¿Es obligatoria la autenticación multifactor (MFA) para un prestador de servicios TIC? No existe una respuesta breve, y es precisamente por eso que esta pregunta regresa con tanta frecuencia ante los supervisores, los clientes y en los cuestionarios de seguridad. La Directiva NIS2 menciona explícitamente la autenticación multifactor o la autenticación continua como ejemplo de una medida que forma parte de la obligación de diligencia debida, pero no prescribe en qué sistema, para quién y en qué momento debe implementarse. La organización tiene libertad para definir estos detalles, y eso hace que el tema sea más complejo que un simple sí o no.
Lo que sí es claro: tan pronto como una cuenta proporciona acceso remoto a sistemas, datos o infraestructura de un cliente, tanto los supervisores como los clientes esperan que haya algo más que una contraseña. Esto se aplica al personal propio, a los subcontratistas y al acceso temporal que se revoca después de un proyecto. Donde esa expectativa es menos exigente es en el acceso interno de bajo riesgo que no es accesible desde el exterior. Ese es el límite que este artículo desarrolla más adelante.
Por qué MFA aparece en casi todos los cuestionarios
Como prestador de servicios TIC, a menudo es usted quien inicia sesión de forma remota en la cuenta de un cliente, realiza actualizaciones o resuelve incidencias. Precisamente esa vía de acceso es atractiva para un atacante: una única contraseña robada puede proporcionar acceso a múltiples entornos de clientes al mismo tiempo. Los clientes que están sujetos a la obligación de diligencia debida deben evaluar a sus proveedores, y la autenticación multifactor en el acceso remoto es uno de los primeros aspectos que se solicita. Quien no tenga una respuesta a esto observará que los cuestionarios se alargan o que un contrato entra en espera.
en unas pocas preguntas, ver si su organización se ve afectada a través de la cadena de suministro proporciona una primera indicación de cuán gravemente estos requisitos pueden impactarle. Para un proveedor de servicios de pymes que trabaja para varios clientes sujetos a obligaciones, es probable que la misma pregunta se repita una y otra vez, solo con una redacción ligeramente diferente.
Dónde se espera estructuralmente MFA
En la práctica, tres vías de acceso surgen con mayor frecuencia como lugares donde debe estar presente la autenticación multifactor. En primer lugar, la administración remota: todas las conexiones mediante las cuales un administrador puede acceder a un sistema desde fuera de la red, incluido el acceso VPN y las conexiones de escritorio remoto. En segundo lugar, el acceso a sistemas del cliente: cuentas creadas específicamente para iniciar sesión en un cliente, especialmente cuando ese acceso otorga derechos de administrador. En tercer lugar, los subcontratistas y terceros que realizan trabajo en nombre de usted en un cliente; su acceso está sujeto a la misma expectativa, incluso si el subcontratista no aparece directamente en el cuestionario.
En estas tres categorías, el patrón es siempre el mismo: cuanto más lejos está el acceso de la red propia y físicamente aislada, más fuerte es la expectativa de que haya un segundo paso de verificación.
Dónde el debate sigue abierto
Dentro de una red de oficina propia, para una cuenta que solo funciona localmente y sin conexión externa, la necesidad de MFA es menos inequívoca. Eso no significa que sea poco importante; significa que la evaluación allí se basa más en el riesgo y la proporcionalidad que en una norma rígida. El mismo matiz se aplica a las cuentas funcionales compartidas que no están vinculadas a un individuo: estas requieren una solución diferente a un segundo paso por persona, como prescindir de la cuenta a favor de credenciales individuales.
Esta es la categoría con la que las organizaciones luchan más frecuentemente cuando llega un cuestionario de seguridad: no los casos obvios, sino los sistemas que se sitúan en algún punto intermedio. leer la explicación por cada situación ayuda a ver en qué categoría probablemente se encuadra un sistema específico, sin necesidad de leer primero toda la Directiva.
Lo que esto significa para su propio expediente
Para la obligación de diligencia no solo cuenta si la autenticación multifactor está implementada, sino también si es demostrable: quién tomó la decisión, en qué sistemas está activada, y cuál es el estado de los sistemas donde aún falta. Este es precisamente el tipo de documentación que requiere un expediente vivo en lugar de una acción única. En caso de duda sobre cómo evaluar estrictamente un acceso específico, la autoridad supervisora o un abogado siguen siendo la parte más indicada para hacerlo en su situación; esta explicación tiene por objeto precisar la pregunta, no sustituirla.
¿Quiere saber cómo este tema se refleja en su propio expediente? lea dónde procede la información en secria.eu muestra cómo mantenemos las fuentes, y la NIS2-check gratuita ofrece una primera visión en pocos minutos de dónde se encuentra.