El 1 de febrero se conmemora el Día Mundial del Cambio de Contraseña. Establecido en 2012 para fomentar la concienciación sobre las buenas prácticas de gestión de contraseñas, sirve como recordatorio anual para mejorar la seguridad en línea y protegerse contra las ciberamenazas. Para las empresas, garantizar una higiene de contraseñas sólida entre sus empleados es una práctica recomendada y vital.
Las ciberamenazas están evolucionando, con amenazas sofisticadas impulsadas por IA, como deepfakes y phishing con IA, en aumento. Los ataques a la cadena de suministro siguen provocando incidentes de gran repercusión. Sin embargo, los errores de los empleados siguen siendo la principal causa de filtraciones de datos, según un estudio de 2025 realizado por Mimecast Descubrió que el 95% de las violaciones de datos se deben a errores humanos.
En este panorama cibernético tan complejo, abordar requisitos básicos de ciberseguridad, como una buena higiene de contraseñas, puede mitigar cierto nivel de riesgo. Además, puede servir como una base sólida para construir una cultura de concienciación sobre la seguridad de la información.
La importancia de una buena gestión de contraseñas
Las contraseñas son la llave de nuestra puerta de entrada digital. Implementar una buena gestión de contraseñas es fundamental en cualquier estrategia de gestión de riesgos empresariales. Las contraseñas débiles y fáciles de adivinar aumentan el riesgo de filtraciones de datos, permitiendo a los hackers acceder a correos electrónicos privados, redes e información confidencial corporativa y de clientes.
Las filtraciones de datos son el tipo más común de incidente de ciberseguridad. Nuestra Informe sobre el estado de la seguridad de la información 2025 Se descubrió que casi una de cada tres organizaciones (31%) sufrió una filtración de datos en los últimos 12 meses, seguida de phishing y vishing (30%) e infecciones de malware (29%). Estas filtraciones también generan riesgos reputacionales y financieros. IBM Costo de una filtración de datos 2025 Un informe reveló que el costo promedio global de una violación de datos para una empresa fue de $4.4 millones, lo que representa una disminución del 9% desde 2024.
El daño a la reputación también puede tener un impacto significativo. Investigación de Vercara descubrió que la mayoría (66%) de los clientes estadounidenses no confiarían sus datos a una empresa que fuera víctima de una violación de datos, y el 44% atribuiría los incidentes cibernéticos a la falta de medidas de seguridad de una empresa.
Además, una buena seguridad de contraseña puede ayudar a mejorar el cumplimiento de las regulaciones de protección de datos como el Reglamento General de Protección de Datos de la UE. (GDPR), estándares de privacidad de datos como ISO 27701, y estándares de seguridad de la información como ISO 27001,.
Desafíos de la gestión de contraseñas
En un mundo ideal, cada empleado usaría una contraseña única para cada inicio de sesión. En la práctica, recordar varias contraseñas diferentes no es práctico y puede provocar fatiga. Garantizar el cumplimiento de la política de contraseñas también puede ser complicado. Un buen punto de partida es establecer reglas en el sistema para la longitud de las contraseñas y exigir que se actualicen después de cierto tiempo.
Mejores prácticas para la gestión de contraseñas comerciales
Las organizaciones pueden garantizar que los empleados sigan las mejores prácticas de seguridad de contraseñas con varias prácticas recomendadas:
Longitud y complejidad de la contraseña
Considere establecer requisitos para que las contraseñas tengan entre 12 y 20 caracteres, con una variedad de caracteres en minúsculas y mayúsculas, caracteres especiales y números para mayor seguridad. un estudio de Instituto CyLab de Seguridad y Privacidad de la Universidad Carnegie Mellon descubrió que requerir una fuerza mínima y una longitud mínima de 12 caracteres creaba un buen equilibrio entre seguridad y usabilidad.
Actualizar políticas
Si bien el Día Mundial del Cambio de Contraseña es un recordatorio oportuno para actualizar las contraseñas, no debería ser el único momento en el que se cambian las contraseñas. La empresa de software de seguridad McAfee recomienda cambiar las contraseñas cada tres meses.
Reutilización de contraseña
Puede resultar tentador para los empleados utilizar la misma contraseña para varias cuentas dentro de su entorno de trabajo. Sin embargo, esto aumenta el riesgo de apropiación de cuentas. Si un actor de amenazas tiene acceso a una cuenta con esa contraseña, efectivamente tendrá acceso a todas ellas. La capacitación y educación de los empleados pueden ayudar a mitigar este riesgo al desalentar la reutilización de contraseñas.
Herramientas de gestión de contraseñas
Ya sean independientes o integradas en los navegadores, estas herramientas están diseñadas para reducir la brecha entre seguridad y usabilidad mediante el almacenamiento y la recuperación segura de contraseñas seguras y únicas para cada sitio y aplicación. Sin embargo, es fundamental tener en cuenta que si un hacker obtiene acceso a la herramienta de gestión de contraseñas, podrá comprometer todas las contraseñas almacenadas en ella.
Implementación de autenticación multifactor
Autenticación de múltiples factores (MFA) requiere que el usuario proporcione dos (o más) formas de verificación para acceder a una cuenta. Por ejemplo, MFA puede requerir que el usuario inicie sesión con su nombre de usuario y contraseña, y luego proporcione una contraseña de un solo uso (OTP) enviada por mensaje de texto a su teléfono. El usuario debe proporcionar tanto su contraseña como la contraseña de un solo uso para acceder a la cuenta, agregando una capa adicional de seguridad.
Hay varios tipos de MFA:
OTP y OTP basadas en tiempo
Las OTP son una forma sólida de MFA y se pueden enviar a través de aplicaciones de autenticación, administradores de contraseñas o mensajes de texto (SMS). Una vez que se utiliza la contraseña, ya no es válida para su uso nuevamente. Las contraseñas de un solo uso basadas en el tiempo (TOTP) agregan una capa adicional de seguridad porque solo son válidas por un período de tiempo limitado.
