La autenticación multifactor, también conocida como verificación de dos pasos o MFA, consiste en iniciar sesión con algo que usted sabe (una contraseña) y algo que tiene (un código en su teléfono, una clave o una aplicación). Para empresas de instalación que están sujetas a la obligación de diligencia debida de la NIS2 o que reciben un cuestionario de seguridad como proveedor, esta es una de las preguntas más frecuentes: ¿es obligatoria en todas partes, o solo en ciertos lugares?
La respuesta breve: la obligación de diligencia debida no prescribe una tecnología específica, sino que requiere medidas acordes con el riesgo. Para sistemas accesibles remotamente, como el correo electrónico, su sistema ERP, la conexión VPN o el panel de administración de su software de planificación y facturación, la autenticación multifactor se considera generalmente una medida fundamental. Para el acceso a un edificio, un armario de llaves o un sistema en la ubicación de un cliente, la situación es más matizada, y ahí radica la pregunta práctica para muchas empresas de instalación.
Dónde generalmente se espera la autenticación multifactor
El razonamiento fundamental es simple: cuanto más alejado esté un sistema de su propia oficina, y cuanto más sensibles sean los datos detrás de él, más sólida debe ser la protección correspondiente. Un técnico que inicia sesión en la red corporativa desde su teléfono, un empleado de oficina que puede acceder a la administración desde casa, o un gestor que puede acceder a la planificación de forma remota: estos son todos puntos donde una contraseña por sí sola es vulnerable al phishing o a la reutilización de credenciales filtradas. La autenticación multifactor garantiza que una contraseña robada por sí sola no sea suficiente para acceder.
Lo mismo se aplica a las cuentas con permisos elevados: el administrador de la red, el propietario del entorno en la nube, o quien puede aprobar facturas. Precisamente estas cuentas son las más valiosas para un atacante, y precisamente son por las que se suele preguntar primero en un cuestionario de seguridad de un cliente. Quién quiera saber más sobre qué contiene exactamente, lo encontrará en la página sobre los temas desarrollados por sector.
Dónde la situación es más matizada: sistemas en las ubicaciones de los clientes
Las empresas de instalación a menudo trabajan in situ: en casa de un cliente, en un sitio empresarial, o en una obra. Esto genera situaciones que no se pueden comparar directamente con el trabajo de oficina. Un técnico que debe iniciar sesión en un sistema de gestión de edificios del cliente suele usar credenciales que gestiona el propio cliente, no las de su empresa. La pregunta de quién se encarga de la autenticación multifactor allí, y quién supervisa esto, corresponde principalmente al propietario de ese sistema, no a la empresa de instalación que tiene acceso temporal a él.
También el equipo compartido en una furgoneta de trabajo, como una tableta utilizada por varios técnicos, es un caso práctico en el que un requisito estricto de MFA puede entrar en conflicto con la viabilidad en el campo. Esto no significa que la seguridad desaparezca allí, pero sí que la implementación puede ser diferente: por ejemplo, una duración de sesión corta, una cuenta separada para cada técnico en lugar de una cuenta compartida, o acceso que expira automáticamente después del trabajo. Los supervisores y clientes se fijan principalmente en si se ha hecho una consideración deliberada, no en si se ha aplicado exactamente la misma solución técnica en todas partes.
La distinción entre llaves físicas y acceso a edificios por un lado, y acceso digital a sistemas por el otro, es también algo sobre lo que las empresas de instalación suelen recibir preguntas. Quién quiera explorar este tema de forma más amplia, encontrará un desarrollo de quién tiene acceso a qué en la página sobre control de acceso en el sector.
Lo que esto significa para la conversación con un cliente
Una lista de verificación de seguridad suele plantear una pregunta sencilla de sí/no sobre la autenticación multifactor, mientras que la práctica es más matizada. Ayuda poder mostrar por sistema dónde se encuentra la verificación múltiple, por qué se eligió en ese lugar y cómo se manejan las excepciones. Esto es precisamente donde un registro vivo añade valor: no solo una casilla marcada junto a una medida, sino un documento probatorio y un responsable por sistema, para que la respuesta al cuestionario sea correcta y esté fundamentada.
Puede verse con unas pocas preguntas si su empresa está sujeta a la obligación de cuidado, si se ve afectada a través de la cadena de suministro, o ninguna de ambas, a través de la comprobación gratuita que mapea su situación. Para quien quiera saber exactamente cómo secria.eu obtiene su información y qué fuentes se utilizan, se explica en la página sobre cómo funciona la plataforma. Y para preguntas concretas sobre qué sí y qué no se incluye en la obligación de cuidado, hay un resumen con respuestas a preguntas que las empresas instaladoras suelen hacer.
La autenticación multifactor no es un fin en sí mismo, sino uno de los pilares de un registro que muestra que el acceso a sistemas está regulado de manera reflexiva. Para la situación de su propio negocio, con sus propios sistemas y forma de trabajo en el sitio, sigue siendo necesaria una evaluación propia; la base de conocimientos y el análisis rápido ayudan a hacer esa evaluación con la información correcta.