La autenticación en la gestión documental es el primer control que separa la información de la organización de quienes no deben verla. Por ello, cuando se roban o se adivinan las credenciales de un usuario y, sin autenticación multifactor, la contraseña es la única prueba de identidad, la barrera de entrada ya ha fallado y todos los controles siguientes quedan expuestos.
En resumen
- La mayoría de los accesos indebidos empieza con credenciales comprometidas, a través de phishing, reutilización de contraseñas o filtraciones de datos en otros servicios.
- La autenticación multifactor añade una prueba adicional de identidad y reduce en gran medida el efecto de una contraseña comprometida.
- El RGPD exige medidas de seguridad adecuadas al riesgo y la NIS2 menciona expresamente la autenticación multifactor entre las medidas que deben considerar las entidades afectadas.
- No todos los factores son iguales: los códigos por SMS son mejores que nada, pero las llaves físicas y las passkeys ofrecen una protección muy superior frente al phishing.
Por qué la autenticación es el punto más expuesto
Una plataforma de gestión documental concentra contratos, documentación de trabajadores, datos personales e información técnica. Para un atacante, por consiguiente, una sola cuenta con permisos amplios puede valer más que cualquier vulnerabilidad técnica. Además, el acceso con credenciales válidas es difícil de detectar porque, a primera vista, parece un usuario legítimo que trabaja con normalidad.
Las formas más comunes de comprometer credenciales son conocidas: correos de phishing que imitan páginas de inicio de sesión, contraseñas reutilizadas ya expuestas en otros servicios y contraseñas débiles que apenas resisten los intentos automáticos. Por tanto, confiar solo en la contraseña es hoy una opción de alto riesgo.
Qué dicen los marcos de referencia
| Marco de referencia | Qué establece |
|---|---|
| RGPD, artículo 32 | Medidas técnicas y organizativas adecuadas al riesgo para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales |
| Directiva NIS2, artículo 21 | Incluye, entre las medidas de gestión de riesgos, el uso de autenticación multifactor o de autenticación continua, cuando proceda |
| ISO/IEC 27001 | Prevé controles de autenticación segura y de gestión de derechos de acceso en el sistema de gestión de la seguridad de la información |
Ninguno de estos marcos impone un producto concreto. Sin embargo, todos exigen que la organización demuestre que ha elegido controles proporcionales al riesgo, y la autenticación robusta suele ser uno de los primeros.
Factores de autenticación: Cómo compararlos
| Factor | Ventajas | Limitaciones |
|---|---|---|
| Contraseña | Universal y sencilla | Vulnerable al phishing, a la reutilización y a los ataques automáticos |
| Código por SMS | Fácil de adoptar | Expuesto al desvío del número de teléfono y al phishing en tiempo real |
| Aplicación de autenticación | No depende de la red móvil y es gratuita | Aún puede eludirse mediante páginas falsas sofisticadas |
| Llave física o passkey | Resistente al phishing, porque valida el sitio auténtico | Exige gestión de dispositivos y de recuperación |
En general, la elección debe depender del perfil: los usuarios habituales pueden usar una aplicación de autenticación, mientras que los administradores y las cuentas con acceso a datos sensibles justifican factores resistentes al phishing.
Autenticación multifactor en la gestión documental: Dónde aplicarla
- Usuarios internos. Por ejemplo, los equipos de HSE, compras y recursos humanos, que acceden a datos personales de los trabajadores.
- Contratistas. Presentan y consultan documentación, pero a menudo lo hacen desde dispositivos que la organización no controla.
- Administradores de la plataforma. Puesto que concentran los privilegios más amplios, deben usar siempre el factor más robusto disponible.
- Integraciones. Las conexiones entre sistemas deben usar credenciales técnicas propias, con permisos mínimos y rotación periódica.
Contraseñas: Qué ha cambiado en las buenas prácticas
Durante años, las reglas de contraseñas se centraron en la complejidad y en el cambio frecuente. Sin embargo, las recomendaciones de referencia actuales, como las del NIST en Estados Unidos, priorizan otro enfoque: contraseñas largas, como frases fáciles de recordar, comprobación frente a listas de contraseñas ya expuestas y cambio solo cuando hay sospecha de compromiso. De este modo, los usuarios dejan de crear variaciones previsibles de la misma contraseña cada trimestre.
Asimismo, un gestor de contraseñas permite usar credenciales únicas en cada servicio, lo que evita que una filtración de datos en otro sitio abra la puerta de la plataforma documental. En este sentido, la política de contraseñas y la autenticación multifactor deben plantearse de forma conjunta, y no como medidas independientes.
Autenticación y permisos: Dos caras del mismo control
Autenticar responde a la pregunta «¿quién es esta persona?». Por otro lado, los permisos responden a otra: «¿qué puede ver y hacer esta persona?». Una autenticación robusta con permisos excesivos sigue siendo un riesgo, porque una cuenta legítima comprometida, o mal utilizada, accede a más información de la que necesita.
