Cybersecurity Starter Kit: Section 4
En esta sección, aprenderás a:
Es posible que tu organización sin ánimo de lucro utilice docenas de cuentas para el correo electrónico, la recaudación de fondos, las finanzas, las comunicaciones y la ejecución de programas. Es difícil recordar una contraseña diferente para cada cuenta. Gestionar quién puede acceder a esas cuentas supone un reto adicional.
El objetivo es facilitar el uso de contraseñas seguras y únicas, al tiempo que se garantiza que se pueda mantener el acceso a la organización cuando alguien está ausente o deja la empresa.
¿Qué hace que una contraseña sea segura?
Una contraseña debe cumplir los siguientes requisitos:
Único
Se utiliza únicamente para una cuenta, lo que incluye mantener separadas las contraseñas del trabajo y las personales.
Largo
Length helps make a password harder to crack, even for technology used by scammers.
Imprevisible
Evita utilizar nombres, fechas de cumpleaños, el nombre de tu organización, citas conocidas y patrones como cambiar únicamente el año.
Reutilizar una contraseña establece una conexión entre cuentas que, de otro modo, estarían separadas. Si se filtra a través de un servicio, alguien podría intentar utilizarla en otros. Las pequeñas variaciones, como añadir un número diferente, también pueden resultar predecibles.
En el caso de las contraseñas que debes recordar, como la que desbloquea tu gestor de contraseñas, puede resultar útil una frase de contraseña larga compuesta por palabras seleccionadas al azar y sin relación entre sí. Para el resto de cuentas, un gestor de contraseñas puede generar y almacenar contraseñas largas y aleatorias.
No utilices contraseñas ni frases de acceso que aparezcan como ejemplos en los materiales de formación.
¿Qué es un gestor de contraseñas?
Un gestor de contraseñas crea y almacena contraseñas en una caja fuerte digital protegida. Para recuperar o introducir la contraseña de una cuenta, hay que desbloquear la caja fuerte. Dependiendo de la herramienta, también puede:
El Centro Canadiense de Ciberseguridad recomienda el uso de gestores de contraseñas como forma de gestionar contraseñas y frases de acceso únicas.
Un gestor de contraseñas reduce la necesidad de memorizar contraseñas o de enviarlas por correo electrónico y mensajes. Además, reúne información valiosa en un solo lugar, por lo que es fundamental proteger la caja fuerte y planificar su recuperación.
Elige según las necesidades de tu organización
Una herramienta que funciona bien para una persona puede que no se adapte a las necesidades de un equipo. Antes de elegir un gestor de contraseñas, piensa en cómo lo va a utilizar tu organización sin ánimo de lucro.
¿Funciona en nuestros dispositivos y navegadores?
El personal y los voluntarios necesitan una forma práctica de acceder a ella mientras trabajan.
¿Puede cada persona tener su propio nombre de usuario?
El acceso individual facilita la gestión de los permisos y las salidas.
¿Podemos separar las credenciales personales de las de la organización?
El acceso a la organización debería poder gestionarse sin poner en riesgo las cuentas personales de los usuarios.
¿Podemos compartir solo determinadas credenciales?
Las personas deberían tener acceso a lo que necesitan para desempeñar su función.
¿Puede un administrador autorizado retirar el acceso y gestionar el traspaso?
Tu organización necesita continuidad cuando las personas cambian de puesto o abandonan la empresa.
¿Qué pasaría si cambiáramos de herramientas?
Comprueba si las credenciales se pueden transferir y cómo se protegen las exportaciones.
¿Se mantiene la herramienta de forma activa y cuenta con documentación clara sobre seguridad?
Comprende cómo protege la información y cómo se gestionan las actualizaciones y los problemas de seguridad.
¿Qué opciones de MFA y de recuperación hay disponibles?
Debes proteger la cámara acorazada y recuperar el acceso sin depender de una sola persona.
¿Qué prestaciones están incluidas y qué tiene un coste adicional?
Es posible que las funciones de uso compartido en equipo, administración y recuperación requieran un plan de pago.
Consejo
Las herramientas gratuitas pueden resultar útiles, pero asegúrate de que sus funciones se ajusten a tus necesidades. Es posible que un plan personal gratuito no ofrezca las funciones de uso compartido o administración que necesita una organización sin ánimo de lucro. Comprueba las funciones antes de adquirir una actualización o aceptar un producto en paquete.
¿Y qué hay del gestor de contraseñas del navegador?
Los gestores de contraseñas de los navegadores y los dispositivos pueden ayudar a los usuarios a crear y almacenar contraseñas únicas. Que sean adecuados para su uso en el ámbito empresarial depende de sus funciones de uso compartido, titularidad de las cuentas y recuperación.
Comprueba en qué cuenta se sincronizan las contraseñas. Si las credenciales de la organización solo están guardadas en la cuenta personal del navegador de alguien, el traspaso de funciones puede resultar complicado.
