Aplicar una buena higiene de contraseñas

Objetivos de aprendizaje

Después de completar esta unidad, podrá:

• Definir una buena higiene de contraseñas.
• Explicar cómo los gestores de contraseñas protegen las contraseñas.

Aplicar una higiene de contraseñas segura

La higiene de contraseñas es tan fundamental para sus sistemas organizativos internos como lo es para las credenciales que utiliza para acceder al correo electrónico, al calendario y a otras aplicaciones relacionadas con el trabajo. Por muy bien que una empresa se proteja contra los peligros externos, las contraseñas siguen presentando amenazas de seguridad. Por eso debe exigir a los usuarios que tengan credenciales únicas para todas las bases de datos y sistemas a los que accedan. 

Entre los riesgos de las contraseñas, se cuentan el uso de contraseñas débiles, la reutilización de contraseñas y el manejo inadecuado de las credenciales mediante un almacenamiento o cifrado defectuoso (utilizando un algoritmo para cifrar, codificar y proteger). Una forma de implementar contraseñas seguras es utilizar una herramienta de gestión de contraseñas. 

Una higiene de contraseñas segura implica dos acciones: utilizar contraseñas seguras y únicas en todos los servicios a los que acceda, y almacenarlas en un lugar protegido. Repasemos algunas de las mejores prácticas para mantener seguras sus contraseñas.

Utilizar contraseñas seguras y únicas

Utilice contraseñas seguras en todos los servicios a los que acceda. Es especialmente importante procurar no reutilizar contraseñas. Resulta tentador reutilizar contraseñas o utilizar algunas con solo pequeñas variaciones, porque mantenerlas largas y complejas en varias cuentas puede resultar tedioso. Sin embargo, reutilizar contraseñas es una práctica que deja a su organización vulnerable a las brechas de seguridad.

Si las reutiliza, incluso con pequeñas variaciones, los piratas informáticos que obtengan la de una cuenta podrán acceder a sus otras cuentas. De este modo se han producido varias brechas de seguridad importantes que han afectado a organizaciones de diversos sectores que, a su vez, han provocado filtraciones de cuentas de redes sociales de empleados, cuentas bancarias de clientes e incluso sistemas de seguridad nacionales. Un gestor de contraseñas es una buena forma de minimizar este riesgo. 

Utilizar un gestor de contraseñas

Aunque establecer contraseñas seguras es crucial, igual importancia tiene mantenerlas en secreto. Las contraseñas seguras y únicas son difíciles de recordar, por lo que puede resultar tentador guardarlas en copias impresas. Desgraciadamente, esta práctica puede poner en grave peligro la seguridad, ya que las copias impresas pueden quedar expuestas, sobre todo en las oficinas diáfanas. La próxima vez que sienta la tentación de escribir su contraseña en una nota adhesiva o en un cuaderno, piénselo mejor.   

Es posible que vea el término "higiene de contraseñas", que se refiere a seguir las prácticas recomendadas sobre contraseñas. Una buena higiene de contraseñas ayuda a evitar que los atacantes accedan a sus sistemas. La forma más sencilla de asegurarse de utilizar contraseñas seguras para sus cuentas y de no repetirlas es utilizar un gestor de contraseñas. La mayoría de los gestores de contraseñas incorporan generadores de contraseñas aleatorias, y recopilan los nombres de usuario y las contraseñas en tiempo real. Los almacenan en una base de datos segura, lo que significa que no es necesario recordar una contraseña diferente, segura y única para cada sitio web.

Tal vez su organización le proporcione un gestor de contraseñas; pero, incluso si no lo hace, puede elegir uno. Los gestores de contraseñas guardan de forma segura los sitios web, gestionan los inicios de sesión, generan contraseñas aleatorias y almacenan estas en una base de datos segura sin tener que memorizar contraseñas complejas y seguras para cada servicio que utilice. 

Qué se puede y qué no se puede almacenar en un gestor de contraseñas

Aunque los gestores de contraseñas son una buena forma de implementar el uso de contraseñas seguras, hay que procurar no utilizarlos para cuentas de administrador del sistema o con privilegios. Para las cuentas con privilegios, utilice un depósito seguro o un sistema de gestión de claves privilegiadas que cifre sus secretos.   

Siga estas prácticas recomendadas cuando utilice un gestor de contraseñas. 

• Haga coincidir la complejidad de su contraseña maestra con al menos la contraseña más compleja almacenada en el gestor de contraseñas.
• Elija una contraseña maestra para su gestor de contraseñas que tenga al menos 16 caracteres e incluya elementos de estas categorías: mayúsculas, minúsculas, números y símbolos.
• Utilice una frase de contraseña. Una frase de contraseña es una cadena de palabras en forma de frase que se utiliza para la autenticación y que es más larga que una contraseña tradicional, fácil de recordar y difícil de descifrar. Puede añadir espacios y sustituir letras por caracteres especiales o números para aumentar aún más la seguridad.
• Configure su gestor de contraseñas para que utilice la autenticación de múltiples factores (MFA) para los inicios de sesión.

Añadir defensas con la autenticación de múltiples factores

Muchas organizaciones han adoptado la MFA para verificar la identidad de los usuarios antes de permitirles acceder a los sistemas. Puede utilizar tres tipos de factores para autenticarse: 1) algo que tiene, 2) algo que conoce, 3) algo que es. Para la MFA, es necesario autenticarse utilizando al menos dos de estos tres factores. 

Por ejemplo, al iniciar sesión, puede utilizar la MFA para verificar su identidad con algo que conoce (como su contraseña) y algo que tiene (como una aplicación en su teléfono o un token de hardware). Implementar la MFA puede protegerle contra ataques a las contraseñas, como los ataques de phishing, cuyo objetivo es recopilar credenciales para obtener acceso no autorizado al ordenador de la víctima. Cuando se utiliza la MFA, incluso si un atacante es capaz de poner en peligro su contraseña, todavía necesita tener acceso a un segundo factor, como su teléfono, o su token de hardware, para poner en peligro su cuenta.

Asegúrese de utilizar siempre la MFA para acceder al gestor de contraseñas, que proporciona el mayor nivel de protección a toda la información confidencial allí almacenada. Cada sistema de gestión de contraseñas requiere un método de autenticación distinto. Cada uno puede incluir un autenticador basado en software, como Google Authenticator; un autenticador basado en hardware, como YubiKey; u otros métodos, como el uso de parámetros biométricos. 

Ahora que ya sabe cómo proteger sus contraseñas personales, veamos cómo proteger sus credenciales de administrador. 

Recursos

• Sitio externo: Foro Económico Mundial (FEM): Por qué el COVID-19 presenta un argumento para eliminar las contraseñas
• Sitio externo: Global Cyber Alliance: El phishing: una pandemia mundial
• Sitio externo: The National Institute of Standards and Technology (NIST) (Instituto Nacional de Estándares y Tecnología): Special Publication (SP) 800-63: Revisión 3: Digital Identity Guidelines