Las contraseñas llevan existiendo desde que existen los sistemas informáticos. Sin embargo, a medida que ha aumentado el número de cuentas, sitios web y aplicaciones que debemos proteger, se ha vuelto más difícil gestionar estas credenciales.
En la actualidad, más de la mitad (57 %) de los estadounidenses siguen anotando sus contraseñas relacionadas con el trabajo en notas adhesivas. ¿Le ha sorprendido? Bueno, quizá no deberíamos sorprendernos, teniendo en cuenta lo que sabemos sobre la naturaleza humana.
A menudo, estos problemas se ven agravados por políticas excesivamente estrictas que exigen credenciales complejas y difíciles de recordar, así como cambios periódicos de contraseña. Es fundamental encontrar el equilibrio adecuado entre seguridad y comodidad.
Por lo tanto, para ayudarle en este Día Mundial de la Contraseña, veamos algunos conceptos erróneos habituales en torno a la seguridad de las contraseñas. Y explique en qué consiste una buena política.
No se pierda este episodio de «To the Point» con dos expertos de Tanium: Chris Hallenbeck, director de seguridad de la información para América, y Oliver Cronk, arquitecto jefe de TI para EMEA.
https://youtu.be/0ri1bQsobig
Desmontando los cuatro principales mitos sobre las contraseñas
Mito n.º 1: las contraseñas deben ser complejas para ser más seguras.
No tiene por qué ser así. Las investigaciones han demostrado que una frase o expresión larga y relativamente fácil de recordar puede resultar más difícil de descifrar o adivinar para los atacantes que una palabra más corta y compleja.
Mito n.º 2 : Es necesario cambiar las contraseñas con frecuencia.
Es necesario ajustar de forma dinámica su política corporativa de contraseñas en función del riesgo. Si se trata de una cuenta de administrador o de una cuenta con un alto nivel de privilegios, es necesario cambiar las contraseñas con bastante frecuencia. Sin embargo, si se trata de una cuenta de usuario final, las actualizaciones forzadas frecuentes solo darán lugar a malas prácticas, como el ejemplo de las notas adhesivas mencionado anteriormente. Se trata de un ejercicio de equilibrio que requiere un análisis minucioso por parte del departamento de TI.
Mito n.º 3 : si utilizo la autenticación multifactorial (MFA) de y una contraseña segura, estoy totalmente protegido.
Lamentablemente, en materia de ciberseguridad no existe una protección del 100 %. Aunque haya bloqueado una vía mediante una autenticación eficaz de los usuarios, es posible que los atacantes puedan explorar otras, como el robo de cookies del navegador que contengan credenciales. Pero el objetivo es ponerle las cosas lo más difíciles posible a su adversario. Y con la autenticación multifactorial (MFA) y el uso obligatorio de contraseñas seguras en toda la organización, ya ha dado un buen paso adelante —especialmente si se implementan como parte de un enfoque «Zero Trust» de .
Mito n.º 4 : si me piratean la cuenta, es que alguien va a por mí.
En absoluto. En la mayoría de los casos, las intrusiones son bastante aleatorias y oportunistas. Los ataques de «credential stuffing», por ejemplo, pueden producirse si ha reutilizado su contraseña en otra página web que posteriormente haya sufrido una filtración. A continuación, los autores de las amenazas obtienen esas credenciales en mercados de la dark web y las prueban simultáneamente en numerosos sitios web, con la esperanza de poder acceder a algunas de sus otras cuentas.
Prácticas recomendadas para las contraseñas
Afortunadamente, tanto las organizaciones como los particulares pueden hacer muchas cosas para mejorar la seguridad de sus contraseñas. Y eso no implica necesariamente dedicar mucho tiempo ni esfuerzo adicionales. Considere lo siguiente:
- Los proveedores de gestión de identidades, como Google y Microsoft, ofrecen revisiones de seguridad que pueden ser una buena forma de comprobar si está utilizando contraseñas débiles, repetidas o que hayan sido objeto de filtraciones en alguna de sus cuentas. Si los resultados le parecen abrumadores, céntrese únicamente en aquellas cuentas que considere de «primer nivel», como la banca en línea y el correo electrónico. A esta última dirección es a donde los proveedores enviarán los mensajes para restablecer la contraseña, por lo que es fundamental que la mantenga segura mediante contraseñas sólidas y únicas, así como mediante la autenticación multifactorial (MFA).
- Cambie las contraseñas de sus cuentas de administrador y de las cuentas corporativas con privilegios elevados con mayor frecuencia que las de las cuentas de usuario normales.
- La autenticación MFA debe estar activada para todos los usuarios, especialmente para los administradores.
- A la hora de elegir contraseñas, opte por la longitud: una frase completa es más segura que una contraseña de entre 10 y 12 caracteres.
- Asegúrese de comprobar que se están cumpliendo las políticas, verificando si se almacenan credenciales en sitios como GitHub, lo que podría exponer a la organización a un riesgo adicional innecesario.
- También puede comprobar en esta página web si su dirección de correo electrónico se ha visto afectada por una filtración de datos: . ¿He sido víctima de una filtración?
- Las empresas pueden aprovechar días como el Día Mundial de la Contraseña para sensibilizar a la población, pero no deberían limitarse únicamente a las contraseñas. También es un buen momento para revisar sus protocolos de acceso. Si se descifra una contraseña débil, se obtiene acceso. Las organizaciones deberían centrar sus esfuerzos en lo que un ciberdelincuente puede hacer con ese acceso.
Cómo puede ayudarle Tanium
Tanium puede contribuir a estos esfuerzos de dos maneras:
Le ofrecemos la visibilidad y el control que necesita, con rapidez y a gran escala, para garantizar que las políticas globales se apliquen a los dispositivos finales. Por ejemplo, permitiéndole comprobar si hay algún archivo de contraseñas en texto plano en uso en toda la organización.
Apostamos por un enfoque «Zero Trust» basado en las mejores prácticas, mediante la autenticación del dispositivo antes de que los usuarios de la empresa puedan iniciar sesión. La gestión de identidades es un paso fundamental. Sin embargo, si sus dispositivos finales se han visto comprometidos, esto podría permitir que los atacantes lograran burlar las defensas de la empresa.
Para obtener más información sobre y sobre cómo implementar la seguridad mediante contraseña en su organización, visite nuestro sitio web o póngase en contacto con nosotros para solicitar una demostración.