Ten en cuenta también quién puede desbloquear el dispositivo o el perfil del navegador. En ordenadores compartidos, evita guardar contraseñas de la organización en un perfil al que puedan acceder otros usuarios. En el caso de dispositivos públicos o comunitarios, utiliza un método de acceso autorizado y cierra la sesión cuando hayas terminado.
Protege la cámara acorazada
Considera el gestor de contraseñas como una cuenta importante por derecho propio.
Guarda la información de recuperación de forma segura y separada del almacén que se necesita para desbloquear. No la incluyas en hojas de cálculo generales ni en un documento compartido cualquiera.
Un gestor de contraseñas no garantiza la seguridad de un dispositivo que haya sido vulnerado ni evita todos los intentos de phishing. Sigue utilizando métodos de inicio de sesión fiables y comprueba las solicitudes inusuales.
Comparte el acceso con precaución
Cuando un servicio admita cuentas individuales o acceso delegado, utiliza primero esas funciones. Por ejemplo, un voluntario de comunicación podría gestionar las redes sociales mediante su propio inicio de sesión autorizado, en lugar de utilizar la contraseña de otra persona.
Cuándo es necesario disponer de una cuenta compartida:
Eliminar a alguien de una caja fuerte compartida no borra las contraseñas que haya visto o copiado anteriormente. Modifica las credenciales compartidas de las que tenía conocimiento cuando finalice su autorización y revisa otras formas de acceso, como los autenticadores registrados y las sesiones activas.
Empieza por practicar con una sola cuenta
Introduce la herramienta poco a poco para que la gente pueda familiarizarse con el proceso.
01/
Elige un gestor de contraseñas homologado y configura la protección y la recuperación de la caja fuerte.
04/
Confirma el acceso desde cualquier otro dispositivo autorizado que la persona necesite.
02/
Practica cómo guardar y recuperar una contraseña de una cuenta de la organización que no sea muy importante.
05/
Pasa a las cuentas prioritarias de tu inventario.
03/
Crea una contraseña única y comprueba que la cuenta funciona con ella.
Si importas contraseñas ya existentes, ten en cuenta que las operaciones de importación y exportación pueden generar archivos sin cifrar. Sigue las instrucciones de la herramienta, restringe el acceso a dichos archivos y elimina las copias temporales tras confirmar la transferencia.
¿Cuándo hay que cambiar las contraseñas?
Cambia una contraseña cuando se sepa o se sospeche que ha sido comprometida, revelada accidentalmente o reutilizada en una cuenta afectada por una filtración. Sustituye las contraseñas predeterminadas y cambia las contraseñas compartidas cuando alguien que las conocía ya no tenga acceso autorizado.
Routine changes simply because a set number of days has passed are generally not recommended. They can encourage predictable variations. NIST guidance calls for changes when there is evidence of compromise rather than routine periodic expiry. Follow any applicable requirements your organization must meet.
Si existe la posibilidad de que una cuenta ya haya sido comprometida, cambiar la contraseña es solo una parte de la respuesta. Notifica el incidente y comprueba los accesos, la configuración de recuperación y las sesiones activas a través del proceso de respuesta de tu organización.
Una propuesta de norma de política
Las cuentas de la organización deben utilizar contraseñas únicas. Las credenciales deben almacenarse y, cuando sea necesario, compartirse mediante un método autorizado. Debe utilizarse el acceso individual o delegado cuando sea posible. Las medidas de acceso y recuperación deben revisarse cuando las personas cambien de función o abandonen la organización. Cualquier sospecha de exposición debe notificarse de inmediato.
Antes de adoptar esta norma, hay que determinar cuál es el método autorizado para el almacenamiento y el intercambio de datos, quién se encarga de gestionarlo y dónde pueden las personas obtener ayuda.
Revisa cómo gestionas tus contraseñas
Busca contraseñas reutilizadas, credenciales que solo tenga una persona, contraseñas compartidas a través de mensajes y credenciales de la organización almacenadas en cuentas personales.
¡Anota la configuración y los huecos de seguridad, no las contraseñas en sí!
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Un método homologado para almacenar y compartir las contraseñas de la organización.
- Un plan para sustituir las contraseñas reutilizadas por otras únicas.
- Medidas de protección y recuperación para tu gestor de contraseñas.
- Un proceso para mantener el acceso y retirar la autorización cuando las personas dejan la empresa.
A continuación, descubrirás las medidas de protección integradas que ayudan a proteger los dispositivos de tu organización sin ánimo de lucro y cómo gestionar quién puede acceder a su información y a sus servicios.
Sección 5: Mantén la seguridad de los dispositivos y los accesos
Para proteger los dispositivos de tu organización sin ánimo de lucro, lo primero es comprender las funciones de seguridad integradas, por qué son importantes y quién es el responsable de garantizar que estén activadas y se mantengan en buen estado.
English 
French 
Chinese 
Spanish 
Ukrainian 