Cómo implementar la MFA sin frustrar a su personal

Activar la autenticación multifactor (MFA) es una de las cosas más eficaces que una pequeña empresa puede hacer para protegerse. Microsoft dice que la MFA, junto con el bloqueo de los métodos de inicio de sesión antiguos, detiene más del 99.9% de los ataques comunes contra identidades (Microsoft Learn: valores predeterminados de seguridad en Microsoft Entra ID, en inglés).

Entonces, ¿por qué tantas empresas lo dejan para después? Normalmente por miedo a la reacción: personal bloqueado un lunes por la mañana, la recepción sin poder revisar el correo, una avalancha de preguntas como "¿qué es este aviso?". Esos problemas son reales, pero vienen de una implementación apresurada, no de la MFA en sí. En este artículo le mostramos un plan de implementación que mantiene a su equipo de su lado.

Qué es la MFA y por qué importa

Una contraseña es una prueba de quién es usted. La MFA agrega una segunda, normalmente algo que usted tiene (su teléfono o una llave de seguridad) o algo que usted es (su huella o su rostro). Si un delincuente roba una contraseña con una página de inicio de sesión falsa, en una filtración de otro sitio web o simplemente adivinándola, todavía no puede entrar sin ese segundo paso.

Esto importa porque muchísimos ataques a pequeñas empresas empiezan con una contraseña de correo robada. Una vez dentro de un buzón, los delincuentes pueden leer conversaciones, enviar facturas falsas desde una dirección real y restablecer las contraseñas de otras cuentas. Explicamos esa estafa en Cómo detectar el compromiso del correo empresarial.

Elija el método adecuado

No todos los métodos de MFA ofrecen la misma protección. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) dice que cualquier MFA es mejor que ninguna, recomienda la MFA resistente al phishing como meta y recomienda la coincidencia de números cuando todavía no es posible usar opciones resistentes al phishing (CISA: More than a Password, en inglés).

• Aplicación de autenticación con coincidencia de números (como Microsoft Authenticator): la pantalla de inicio de sesión muestra un número y la persona lo escribe en la aplicación. Es rápido y evita que alguien apruebe avisos que no inició. Es una buena opción predeterminada para la mayoría del personal.
• Claves de acceso (passkeys) y llaves de seguridad físicas: la opción más fuerte, porque no funcionan en un sitio web falso. Una buena elección para los dueños, los administradores y cualquier persona que maneje pagos.
• Códigos por mensaje de texto o llamada: mejor que nada, pero más débiles. Úselos solo como respaldo.

Un plan de implementación que no frustra al personal

1. Haga una lista de las cuentas importantes

Empiece por el correo (Microsoft 365 o Google Workspace) y siga con el banco, la nómina, la contabilidad, su sitio web y el registrador de su dominio, el acceso remoto y cualquier aplicación en la nube con datos de clientes. El correo va primero, porque quien controla el correo normalmente puede restablecer todo lo demás.

2. Empiece por usted y por los administradores

Las cuentas de administrador son las más valiosas para los delincuentes, así que protéjalas primero. Hacerlo usted primero también le permite saber lo que verá su personal y decirles con sinceridad que usted también la usa.

3. Explique el porqué antes del cuándo

Envíe un mensaje corto una semana antes. Diga qué va a cambiar, por qué (para proteger la empresa y sus propias cuentas), qué van a necesitar (su teléfono o una llave de seguridad, y unos diez minutos) y cuándo. La gente acepta un cambio con mucha más facilidad cuando no llega como un aviso sorpresa.

4. Haga una sesión corta de configuración

Elija un momento tranquilo y tenga a alguien disponible, en persona o por llamada, mientras todos instalan la aplicación y se registran. Buena parte de la frustración viene de configurarla a solas a las 8:55 de la mañana con un cliente esperando.

5. Implemente en grupos pequeños

Actívela para unas pocas personas a la vez. Si algo sale mal, afecta a dos personas, no a toda la oficina, y usted aprende qué explicar mejor al siguiente grupo.

6. Prepare los casos difíciles

• Personal sin teléfono de trabajo, o que no quiere una aplicación en su teléfono personal: ofrezca una llave de seguridad física.
• Computadoras compartidas en la recepción: dé a cada persona su propia cuenta. Los inicios de sesión compartidos no pueden usar bien la MFA y usted pierde el control de quién hizo qué.
• Escáneres, copiadoras y aplicaciones antiguas que envían correo: los equipos que usan métodos de inicio de sesión antiguos suelen dejar de funcionar cuando esos métodos se bloquean. Identifíquelos antes de empezar y configúrelos con un método compatible.
• Teléfonos perdidos o reemplazados: escriba el proceso de recuperación por adelantado (vea más abajo).

7. Reduzca los avisos innecesarios

Una MFA bien configurada no pregunta a cada rato. Los equipos de confianza de la empresa se pueden recordar para que la gente solo reciba un aviso de vez en cuando, o cuando algo parece inusual, como un inicio de sesión desde una computadora nueva o desde otro país. En Microsoft 365, la opción gratuita de "valores predeterminados de seguridad" es un punto de partida razonable; las empresas con planes que incluyen Microsoft Entra ID P1 pueden usar reglas de Acceso condicional para un control más fino. Google Workspace tiene opciones similares de verificación en dos pasos en su consola de administración. Si todavía está eligiendo plataforma, lea Microsoft 365 o Google Workspace.

8. Enseñe una regla de oro

Nunca apruebe un inicio de sesión que usted no inició. Si su teléfono le pide aprobar un inicio de sesión y usted no está entrando, alguien más tiene su contraseña. Rechácelo y avise a TI de inmediato para cambiar la contraseña.

Escriba el proceso de recuperación

Los teléfonos se pierden, se rompen y se reemplazan. Decida por adelantado a quién debe contactar el personal, cómo esa persona confirma su identidad (una llamada a un número de teléfono que usted ya tenía, o en persona) y cómo se registra el teléfono nuevo. La regla más importante: nunca elimine ni restablezca la MFA de alguien solo porque lo pidió por correo o por mensaje de texto. Los delincuentes saben que la mesa de ayuda es un atajo, y lo van a pedir.

Cómo puede ayudar CyberArm

La aplicación de la MFA y la protección de identidades forman parte de todos nuestros paquetes de ciberseguridad. Podemos planificar y realizar la implementación por usted: encontrar los equipos y aplicaciones que van a fallar, configurar reglas de inicio de sesión razonables para que el personal no reciba avisos a cada rato, dar las sesiones de configuración en español o en inglés y encargarnos de la recuperación de teléfonos perdidos después. Para las demás protecciones que conviene tener junto con la MFA, vea nuestra lista de ciberseguridad para pequeñas empresas.

En resumen

La MFA es una de las mejores protecciones que puede activar, y solo resulta molesta cuando se hace con prisa. Explique el porqué, empiece por los administradores, elija la coincidencia de números o las llaves de seguridad, ayude a la gente a configurarla y prepárese para los teléfonos perdidos. Si quiere saber cuáles de sus cuentas siguen protegidas solo con una contraseña, nuestra evaluación gratuita de TI y seguridad revisa la seguridad de sus inicios de sesión y le entrega un Resumen Ejecutivo por escrito con las correcciones más importantes.