Autenticación multifactorial con dos dispositivos.

Protect accounts with multifactor authentication

Cybersecurity Starter Kit: Section 3

En esta sección, aprenderás a:

Descubre cómo la autenticación multifactorial (MFA) protege tus cuentas.
Explora los distintos métodos de MFA y elige los más adecuados para tu organización.
Configura la recuperación segura de la cuenta y detecta las solicitudes de inicio de sesión sospechosas.

Las cuentas de tu organización sin ánimo de lucro permiten a las personas acceder al correo electrónico, a los archivos, a las finanzas y a los servicios esenciales.

Proteger esas cuentas ayuda a proteger todo aquello a lo que se puede acceder a través de ellas.
Una contraseña segura y única es una medida de protección importante. La autenticación multifactorial, o MFA, añade un paso adicional para confirmar que la persona que inicia sesión está autorizada. Esto puede hacer que una contraseña robada resulte mucho menos útil para alguien que intente acceder a tu cuenta.

¿Qué es el MFA?

La autenticación multifactorial (MFA) requiere dos o más tipos diferentes de verificación al iniciar sesión:

Algo que ya sabes

Una contraseña o un PIN

Algo que eres

Una huella dactilar o el reconocimiento facial utilizados para desbloquear una aplicación de autenticación

Algo que tienes

Un teléfono registrado, una aplicación de autenticación o una llave de seguridad

Por ejemplo, podrías introducir tu contraseña y, a continuación, introducir un código generado por una aplicación de autenticación en tu teléfono. También es posible que veas el término «autenticación de dos factores» o «2FA». Se trata de la autenticación multifactorial (MFA) que utiliza dos tipos de verificación. Una contraseña seguida de una pregunta de seguridad no ofrece la misma protección: ambas se basan en algo que tú sabes.

¿Cómo se traduce esto en la práctica?

Un empleado inicia sesión en la cuenta de correo electrónico de la organización. Tras introducir su contraseña, se le pide que confirme el inicio de sesión mediante una aplicación de autenticación.
Alguien que consiga esa contraseña normalmente necesitaría un paso de autenticación adicional para obtener acceso.
La autenticación multifactorial (MFA) refuerza la protección de las cuentas, pero algunos métodos pueden seguir siendo burlados mediante el phishing o engañando a alguien para que apruebe una solicitud. Sigue verificando las solicitudes inusuales incluso cuando la MFA esté activada.

Conoce tus opciones

Las opciones disponibles dependen del servicio y de la configuración de tu cuenta.

teléfono y ordenador portátil con acceso a la cuenta bancaria

Mensaje de texto o llamada telefónica

Se envía un código a un número de teléfono registrado.

Ofrece una protección adicional respecto a una contraseña por sí sola, pero es vulnerable a la interceptación y a la apropiación del número de teléfono.

Códigos de la aplicación de autenticación

Una aplicación genera códigos de uso único que debes introducir al iniciar sesión.

No depende de que se reciba un mensaje de texto. Los códigos se pueden seguir capturando a través de una página de inicio de sesión falsa.

Mensajes de solicitud de aprobación del autenticador

Una aplicación te pide que autorices un inicio de sesión, a veces introduciendo un número.

Es preferible la comprobación de números a un simple mensaje de «aprobar/rechazar». Aprueba únicamente los inicios de sesión que hayas iniciado tú mismo.

Llaves de seguridad FIDO o claves de acceso

Una clave de seguridad registrada o una clave de acceso en un dispositivo verifica el inicio de sesión en el servicio.

Diseñado para evitar el phishing durante el inicio de sesión. La seguridad de la cuenta sigue dependiendo de la protección del dispositivo, las medidas de recuperación y cualquier otro método de inicio de sesión que siga activado.

¿Qué significa “resistente al phishing”?

