclusión: el MFA es la mejor inversión en seguridad

La implementación del MFA en la empresa es probablemente el paso más económico y efectivo que puede dar para mejorar su resiliencia cibernética. Mientras que algunas soluciones de seguridad son complejas y costosas, la autenticación de dos factores se ha convertido en un estándar compatible con la mayoría del software moderno. No espere al próximo intento de ataque de phishing: proteja a su equipo hoy mismo.