Autenticación de dos factores para empresas: cómo desplegarla sin bloquear la operación

1. Distingue contraseña, segundo paso y segundo factor

Un factor puede ser algo que sabes, algo que tienes o una característica propia. Dos contraseñas no crean dos factores porque pertenecen a la misma categoría. Un código generado en un dispositivo, una llave criptográfica o una credencial protegida por el equipo pueden aportar posesión; una verificación biométrica suele activar localmente un autenticador y no debe tratarse como una contraseña enviada al servidor.

Los proveedores usan nombres como 2FA, MFA o verificación en dos pasos. Para la empresa importa el flujo real: qué prueba presenta la persona, quién valida, cómo se registra el dispositivo y qué ocurre al recuperar la cuenta. Documenta esa secuencia para cada plataforma crítica antes de asumir que una casilla marcada ofrece la protección esperada.

• Contraseña única guardada en un gestor confiable.
• Autenticador asociado individualmente a la persona.
• Canal protegido para registrar y reemplazar factores.
• Registro de eventos y alertas por cambios sensibles.
• Procedimiento de recuperación que no anule el beneficio de 2FA.

2. Protege las cuentas que controlan a las demás

Empieza por el correo corporativo, porque suele recibir enlaces de recuperación y documentos sensibles. Continúa con administradores de nube, dominio, sitio web, red, copias de seguridad, sistemas financieros y acceso remoto. Después cubre aplicaciones operativas y cuentas personales que se usan legítimamente para administrar activos empresariales, aunque lo recomendable sea migrarlas a identidades corporativas.

Haz un inventario con propietario, nivel de privilegio, método disponible, factor registrado y estado de recuperación. Busca cuentas compartidas, usuarios antiguos, integraciones que dependen de autenticación básica y administradores sin sustituto. Una política que exige 2FA pero excluye la cuenta heredada más poderosa mantiene abierto el camino que un atacante preferirá.

• Correo y proveedor principal de identidad.
• Administradores globales, de dominio y de nube.
• Banca, facturación, nómina y pasarelas de pago.
• VPN, escritorio remoto y herramientas de soporte.
• Respaldos, gestores de contraseñas y repositorios de código.

La cuenta capaz de restablecer contraseñas, crear usuarios o cambiar DNS merece controles más fuertes que una aplicación de bajo impacto.

3. Elige el método según la amenaza

Los códigos por SMS pueden ser mejores que depender sólo de una contraseña, pero están expuestos a riesgos del número telefónico y a sitios falsos que retransmiten el código. Las aplicaciones TOTP reducen dependencia de la red móvil, aunque el usuario todavía puede escribir el código en una página de phishing. Las aprobaciones push necesitan mostrar contexto y evitar que una sucesión de solicitudes lleve a aprobar por cansancio.

Para administradores y procesos de alto impacto, prefiere autenticadores resistentes al phishing cuando el proveedor los soporte. NIST identifica WebAuthn, utilizado por FIDO2, como ejemplo de vinculación con el nombre del sitio: el autenticador responde al dominio correcto en lugar de entregar un secreto que pueda copiarse. Llaves físicas y passkeys deben desplegarse con registro, respaldo y compatibilidad comprobados.

• Llave de seguridad o passkey compatible para privilegios altos.
• Aplicación autenticadora cuando no exista una opción resistente al phishing.
• Notificaciones push con número o contexto verificable.
• SMS como alternativa evaluada, no como opción automática universal.
• Más de un autenticador para evitar depender de un solo dispositivo.

MFA reduce riesgo, pero los códigos de un solo uso introducidos manualmente no son resistentes al phishing según NIST.

4. Despliega por etapas y prueba excepciones

Define una política, un grupo piloto y una fecha de cumplimiento. Prueba navegadores, teléfonos, aplicaciones móviles, clientes de correo, conexiones remotas y dispositivos compartidos que formen parte del trabajo real. Confirma que sistemas antiguos no eludan el requisito mediante protocolos heredados. Comunica qué cambia, por qué, dónde obtener ayuda y cómo reconocer una solicitud legítima.

Después amplía por grupos y observa fallos de registro, accesos bloqueados y métodos alternativos. Evita excepciones permanentes sin dueño ni vencimiento. Si una aplicación esencial no soporta MFA, registra el riesgo, limita su exposición, restringe red y privilegios, y define una ruta de sustitución. La excepción debe ser una decisión visible, no una configuración olvidada.

• Piloto con usuarios técnicos y no técnicos.
• Prueba de cada dispositivo y canal de acceso autorizado.
• Bloqueo de autenticación heredada cuando sea compatible.
• Mesa de ayuda con verificación de identidad definida.
• Excepciones aprobadas, compensadas y con fecha de revisión.

5. Diseña recuperación y salida de personal

La pérdida de un teléfono no debe obligar a desactivar la seguridad de toda una cuenta. Registra un segundo autenticador, entrega códigos de recuperación de forma segura o conserva una llave de respaldo controlada. Para cuentas privilegiadas, considera accesos de emergencia protegidos, alertados y reservados para incidentes. No guardes códigos junto a la contraseña en una nota compartida.

El soporte debe verificar identidad antes de reemplazar factores. Define qué evidencia acepta, quién autoriza cambios de administradores y cómo se registra la acción. Cuando una persona sale o cambia de función, revoca sesiones, dispositivos, llaves y códigos asociados, no sólo la contraseña. Revisa también accesos delegados y aplicaciones conectadas.

• Dos métodos registrados para roles críticos.
• Códigos de recuperación almacenados con acceso restringido.
• Proceso para dispositivo perdido o reemplazado.
• Acceso de emergencia probado y supervisado.
• Revocación inmediata integrada al proceso de baja.

6. Mide cobertura y señales de abuso

Consulta reportes del proveedor para conocer qué porcentaje de usuarios está protegido, qué métodos utiliza, quién conserva autenticación débil y qué cuentas no han iniciado sesión. Separa usuarios normales, administradores y cuentas de servicio. Una cifra global alta puede ocultar una sola identidad privilegiada sin protección.

Activa alertas para nuevos factores, recuperación, cambios de privilegio, inicios desde ubicaciones inusuales y repetición de solicitudes push. Enseña a rechazar y reportar solicitudes no iniciadas. Revisa trimestralmente cobertura y excepciones, y después de cada cambio de proveedor, incorporación o incidente. La madurez consiste en mantener el control, no sólo en completar el despliegue inicial.

• Cobertura por aplicación y nivel de privilegio.
• Distribución de métodos resistentes y no resistentes al phishing.
• Cuentas inactivas, compartidas o sin propietario.
• Factores añadidos, eliminados o recuperados recientemente.
• Excepciones abiertas y fecha de su próxima revisión.