Las claves de acceso están vinculadas al servicio para el que se crearon, lo que ayuda a evitar que una página web falsa capture credenciales que puedan reutilizarse en la página web auténtica. Se trata de una protección específica para el proceso de inicio de sesión.
Esto no impide que alguien sea convencido para enviar dinero, revelar información o conceder acceso tras iniciar sesión. Un dispositivo comprometido, una sesión de inicio de sesión robada o un método de recuperación de cuenta poco seguro también pueden poner en peligro la seguridad de la cuenta.
Siempre que sea posible y viable, los métodos resistentes al phishing pueden reforzar la protección del inicio de sesión. Si por el momento no resultan viables, utiliza un método de autenticación multifactorial (MFA) disponible mientras se planifican mejoras.
Una nota sobre las claves de acceso: Una clave de acceso puede sustituir a una contraseña. El uso de una clave de acceso puede autorizarse mediante el PIN de un dispositivo, una huella dactilar o el reconocimiento facial; sin embargo, esos métodos de verificación no constituyen en sí mismos la clave de acceso. Antes de adoptar las claves de acceso, comprueba dónde se almacenan, si se sincronizan entre dispositivos y cómo recuperaría tu organización el acceso en caso de pérdida de un dispositivo o de que un empleado dejara la empresa.

Empieza por tus cuentas más importantes

Utiliza el inventario de la sección 1 para decidir por dónde empezar. Establece prioridades:

Correo electrónico, ya que a menudo recibe mensajes de restablecimiento de contraseña de otras cuentas.
Cuentas de administrador, que permite modificar la configuración y conceder permisos de acceso.
Sector bancario, servicios de nóminas y pagos.
Almacenamiento en la nube y sistemas que contienen información confidencial.
Página web, redes sociales y cuentas de recaudación de fondos que podrían utilizarse para suplantar a tu organización.
Comprueba la cuenta de cada persona. El hecho de que la autenticación multifactorial (MFA) esté activada para un administrador no significa que lo esté para todos.
Cuando un servicio lo permita, exige la autenticación multifactorial (MFA) mediante la configuración a nivel de toda la organización, en lugar de confiar únicamente en que los usuarios individuales la activen.

Configúralo pensando en la recuperación

Antes de activar la autenticación multifactorial (MFA), acordad quién se encargará de coordinar el cambio y de ayudar a las personas que tengan dificultades.

Abre el servicio directamente.

Utiliza su página web oficial o su aplicación y busca los ajustes de seguridad de la cuenta.

Elige un método adecuado.

Ten en cuenta la importancia de la cuenta, las opciones disponibles y las necesidades de acceso de la persona.

Registra el método y pruébalo.

Comprueba que la persona pueda iniciar sesión correctamente.

Establece una ruta de recuperación.

Dependiendo del servicio, esto podría implicar el uso de códigos de recuperación, un segundo factor de autenticación registrado o un administrador autorizado que pueda restablecer la autenticación multifactorial (MFA). Protege estas vías de recuperación, ya que también pueden proporcionar acceso a la cuenta.

Graba el arreglo.

Toma nota de qué métodos están habilitados, quién se encarga de la recuperación y dónde se almacena de forma segura la información de recuperación. No incluyas los códigos propiamente dichos en las hojas de cálculo generales.

Haz que resulte viable para el personal y los voluntarios

Analiza las necesidades prácticas antes de elegir un método.

¿Hay alguien que no tenga un smartphone? ¿Se utilizan los teléfonos personales para el trabajo? ¿La gente necesitará acceso mientras viaja o cuando no haya cobertura móvil? ¿Existen barreras de accesibilidad?

Considera las alternativas compatibles, como una llave de seguridad, y confirma los posibles costes antes de adoptarlas. Muchos servicios incluyen la autenticación multifactorial (MFA), pero algunos métodos o funciones de gestión a nivel de organización pueden depender del plan contratado.

Para el acceso del equipo, utiliza cuentas individuales con los permisos adecuados siempre que sea posible. Evita situaciones en las que varias personas dependan de una sola para que les reenvíe códigos o apruebe sus inicios de sesión.

Si se utilizan claves de acceso, acuerde si pueden almacenarse en cuentas personales o si deben gestionarse a través de un servicio aprobado por la organización. Asegúrese de que el acuerdo contemple la retirada del acceso y la continuidad en caso de que alguien abandone la organización.

