Ante la debilidad que ha constatado el uso de contraseñas, implementar el múltiple factor de autenticación (MFA) se ha convertido en indispensable en cualquier plan de gestión de riesgos de ciberseguridad.
La creciente sofisticación de las ciberamenazas hace cada vez más necesario la disponibilidad de tácticas defensivas más holísticas, incorporando tantas medidas de protección como sea posible.
En este escenario, el múltiple factor de autenticación se erige como una de las claves para reforzar la seguridad de la gestión de accesos y la gestión de identidades.
Algunos estudios apuntan que las organizaciones que incorporen esta barrera adicional de ciberseguridad podrían reducir más del 99% de las cuentas comprometidas, ahorrando millones de euros.
Esto lo convierte en un aspecto clave en las estrategias de ciberseguridad por lo que, a la hora de implementarlo, es precioso tener en cuenta cinco cuestiones fundamentales.
Educar, Capacitar, Informar
El múltiple factor de autenticación no solo incumbe a los equipos de ciberseguridad o de TI, es cosa de todos. Evolucionar a un entorno en el que se hace uso del MFA es una oportunidad para que las organizaciones proporcionen formación adicional en ciberseguridad a los empleados y concienciarlos de la importancia de tomar este tipo de medidas.
La higiene cibernética es importante para que los usuarios puedan adoptar las medidas de oportunas y crear hábitos más seguros. Su aceptación es crucial para que se produzca una transición sin problemas.
La mejor manera de conseguirlo es comunicando claramente las distintas fases del lanzamiento: si no entienden lo que está sucediendo, es probable que no se lo tomen tan en serio como deberían.
Conseguir y mantener el cumplimiento
En la implementación del múltiple factor de autenticación se busca acatar con los marcos de cumplimiento establecidos. Esto ayuda a las organizaciones a evitar multas y otras consecuencias negativas, como la pérdida de reputación por falta de cumplimiento.
Algunos marcos, como RGPD, contribuyen a proteger la información personal, tan crítica y desprotegida en muchas ocasiones frente a los ciberdelincuentes. Su uso, una vez robada, puede conllevar graves consecuencias que van desde la suplantación de identidad, al robo económico y un largo etcétera.
Variar las medidas de autenticación
El MFA no solo tiene un método, como recibir un código a través de un SMS al móvil. La implementación de múltiples medidas de autenticación puede aumentar las defensas. Si el entorno de MFA no varía demasiado, las amenazas podrían identificar este comportamiento y aprovecharlo.
Por eso, es clave que, además de recibir un SMS, se utilicen otras formas para diversificar el múltiple factor de autenticación como los tokens de software y hardware, el uso de datos biométricos, correos electrónicos de aprobación o código, o preguntas de seguridad, entre otras.
Cada tipo de MFA puede aumentar la seguridad si se combina con factores contextuales, como programas que verifican la dirección IP o la conexión, geolocalización, comprobación del dispositivo asignado con los permisos, o el control de tiempo.
Reforzar con soluciones complementarias
La combinación del múltiple factor de autenticación con otros métodos de ciberseguridad permitirá que las defensas sean más sólidas. Dos técnicas que refuerzan esta protección son el inicio de sesión único y la infraestructura de privilegios mínimos.
El inicio de sesión único (SSO) podría suponer un riesgo si se usa incorrectamente, pero el buen uso puede reducir la reutilización de contraseñas o una gestión de contraseñas descuidada ya que los miembros del personal solo tienen un conjunto de credenciales.
No obstante, el inicio de sesión único no es la mejor defensa, ya que una contraseña y un nombre de usuario serían todo lo que necesitaría un hacker. Sin embargo, con MFA, funciona en múltiples frentes.
Programar evaluaciones periódicas
Es crucial que los equipos técnicos supervisen el funcionamiento de la infraestructura continuamente. Es clave que los empleados recopilen datos sobre su experiencia con el MFA en varias ocasiones al año para comprobar si protegen sus activos de manera óptima.
Si un equipo de TI encuentra mejoras, puede instalarlas con una estructura de gestión de cambios. Anotar quién y cuándo ocurrieron los cambios proporcionará información para cualquier persona nueva que realice ajustes; y ayudará si encuentran obstáculos y necesitan colaborar con otros miembros del equipo para superar obstáculos.
Sin duda, son muchas las implicaciones que conlleva la implementación de una estrategia de autenticación multifactor. Sin embargo, una vez que se llevan a cabo estas prácticas, su puesta funcionamiento fluirá y permitirá utilizar la tecnología de forma más segura.
