Seguridad de contraseñas en la empresa: guía de dos pasos
Una rutina de contraseñas para un equipo pequeño: contraseñas fuertes, gestor, cuentas compartidas, verificación en dos pasos, bajas del equipo y phishing.
Equipo de rabbitclipPublicación: 8 min. de lectura
En breve
La seguridad de las contraseñas en la empresa consiste en proteger cada cuenta con su propia contraseña larga, guardar esas contraseñas en un gestor, activar la verificación en dos pasos en las cuentas que importan y cerrar con prontitud el acceso de una persona cuando deja el equipo. Para un equipo pequeño, estos cuatro hábitos evitan la mayoría de las tomas de control de cuentas. Lo difícil no es la tecnología, sino conseguir que todos sigan la rutina: las cuentas compartidas, las contraseñas reutilizadas y los permisos antiguos olvidados forman la mayor parte del riesgo real.
Cuando se toma el control de una cuenta, usted pierde más que un acceso. El correo, el dominio, el alojamiento, las cuentas de publicidad y las redes sociales están conectados, y quien entra en una puede restablecer las contraseñas de las demás. Por eso también importa el orden en que protege las cuentas.
El generador de contraseñas de nuestro sitio puede producir una contraseña fuerte, pero el verdadero trabajo está en decidir dónde viven las contraseñas y quién las gestiona. A continuación tiene una rutina que un equipo pequeño puede mantener de verdad.
¿Por dónde empieza la seguridad de las contraseñas en la empresa?
Empiece por enumerar las cuentas que son las verdaderas llaves del negocio. El correo de la empresa va primero, porque la mayoría de los servicios envían allí su enlace para restablecer la contraseña. Después vienen el registro del dominio, el alojamiento y el panel de administración del sitio, las cuentas de publicidad, las redes sociales, la contabilidad y la banca.
Una vez hecha la lista, compruebe tres cosas en cada cuenta: quién la gestiona, qué la protege y si existe un segundo paso de verificación. La mayoría de las empresas descubren su primera brecha al responder a esas tres preguntas.
- Una contraseña distinta para cada cuenta
- Una contraseña larga en lugar de una corta y complicada
- Un gestor de contraseñas que las guarde
- Verificación en dos pasos en las cuentas que importan
- Una lista de comprobación que cierre los accesos cuando alguien se va
¿Cómo se crea una contraseña fuerte?
Una contraseña fuerte tiene dos cualidades: es larga y no se usa en ningún otro sitio. La longitud rinde más que un puñado de caracteres complicados. Una frase larga formada por unas pocas palabras sin relación entre sí es fácil de recordar y difícil de adivinar. Los cumpleaños, los nombres de empresa, los números de teléfono y las secuencias del teclado son lo primero que cualquiera probaría.
Para las cuentas que no necesita recordar, lo mejor es una contraseña larga y aleatoria producida por un gestor de contraseñas o por el generador. No use nunca la misma contraseña en dos cuentas. Las contraseñas filtradas de un servicio se prueban en otros, y una contraseña reutilizada funciona en todos los sitios donde se ha reutilizado.
¿Por qué hace falta un gestor de contraseñas y cómo se tratan las cuentas compartidas?
Un gestor de contraseñas guarda las contraseñas en una bóveda cifrada, genera otras nuevas al azar y las rellena cuando usted llega al sitio correcto. Todos recuerdan una sola contraseña maestra y la bóveda lleva el resto. Los gestores creados para equipos ofrecen además bóvedas compartidas, de modo que la contraseña de una cuenta compartida está allí y no en una aplicación de mensajería o en una hoja de cálculo.
Las cuentas compartidas, es decir, un acceso que usan varias personas, deben reducirse al mínimo. Si el servicio permite crear usuarios con nombre, dé uno a cada persona: así se ve quién hizo qué y cuándo, y cuando alguien se va solo se cierra su acceso. Si no lo permite, guarde la contraseña en la bóveda compartida y cámbiela cada vez que alguien deje el equipo.
El guardado de contraseñas integrado en el navegador es mejor que nada, pero un gestor específico es más ordenado para la administración y el reparto en equipo. Si se olvida la contraseña maestra, la bóveda no se puede abrir, así que decida desde el principio el método de recuperación y guárdelo en un lugar seguro.
¿Qué es la verificación en dos pasos y qué método conviene elegir?
La verificación en dos pasos pide una segunda prueba además de la contraseña: un código de una aplicación en el teléfono, una llave de seguridad o un aviso de aprobación. Aunque roben la contraseña, hace falta el segundo elemento para entrar en la cuenta.
