En este artículo
La autenticación multifactor (MFA) —pedir, además de la contraseña, una confirmación en el móvil o en una llave física— es la medida de seguridad con mejor retorno para una pyme: frena la gran mayoría de los ataques que empiezan con credenciales robadas, casi siempre sin coste de licencia, y se implanta en dos semanas. Aun así, seguimos encontrando empresas de 100 puestos en las que solo la tiene activada el administrador. Esta guía de DataRoad - IT Services and Consulting define el orden, los métodos y el calendario.
El alcance real del MFA
Protege en el escenario más común: la contraseña se escribió en una web falsa o se reutilizó en un servicio que sufrió una filtración, y el atacante intenta entrar en el correo o en la VPN. Sin MFA, entra; con MFA, necesita la aprobación en el móvil de la víctima.
No protege frente a software malicioso ya instalado en el ordenador ni frente a quien aprueba solicitudes sin mirar. Pero cierra la puerta por la que entra la mayoría.
Orden de activación
- Microsoft 365 o Google Workspace — correo, archivos y Teams son la identidad central de la empresa y el objetivo número uno. Primero los administradores, después todos.
- Accesos remotos — VPN, escritorio remoto y portales publicados. Lo que no admita MFA debe apagarse o ponerse detrás de algo que lo admita; vea por qué la VPN ya no basta.
- Bancos, Hacienda, Seguridad Social y portales de proveedores — casi todos lo exigen ya; confirme que los métodos están asociados a móviles de la empresa y no de antiguos empleados.
- Administración de equipos — firewall, switches, servidores, dominio y alojamiento de la web: pocas personas, impacto enorme.
- Gestor de contraseñas — obligatorio, porque guarda todo lo demás.
Métodos comparados
| Método | Seguridad | Cuándo usarlo |
|---|---|---|
| App con notificación y número a confirmar (p. ej., Microsoft Authenticator) | Alta | Por defecto para la mayoría de las personas; el número impide aprobar lo que no se ha pedido |
| Llave física FIDO2 | Muy alta, resistente al phishing | Administradores, dirección y finanzas |
| SMS | Baja (duplicado de SIM, interceptación) | Solo como recurso de emergencia |
| Código por correo | Muy baja | Evitar: si cae el correo, cae también el segundo factor |
Cinco errores que generan resistencia
- Pedir MFA en cada inicio de sesión Configúrelo una vez al día por equipo de confianza.
- Olvidar a quien no tiene móvil de empresa Llaves físicas o tokens lo resuelven.
- Activarlo todo el mismo día, sin aviso El helpdesk se ahoga.
- No tener recuperación para móviles perdidos La persona se queda sin correo en un día laborable.
- No hablar de la fatiga de aprobaciones Los atacantes envían decenas de solicitudes hasta que alguien acepta por cansancio. El número a confirmar y una regla sencilla en la formación (no aprobar nunca lo que no se ha pedido) lo resuelven.
Calendario de 14 días
| Días | Acciones |
|---|---|
| 1–2 | MFA para todos los administradores; política definida (obligatorio, sesión recordada por equipo de confianza, SMS solo como recurso); guía de una página con imágenes |
| 3–5 | Piloto en un departamento: sesión de 15 minutos, registro y prueba; corrección de la guía |
| 6–10 | Un departamento al día con el helpdesk disponible; quien no se registre queda obligado en el siguiente inicio de sesión, usando el periodo de gracia de Microsoft |
| 11–14 | Accesos remotos y equipos; bloqueo de los métodos antiguos; verificación cuenta por cuenta en el panel |
Ventajas más allá de la seguridad
- RGPD Una medida técnica demostrable.
- NIS2 La directiva menciona expresamente la autenticación multifactor.
- Seguro de ciberseguridad Casi siempre pregunta por el MFA y ajusta la prima.
- Helpdesk Menos solicitudes de quien cree que le han entrado en el correo.
MFA en los contratos IT Unlimited
En los contratos IT Unlimited, el MFA se configura en Microsoft 365, en la VPN y en los equipos de administración, en el marco de la gestión de Microsoft 365 y de la ciberseguridad gestionada, con acceso condicional para que los equipos no gestionados solo accedan desde el navegador. El informe mensual muestra el porcentaje de cuentas cubiertas, que debe ser del 100%.
Preguntas frecuentes
¿Cuánto cuesta el MFA?
Está incluido en la mayoría de los planes de Microsoft 365 y Google Workspace. Las llaves físicas cuestan algunas decenas de euros por persona y se justifican en los puestos de riesgo. El coste real es el tiempo de implantación y formación.
¿Se pedirá en cada inicio de sesión?
No, con la política adecuada: una vez por equipo de confianza, renovada periódicamente. En equipos nuevos se pide siempre: esa es la protección.
¿Y quien rechaza instalar apps de la empresa en su móvil personal?
Llave física, token de hardware o móvil de empresa. No es motivo para eximir a nadie.
Con MFA, ¿sigue haciendo falta el gestor de contraseñas?
Sí. El MFA protege la cuenta cuando se roba la contraseña; el gestor evita la reutilización en servicios sin MFA. Vea gestores de contraseñas en la empresa.
¿Todavía hay cuentas sin MFA?
Activamos el MFA en Microsoft 365, en los accesos remotos y en los equipos, con una formación de 15 minutos por equipo y sin bloquear a nadie. Propuesta sin compromiso.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico
+351 211 459 950* · sales@dataroad.pt
*Llamada a la red fija nacional portuguesa.
