La autenticación multifactor — frecuentemente abreviada como MFA, un control adicional junto a la contraseña, por ejemplo un código en el teléfono — no aparece explícitamente como una obligación en la Directiva NIS2 ni en la Ley de Ciberseguridad. Lo que sí aparece, en la obligación de seguridad del artículo 21, es que las organizaciones adopten medidas técnicas y organizativas apropiadas para, entre otros, la protección del acceso. Para la mayoría de sistemas de oficina, aplicaciones en la nube y acceso externo en la industria metalomecánica y de fabricación, esto significa en la práctica casi siempre: sí, la autenticación multifactor debe incluirse. Para máquinas y sistemas de control en la planta de producción, la situación es más matizada, y este artículo profundiza en ello.
La diferencia está en lo que un sistema puede hacer técnicamente y cuál es el riesgo si una contraseña por sí sola resulta insuficiente. Un portal de acceso para trabajo remoto o una administración en la nube casi siempre puede incorporar un paso de verificación adicional. Una consola PLC de veinte años de antigüedad en la planta de producción frecuentemente no puede, y entonces la pregunta cambia de "¿MFA o no?" a "¿qué otra medida compensa esto?".
Qué espera la obligación de seguridad de usted
La obligación de seguridad no enumera una lista fija de productos o marcas. Los supervisores y la propia directiva hablan de medidas que se adapten a los riesgos, al estado de la técnica y a los costos de implementación. La protección de acceso es uno de los temas recurrentes: quién puede acceder a qué, cómo se verifica, y qué sucede si una contraseña se roba o se adivina. La autenticación multifactor es actualmente una de las formas más comunes de responder a esa pregunta, y por eso aparece en casi todas las explicaciones de esta medida que encontramos — también entre los supervisores en otros Estados miembros. Cómo se ha implementado exactamente en su país, y qué aclaración adicional proporciona el supervisor, puede consultarlo en revisar la implementación por tema.
Dónde generalmente sí se espera autenticación multifactor
En una empresa de metalomecánica o fabricación, los lugares donde esto es más evidente suelen ser los mismos: acceso al entorno en la nube y la administración, la bandeja de entrada de los empleados, acceso externo a través de VPN para quienes trabajan a distancia, y sobre todo las cuentas con permisos administrativos — el administrador de TI, el administrador de sistemas del paquete ERP, la persona que puede acceder a las copias de seguridad. Precisamente esas cuentas administrativas son atractivas para un atacante, porque una contraseña robada da acceso inmediato a mucho más que un buzón. Los clientes que envían un cuestionario de seguridad casi siempre preguntan explícitamente aquí, y una respuesta vacía a esa pregunta suele ser más difícil de justificar que una respuesta honesta "aún no en todas partes, con este calendario".
Dónde los sistemas de producción requieren otro enfoque
La planta de producción es otra historia. Una máquina CNC, un sistema SCADA o un PLC que durará décadas a menudo no fue construido con una pantalla de acceso que admita un segundo paso de verificación. Aquí la obligación de seguridad no sustituye lo imposible por una obligación, sino que traslada la atención a otras medidas complementarias: aislar el sistema en un segmento de red separado, limitar el acceso físico a la sala de control, y registrar bien quién tenía acceso a qué máquina y cuándo. La segmentación — el aislamiento de la red de producción respecto de la red de oficina — es en estos casos a menudo la medida que cierra la brecha que la autenticación multifactor cubre en otros lugares. Donde una máquina sí está conectada a la red empresarial, por ejemplo para monitoreo remoto o actualizaciones de software, esa conexión en sí misma es un riesgo que requiere atención, aunque eso no cambie nada en la técnica de la máquina.
Cómo hacer esta distinción en la práctica
Un primer paso útil es hacer un inventario de todos los sistemas que dan acceso a datos empresariales o procesos de producción, y por cada sistema preguntarse: ¿puede este sistema soportar técnicamente autenticación multifactor y, si no, qué hacemos al respecto? Ese inventario es precisamente donde un registro vivo demuestra su valor, porque una respuesta de hoy puede cambiar por una actualización de software mañana. Tanto si su organización cae bajo la obligación de diligencia, como si recibe esta pregunta porque un cliente se la exige, en cinco preguntas vea dónde se encuentrapuede respuestas a preguntas frecuentes está listo.
La autenticación multifactor no es, pues, una casilla de verificación que se ve igual en todas partes, sino una medida que recibe una aplicación diferente en cada sistema. Para su situación particular, y para la cuestión de si una excepción específica para sus máquinas es sostenible frente a un cliente o a la autoridad supervisora, el asesoramiento jurídico o la consulta con la autoridad supervisora sigue siendo la ruta más adecuada — secria.eu describe qué es aplicable y ayuda a documentarlo, pero no emite juicio sobre su situación individual.
¿Desea que este inventario se muestre para su propio negocio, incluidos los sistemas que en su caso aplican y no aplican? Realice el análisis rápido gratuito o lea primero los temas.