Los métodos no son iguales. Un mensaje de texto es mejor que nada, pero una aplicación de autenticación o una llave de seguridad física se consideran en general más fuertes. La elección depende de lo que ofrezca el servicio y de lo que el equipo vaya a usar de verdad.
Al configurarla, reúna siempre los códigos de recuperación y guárdelos en una nota segura del gestor de contraseñas. Si se pierde un teléfono, pueden ser la única vía para volver a entrar. Dé prioridad a las cuentas de correo, dominio, alojamiento, publicidad y finanzas.
¿Cómo se cierra el acceso de quien se va?
Cierre el acceso el día en que la persona se va y trabaje con una lista de comprobación en lugar de hacerlo de memoria. Una trampa habitual son las cuentas de empresa abiertas con el correo privado de una persona. La empresa debe ser la propietaria de la cuenta.
Incluso cuando la despedida es cordial, estos pasos no expresan desconfianza hacia la persona. Existen para que un permiso olvidado no se convierta más adelante en una puerta abierta.
- Cerrar la cuenta de correo de la empresa o entregar su reenvío a otra persona
- Cambiar las contraseñas de las cuentas compartidas
- Retirar o transferir los derechos de administrador en el alojamiento, la publicidad, las redes sociales y el panel del sitio
- Pasar a un dispositivo nuevo la verificación en dos pasos vinculada al teléfono de la persona
- Confirmar que las cuentas del dominio, el alojamiento y las suscripciones están registradas a nombre de la empresa
¿Cómo se reconoce un correo de phishing?
El phishing es un mensaje que le convence de escribir su contraseña o un código de verificación en una página falsa. Le mete prisa, dice que su cuenta se cerrará o que un pago está retenido, y llega disfrazado de una marca conocida o de un superior. Un gestor de contraseñas también ayuda aquí: solo rellena una contraseña en la dirección auténtica guardada, así que, si no rellena, deténgase y mire la dirección.
En caso de duda, no pulse el enlace del mensaje. Entre en el servicio desde sus propios marcadores o escribiendo la dirección. No comparta nunca un código de verificación con nadie; los servicios auténticos no suelen pedirlo por teléfono ni por mensaje. Si alguien del equipo ha pulsado algo sospechoso, facilite que lo comunique de inmediato en lugar de culparle. La rapidez limita el daño.
¿Qué errores son frecuentes y qué decisiones son equivocadas?
Los errores frecuentes son estos: contraseñas guardadas en una hoja de cálculo o en un grupo de mensajería, una misma contraseña en varias cuentas, una verificación en dos pasos atada al teléfono de una sola persona, de modo que la cuenta se bloquea cuando esa persona se va, y opciones de recuperación que siguen apuntando a un correo o a un número de teléfono antiguos.
Algunas decisiones también son equivocadas. Los cambios periódicos obligatorios de contraseña ya no se recomiendan en muchas pautas actuales, porque empujan a las personas a pequeñas modificaciones predecibles. Vincule el cambio a un suceso: alguien se va del equipo o usted sospecha que ha habido un compromiso. Un negocio de una sola persona quizá no necesite un plan de equipo; un gestor personal y la verificación en dos pasos pueden bastar. Una política estricta que nadie sigue protege menos que una rutina sencilla que la gente sí cumple.
Para un equipo pequeño, la seguridad de las contraseñas se reduce a cuatro pasos: una lista de cuentas, un gestor de contraseñas, la verificación en dos pasos y una lista de comprobación para las bajas. Empiece por el correo y el dominio, y pase después a la publicidad y las redes sociales. En una llamada de descubrimiento, rabbitclip puede repasar con usted el estado actual de sus cuentas.
Preguntas frecuentes
¿Qué es la verificación en dos pasos?
Es un método de inicio de sesión que pide una segunda prueba además de la contraseña, como un código de una aplicación de autenticación, una llave de seguridad o un aviso de aprobación. Dificulta el acceso a una cuenta aunque la contraseña haya sido robada.
¿Es seguro un gestor de contraseñas?
Con un gestor de buena reputación y una contraseña maestra fuerte, suele ser más seguro que guardar las contraseñas en una hoja de cálculo o en una libreta. La mayor parte del riesgo está en lo bien protegida que esté la contraseña maestra.
¿Cuándo debe cambiarse la contraseña de una cuenta compartida?
Según los sucesos, no según el calendario: cuando alguien deja el equipo, cuando sospecha que la contraseña ha quedado expuesta o cuando un servicio que usa anuncia una filtración.
¿Qué longitud debe tener una contraseña fuerte?
No hay una cifra fija. Debe ser tan larga como permita el servicio y no usarse en ningún otro sitio. Una frase de unas pocas palabras sin relación entre sí, o una contraseña larga generada al azar, es un buen comienzo.
