Coralie LemassonMientras algunas cosas en el mundo (¡por fin!) van mejorando, el panorama de las ciberamenazas está claramente empeorando. La tercera encuesta anual de Devolutions sobre el estado de la seguridad informática en las pymes en 2022/23 reveló que:
- El 67 % de las pymes está más preocupado por la seguridad informática que hace un año.
- El 60 % de las pymes sufrió al menos un ciberataque en el último año.
- El auge del trabajo remoto/híbrido está generando una amplia gama de preocupaciones de seguridad en las pymes.
Sin embargo, la buena noticia es que las pymes (junto con todo tipo de organizaciones, incluidas las empresas más grandes) no necesitan limitarse a esperar lo mejor mientras se preparan para lo peor. Pueden —y, considerando los graves costes de una brecha de datos, francamente deben— actuar de forma proactiva y reducir los riesgos y las vulnerabilidades, especialmente en lo que respecta a los usuarios finales. Y ahí es donde entran en juego dos métodos de seguridad de gestión de identidades y accesos de importancia crítica: la autenticación de dos factores (2FA) y la autenticación multifactor (MFA).
¿Qué es la 2FA?
La 2FA permite identificar sin ambigüedades a los usuarios finales mediante una combinación de credenciales asignadas (combinación de nombre de usuario y contraseña) y otro componente. Este factor adicional puede ser:
- Credenciales de acceso adicionales que solo conoce el usuario final, como la respuesta a una pregunta de seguridad o un PIN.
- Un código que se envía a un dispositivo que el usuario final tiene físicamente en su posesión, como su smartphone.
- Credenciales de acceso biométricas exclusivas de un usuario final, como escáneres de retina y huellas dactilares.
¿Qué es la MFA?
La MFA lleva la 2FA un paso más allá, ya que exige a los usuarios finales que autentiquen su identidad mediante tres o más factores. Por ejemplo, para acceder a una cuenta, un dispositivo o una red, se puede solicitar a un usuario final que:
- Introduzca un PIN.
- Introduzca un código enviado a su smartphone.
- Introduzca un escaneo de huella dactilar.
A diferencia de la 2FA, al usuario final solo se le concede el acceso si se verifican todos los factores. Si uno de los factores no supera la validación —por ejemplo, si un usuario final introduce el PIN correcto y el escaneo de huella dactilar correcto, pero el código incorrecto—, no se le concederá el acceso.
Además, algunas organizaciones implementan la MFA sin contraseña, que excluye el factor de «algo que el usuario final sabe» y se basa, en cambio, en algo que el usuario final tiene en su posesión y/o en credenciales de acceso biométricas.
La coincidencia entre la 2FA y la MFA
En diversos sitios web y artículos, es habitual ver que los términos 2FA y MFA se usan indistintamente. ¿Es esto un error? No necesariamente. Técnicamente, todos los métodos de 2FA son también métodos de MFA, porque, como se ha señalado antes, la «M» de MFA significa «multi» (y dos ya es «multi»). Sin embargo, no todos los métodos de MFA son métodos de 2FA.
¿Por qué importa la diferencia entre 2FA y MFA?
Por lo general, la MFA es más robusta que la 2FA, ya que añade al menos una capa más de verificación. Sin embargo, esta seguridad adicional puede perjudicar la experiencia de usuario, lo cual puede resultar frustrante para los usuarios finales, especialmente si necesitan iniciar y cerrar sesión en cuentas y dispositivos varias veces al día. También puede generar cierta confusión en los usuarios finales que no tienen muchos conocimientos técnicos, o que han pasado años trabajando en un entorno sin MFA (y posiblemente tampoco con 2FA). Esto no quiere decir que la curva de aprendizaje de la MFA sea pronunciada, porque en realidad no lo es. Pero, como dice el refrán: «genio y figura, hasta la sepultura».
Cuándo la 2FA es más sólida que la MFA
¿Por qué decimos que la MFA es «por lo general» más robusta que la 2FA, en lugar de decir que «siempre» lo es? Porque la solidez y la funcionalidad de la seguridad de gestión de identidades y accesos no vienen determinadas automáticamente por el método, sino que dependen de los factores empleados.
Considere lo siguiente: dos factores de autenticación de identidad especialmente sólidos son la ubicación (aplicada mediante geolocalización) y el factor biométrico (escaneo de retina o huella dactilar). Por el contrario, los mensajes SMS, las respuestas «secretas» y los PIN son factores relativamente débiles (esto no significa que carezcan de valor, sino que se encuentran en el extremo más débil del espectro).
Se puede argumentar que una organización que implementa 2FA basada en ubicación + biometría tiene un sistema de autenticación de identidad más robusto que una organización que implementa MFA basada en mensajes SMS, respuestas «secretas» y PIN. La conclusión aquí es que, por lo general —aunque no automáticamente—, cuantos más factores, mejor.
En resumen
Tanto la 2FA como la MFA son categóricamente superiores al uso de un único factor, que suele ser una contraseña. Nada menos que el 81 % de las brechas de datos se deben a contraseñas débiles. Y, a pesar de las repetidas advertencias, muchos usuarios finales reutilizan las contraseñas en varias cuentas de trabajo y personales, y las comparten mediante métodos muy poco seguros (por ejemplo, correo electrónico, mensajes de texto, etc.).
Por supuesto, las contraseñas fuertes y únicas —o, mejor aún, las frases de contraseña— siguen siendo importantes. Pero las organizaciones deberían considerar la 2FA/MFA como algo más que una buena práctica: debería considerarse un requisito obligatorio para reducir la vulnerabilidad ante un panorama de ciberamenazas que no deja de empeorar.
Nos complace señalar que la suite de productos de Devolutions, que incluye Remote Desktop Manager, Devolutions Server y Devolutions Cloud, es compatible con la 2FA (tenga en cuenta que la 2FA para Devolutions Cloud se gestiona a través de Devolutions Account, que también rige otros servicios como Devolutions Force, el acceso al foro y más). Hay pruebas gratuitas disponibles de todos los productos; para más información, contacte con nosotros.