Doble verificación de identidad: por qué una contraseña ya no basta
La mayoría de los accesos indebidos empiezan con una contraseña robada. Un segundo paso al ingresar cierra esa puerta sin complicar el trabajo diario.
Por Luis, Ciberseguridad y monitoreo
2 min de lectura
Cuando alguien entra sin permiso al correo o a un sistema de una organización, casi nunca lo hace rompiendo nada. Usa una contraseña que consiguió: la persona la escribió en una página falsa que imitaba la de su correo, la repitió en otro servicio que sufrió una filtración o la anotó donde no debía.
La doble verificación de identidad parte de una idea simple: la contraseña sola no basta. Al ingresar, el sistema pide además una prueba de que quien entra es el titular, normalmente un código que aparece en una aplicación de su celular o una notificación que debe aprobar. Quien robó la contraseña no tiene el celular, y se queda afuera.
Dónde activarla primero
- Correo: es la llave de casi todo, porque por ahí llegan los enlaces para cambiar las demás contraseñas.
- Acceso remoto y VPN: son la puerta de entrada a la red desde fuera de la oficina.
- Cuentas de administración: las de quienes administran servidores, sistemas y la propia web.
- Sistemas con información sensible: los de personal, finanzas o datos de ciudadanos y clientes.
«Va a ser incómodo»: cómo evitarlo
La objeción más común es que el personal se va a quejar. En la práctica, el segundo paso se pide al ingresar desde un equipo nuevo o cada cierto tiempo, no cada vez que se abre el correo, y con una aplicación en el celular la verificación toma unos segundos. Lo que sí hay que preparar es la atención de los casos especiales: la persona que cambió de celular, la que lo perdió o la que no tiene uno de trabajo.
Cómo implementarla sin contratiempos
- Hacer un inventario de los accesos: qué sistemas, quiénes los usan y desde dónde.
- Empezar con un grupo piloto, idealmente el área de TI y las jefaturas.
- Comunicar con anticipación qué va a cambiar y por qué, con una guía corta de activación.
- Definir cómo se recupera el acceso si alguien pierde su celular, siempre verificando su identidad.
- Extender por áreas y medir cuántas cuentas ya la tienen activa y cuántas faltan.
En los proyectos en que la implementamos, para 60 usuarios de una entidad del Estado y para el correo de otra institución con más de 2,000 cuentas, la mayor parte del trabajo no fue técnica sino de organización: inventario, comunicación y soporte en las primeras semanas. Resuelto eso, la doble verificación deja de ser tema de conversación a las dos semanas, y la organización gana una protección que una contraseña sola nunca le va a dar.
En Kaywasi, este tema es parte de Ciberseguridad. Que una contraseña robada, un correo falso o un virus no detengan a tu institución.