Saber cómo actuar ante una petición inesperada

Aprueba únicamente las solicitudes de autenticación correspondientes a un inicio de sesión que hayas iniciado tú mismo. Si no lo has iniciado tú, no lo apruebes, aunque sigan llegando solicitudes o alguien que afirme ser del servicio de asistencia te pida que lo aceptes.

Si recibes un mensaje o un código inesperado:

Rechaza la solicitud siempre que sea posible.

Notifícalo sin demora a tu persona de contacto designada.

Accede directamente al servicio para consultar el historial de la cuenta y obtener ayuda si la necesitas.

Sigue el procedimiento de respuesta de tu organización para proteger la cuenta.

Una solicitud inesperada no significa automáticamente que alguien haya accedido a la cuenta, pero hay que prestarle atención.
Nunca facilites un código de inicio de sesión ni un código de recuperación a nadie que te llame, te envíe un correo electrónico o te envíe un mensaje. Introduce el código únicamente en el proceso de inicio de sesión legítimo que tú mismo hayas iniciado.

Plan para los nuevos teléfonos y el personal que abandona la empresa

Cuando alguien cambie de teléfono, comprueba que el nuevo método de autenticación funciona antes de eliminar el anterior.
Cuando alguien abandone la organización, transfiere la información y las responsabilidades organizativas necesarias, retira su acceso y actualiza los procedimientos de autenticación o recuperación que estuviera gestionando. En el caso de las cuentas organizativas compartidas, confirma que la persona que abandona la organización ya no pueda autenticarse ni recuperar el acceso. Esto incluye eliminar sus claves de acceso registradas o sus claves de seguridad, cuando proceda.
Dispón de una ruta alternativa para el acceso crítico de administrador, de modo que la organización pueda recuperarse sin depender de una sola persona.

Una propuesta de norma de política

La autenticación multifactorial (MFA) debe estar habilitada para las cuentas de la organización siempre que sea compatible, dando prioridad al correo electrónico, el acceso de administradores, los servicios financieros y la información confidencial. Los métodos de autenticación y los procedimientos de recuperación aprobados deben documentarse y protegerse. Los usuarios no deben compartir códigos de inicio de sesión ni aprobar solicitudes que no hayan iniciado ellos mismos. Las excepciones requieren autorización, medidas de protección y una fecha de revisión.

Antes de adoptar esta norma, hay que determinar quién se encarga de aprobar los métodos, prestar asistencia a los usuarios y gestionar la recuperación.

Actividad

Comprueba tus cuentas prioritarias

Anota las configuraciones, no las contraseñas ni los códigos de recuperación. Incluye métodos alternativos de inicio de sesión y recuperación para que puedas evaluar la protección general de la cuenta.

Si la autenticación multifactorial (MFA) no está disponible, documente esta limitación y decida qué medidas de seguridad adicionales o qué servicio alternativo se deberían considerar.

Descarga la hoja de ejercicios aquí

Lo que debes recordar

Al finalizar esta sección, deberías haber:

Se ha comprobado la cobertura de MFA de tus cuentas prioritarias.
Se han seleccionado los métodos adecuados y se han identificado los obstáculos prácticos.
Se han establecido medidas de recuperación protegidas y se han definido las responsabilidades en materia de copias de seguridad.
Se ha explicado cómo gestionar las solicitudes de autenticación inesperadas.
Entendido que una protección más sólida del inicio de sesión se complementa con otras medidas de seguridad.

A continuación, analizarás los gestores de contraseñas y cómo gestionar contraseñas únicas y el acceso a la organización.

Texto de la contraseña editado con el teclado 1

Sección 4: Facilitar la gestión de las contraseñas

Las organizaciones sin ánimo de lucro necesitan contraseñas seguras y únicas, así como una gestión eficaz del acceso a las cuentas, para mantener la seguridad de la información y garantizar la continuidad cuando el personal está ausente o deja la organización.

Véase la sección 4