En la gestión documental de contratistas, por ejemplo, un contratista solo debe ver la documentación de su empresa y de sus trabajadores. Del mismo modo, un analista de una instalación no necesita, por lo general, acceder a datos de otras zonas geográficas. Por tanto, el principio de mínimo privilegio reduce el impacto de cualquier fallo de autenticación.
Ejemplo: Un acceso indebido que no llegó a producirse
Una técnica de compras recibe un correo que imita la página de inicio de sesión de la plataforma documental e introduce su contraseña. Horas después, alguien intenta entrar en la cuenta desde otro país. Como la cuenta exige un segundo factor, el intento falla y el sistema registra el evento. A continuación, el equipo de sistemas recibe la alerta, obliga a cambiar la contraseña y confirma que no hubo acceso a los datos. Sin el segundo factor, el atacante habría accedido sin ningún obstáculo a los documentos de cientos de trabajadores.
Implantación en cinco pasos
- Inventariar cuentas y perfiles. En primer lugar, identificar quién accede, a qué información y con qué permisos.
- Definir la política por perfil. A continuación, decidir qué factor se exige a cada tipo de usuario.
- Preparar la recuperación. Además, definir cómo recupera un usuario el acceso cuando pierde el móvil o la llave, sin abrir una puerta trasera.
- Comunicar y formar. Explicar a los usuarios el motivo del cambio y enseñarles a reconocer los intentos de phishing.
- Supervisar. Por último, controlar los intentos fallidos, los accesos fuera de lo habitual y las cuentas sin autenticación robusta.
Autenticación de contratistas: Precauciones específicas
Los contratistas son, a menudo, el grupo de usuarios más difícil de gestionar. Por un lado, cambian con frecuencia y trabajan para varios clientes. Por otro, acceden a la plataforma desde ordenadores y móviles que la organización no controla. Así, algunas precauciones marcan la diferencia:
- cada persona de la empresa contratista debe tener su propia cuenta, en lugar de una cuenta compartida por todo el equipo;
- el contrato debe obligar al contratista a comunicar de inmediato la salida de empleados con acceso;
- las cuentas sin actividad durante un periodo definido deben suspenderse automáticamente;
- el proceso de recuperación del acceso debe confirmar la identidad con el responsable de la empresa contratista.
De este modo, la organización mantiene el control sobre quién accede a la información, incluso cuando esas personas no forman parte de su plantilla.
Errores comunes
- Excepciones permanentes. Las cuentas «temporalmente» exentas de autenticación robusta tienden a seguir así durante años.
- Cuentas compartidas. Cada persona debe tener su propia cuenta, para que los accesos sean trazables.
- Recuperación débil. Un proceso de recuperación basado solo en un correo electrónico anula el beneficio del segundo factor.
- Desactivación tardía. Las cuentas de empleados o contratistas que se han marchado deben desactivarse de inmediato.
Preguntas frecuentes
¿La autenticación multifactor ralentiza el acceso?
Ligeramente, en el momento de iniciar sesión. No obstante, muchas soluciones permiten confiar en un dispositivo durante un periodo definido, lo que reduce la molestia sin renunciar a la protección.
¿Es obligatoria para los contratistas que usan la plataforma?
Depende de la política de la organización y del riesgo. Aun así, cuando los contratistas acceden a datos personales o a documentación sensible, se recomienda aplicarles el mismo nivel de exigencia que a los usuarios internos.
¿Qué indicadores debemos seguir?
Los más útiles son el porcentaje de cuentas con autenticación robusta, el número de intentos de acceso fallidos, los accesos desde ubicaciones inusuales y el tiempo medio de desactivación de cuentas. Con estos indicadores, la dirección puede comprobar si la política se aplica realmente.
¿La biometría es una buena opción?
Puede serlo, sobre todo cuando desbloquea una llave guardada en el propio dispositivo, como ocurre con las passkeys. Sin embargo, los datos biométricos son datos personales especialmente sensibles, por lo que la organización debe preferir soluciones en las que esos datos no salgan del dispositivo del usuario.
Preguntas para la alta dirección
- ¿Qué porcentaje de las cuentas de nuestra plataforma documental usa autenticación robusta?
- ¿Los administradores usan factores resistentes al phishing?
- ¿En cuánto tiempo desactivamos las cuentas de quienes dejan de trabajar con nosotros?
Conclusión
En resumen, la autenticación en la gestión documental es un control sencillo de explicar y con un gran impacto en el riesgo. Combinada con permisos adecuados y registros de acceso, convierte la plataforma documental en un repositorio que la organización puede proteger y auditar.
La inversión es reducida en comparación con el coste de un acceso indebido a documentación de trabajadores, contratos o información técnica. Así, empezar por las cuentas con más privilegios y ampliar progresivamente a todos los usuarios es, por lo general, el camino más rápido para reducir el riesgo sin perturbar la operación.
AISP-GEDOC apoya a las empresas en la gestión documental en plataformas digitales, incluida la definición de perfiles, permisos y reglas de acceso.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), EUR-Lex
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- Centro Nacional de Cibersegurança (CNCS)
Para profundizar: Gestión documental: Guía completa para empresas.