Un empleado deja la empresa, pero su cuenta sigue activa durante semanas. Un proveedor externo conserva el acceso de administrador mucho después de que termine su misión. Estas situaciones son habituales y, sin embargo, representan brechas que un atacante puede aprovechar en cuestión de minutos. Proteger los accesos profesionales no consiste solo en elegir una buena contraseña: requiere una serie de decisiones técnicas y organizativas que una guía digital ayuda a estructurar.
Autenticación multifactor: no todos los métodos ofrecen la misma protección
Seguro que alguna vez has recibido un código por SMS para confirmar un inicio de sesión. Este mecanismo se llama autenticación multifactor (MFA). El principio es sencillo: demostrar la identidad mediante al menos dos elementos distintos, por ejemplo, una contraseña y un código temporal recibido en otro dispositivo.
El problema es creer que todos los métodos MFA ofrecen el mismo nivel de protección. En marzo de 2025, la CNIL publicó una recomendación que distingue las claves de acceso (passkeys) de la autenticación multifactor clásica. Una clave de acceso no se considera automáticamente un método multifactor. Este matiz cambia la forma en que una empresa evalúa las opciones que ofrecen sus proveedores de software.
En su análisis de la experiencia de la DGFiP, la ANSSI va más allá. Señala que un código enviado por correo electrónico ofrece poca protección si se puede acceder al buzón con las mismas credenciales comprometidas. En otras palabras, la independencia entre los factores de autenticación determina la solidez real del MFA. Un token físico o una aplicación de autenticación instalada en otro dispositivo ofrece mucha más resistencia que un simple código por correo electrónico.
Una guía de seguridad digital bien diseñada ayuda precisamente a hacer esta distinción. En lugar de limitarse a marcar la casilla «MFA activado», invita a comprobar si los dos factores están realmente separados. Para profundizar en este tipo de comprobaciones, la guía digital de P U B detalla los pasos concretos para implementarlas en pymes.
Permisos de acceso a los datos: el problema no termina en la puerta de entrada
Imaginemos a un comercial que accede al CRM de la empresa. Necesita consultar los datos de sus clientes, no toda la base de datos. Tener permiso para entrar en una aplicación no significa que deba poder consultar todos sus datos.
Este principio tiene un nombre técnico: el principio de mínimo privilegio. Cada usuario recibe únicamente los permisos estrictamente necesarios para desempeñar su función. Si una cuenta se ve comprometida, el atacante solo podrá acceder a un ámbito limitado, no a todo el sistema de información.
La ANSSI recomienda ir más allá del simple control de acceso y establecer límites para las consultas y los volúmenes de datos intercambiados. Estos límites protegen frente a un escenario concreto: la extracción masiva de datos desde una cuenta autorizada. Si un empleado (o un atacante que utiliza su cuenta) intentara descargar una base de datos completa, estos límites lo impedirían.
Revisar los permisos periódicamente
Asignar permisos no basta: hay que revisarlos. Una guía de seguridad digital suele recomendar programar revisiones de acceso a intervalos regulares. Estos son algunos aspectos que conviene comprobar:
- ¿Se desactivan las cuentas de antiguos empleados o proveedores en las 24 horas siguientes a la finalización de su contrato?
- ¿Se limitan los permisos de administración a un número reducido de personas identificadas y se registra cada acción?
- ¿Se revocan los accesos temporales concedidos para un proyecto o una intervención técnica una vez finalizada la tarea?
Una cuenta olvidada es una puerta que permanece abierta. La mayoría de los incidentes relacionados con los accesos no se deben a ataques sofisticados, sino a descuidos en su gestión.
Directiva NIS 2 y obligaciones de protección de los accesos en Francia
La gestión de los accesos ya no es solo una buena práctica: se está convirtiendo en una obligación normativa. La directiva europea NIS 2, cuya transposición está en curso en Francia, amplía el ámbito de las empresas sujetas a requisitos de ciberseguridad. Muchas pymes que no estaban incluidas en la primera versión sí lo estarán ahora.
Entre las medidas previstas, la gestión de identidades y accesos figura expresamente entre los requisitos de NIS 2. Las empresas afectadas deberán demostrar que han establecido procedimientos documentados para controlar quién accede a qué y cómo se supervisan esos accesos.
Para una pyme que acaba de conocer estas obligaciones, una guía de seguridad digital sirve de puente: convierte requisitos normativos abstractos en acciones concretas:
- Cartografiar los sistemas de información e identificar los accesos críticos
- Documentar una política de gestión de contraseñas conforme a las recomendaciones de la ANSSI (longitud mínima, renovación y prohibición de reutilizarlas)
- Crear un registro de accesos con marcas de tiempo que permita reconstruir un incidente a posteriori
- Designar a un responsable de seguridad de los sistemas de información, aunque sea a tiempo parcial
Contraseñas en la empresa: lo que realmente recomiendan las guías
Durante mucho tiempo, obligar a cambiar la contraseña cada 90 días se consideró una buena práctica. Las recomendaciones actuales de la ANSSI matizan este enfoque. Los cambios demasiado frecuentes llevan a los usuarios a elegir contraseñas débiles o a apuntarlas en una nota adhesiva.
Una guía de seguridad digital actual recomienda, en cambio, combinar una contraseña larga (de 12 caracteres como mínimo) con un gestor de contraseñas profesional. El gestor genera y almacena contraseñas complejas sin que el empleado tenga que memorizarlas.
Formar a los equipos en lugar de multiplicar las restricciones
La tecnología por sí sola no protege si los usuarios no entienden por qué se les pide que hagan este esfuerzo. Las guías de seguridad digital más eficaces incluyen módulos breves de concienciación, centrados en ejemplos concretos: un correo de phishing recreado o una demostración de lo rápido que se puede descifrar una contraseña corta.
La protección de los accesos profesionales depende tanto de los hábitos de las personas como de las herramientas. Una guía estructurada ayuda a concentrar los esfuerzos: establece prioridades entre los riesgos, indica por dónde empezar y ofrece criterios para medir los avances. El siguiente paso para cualquier empresa que aún no haya formalizado la gestión de sus accesos es cartografiar sus cuentas activas y comprobar, una por una, si todavía hay motivos para mantenerlas.