Usar OTP y TOTP con una aplicación de autenticación o un administrador de contraseñas es más seguro que recibirlos por SMS. Los mensajes de texto son susceptibles a piratería de SIM, ataques de interceptación e ingeniería social.
Envíe un correo electrónico a MFA
Email MFA implica que la segunda forma de autenticación del usuario se envía a su dirección de correo electrónico. Esta forma de MFA, si bien es fácil y accesible para los usuarios, plantea riesgos similares a los de las OTP de SMS en caso de que un pirata informático tenga acceso a la cuenta de correo electrónico a la que se entrega el código.
AMF biométrica
La autenticación multifactor (MFA) biométrica utiliza reconocimiento facial, escaneo de huellas dactilares o de iris para validar la identidad del usuario y puede ser un método de autenticación robusto. Se usa comúnmente en teléfonos móviles, ya que el usuario puede configurar la biometría en lugar de usar un número de identificación personal (PIN) para desbloquear el teléfono e incluso usarla para acceder a aplicaciones seguras como el autenticador y las aplicaciones de banca personal.
Si bien la MFA biométrica es una de las formas de autenticación más sólidas, los usuarios aún pueden ser susceptibles si les roban sus datos biométricos. A diferencia de las contraseñas, estos datos no se pueden restablecer ni cambiar.
Educación de empleados y aplicación de políticas
Una de las principales barreras para mejorar la seguridad de las contraseñas es el riesgo de error humano. La educación de los empleados es fundamental para garantizar que todos en la organización conozcan los riesgos asociados con una mala gestión de contraseñas y sus responsabilidades en materia de ciberseguridad. Sin embargo, también es esencial proporcionar soluciones que permitan al personal concentrarse en su trabajo y evitar la fatiga de las contraseñas.
Entrenamiento de ciberseguridad
Invertir en formación sobre ciberseguridad para los empleados puede contribuir a la seguridad de la empresa y garantizar que el personal sea capaz de detectar y denunciar otros riesgos, como los intentos de ataques de phishing. Muchas plataformas de formación especializadas permiten a las organizaciones impartir cursos a toda la empresa, controlar quién ha completado la formación requerida y enviar recordatorios por correo electrónico automáticamente.
Política de contraseñas
Desarrolle una política de contraseñas alineada con las mejores prácticas y comunique esa política en toda la empresa. Esto se puede hacer junto con la capacitación en ciberseguridad para ayudar a todos en la empresa a comprender la toma de decisiones detrás de la política y mejorar el cumplimiento de los empleados.
Las políticas podrían especificar la longitud mínima de la contraseña, la complejidad, los tipos de caracteres permitidos y otros elementos. Como se mencionó, el equipo de TI también puede configurar los dispositivos de los empleados para que requieran actualizaciones después de un cierto período de tiempo, como 90 días.
Cómo pueden ayudar ISO 27001 y otros marcos
Los marcos de seguridad de la información como ISO 27001 y regulaciones como el GDPR exigen que las empresas tomen medidas en materia de seguridad de las contraseñas.
Por ejemplo, el RGPD exige que las empresas procesen datos personales de forma segura utilizando "medidas técnicas y organizativas apropiadas", mientras que ISO 27001:2022 El Control 5.17 del Anexo A requiere que la información de autenticación se mantenga segura. La guía de control también establece que los usuarios deben seleccionar contraseñas seguras y difíciles de adivinar que cumplan con los estándares de la industria:
- Las contraseñas no deben basarse en información personal que pueda obtenerse fácilmente, como nombres o fechas de nacimiento.
- Las contraseñas no deben basarse en información que pueda adivinarse fácilmente.
- Las contraseñas no deben contener palabras o secuencias de palabras que sean comunes.
- Utilice caracteres alfanuméricos y especiales en su contraseña.
- Las contraseñas deben tener un requisito de longitud mínima.
Cinco pasos para mejorar la política de contraseñas
1) Auditar la política de contraseñas actual
Revise la política de contraseñas existente de la organización. ¿Es necesario actualizarlo o mejorarlo? Si no existe una política de contraseñas vigente, desarrolle una que se ajuste a los estándares de la industria.
2) Comunicarse en toda la empresa
Asegúrese de que todo el personal esté al tanto de las políticas de contraseñas nuevas o actualizadas. Defina la política y su importancia, y considere capacitar a los empleados simultáneamente. Las organizaciones también deberían consultar con los responsables de capacitación para que puedan promover la política entre sus empleados.
3) Implementar herramientas de administración de contraseñas
Elija herramientas de administración de contraseñas aprobadas. El uso de una herramienta de gestión alivia la carga de recordar varias credenciales diferentes para diferentes cuentas, lo que mejora la probabilidad de que los empleados la acepten.
4) Utilice MFA
Implemente MFA como una forma adicional de autenticar usuarios y mitigar el riesgo de phishing.
5) Invierta en la educación de los empleados
Capacite a los empleados para que sigan una política de contraseñas nueva o actualizada y enséñeles sobre el uso de herramientas de administración de contraseñas y MFA. Esto puede mejorar la aceptación y ayudar al personal a comprender la importancia de una buena gestión de contraseñas.
Es hora de tomar acción
Ante las ciberamenazas cada vez más sofisticadas, es más importante que nunca que las empresas evalúen su postura en materia de ciberseguridad. El Día Mundial del Cambio de Contraseña sirve como un llamado a la acción para los líderes empresariales. Al identificar proactivamente las vulnerabilidades, implementar las mejores prácticas de ciberseguridad y educar a los empleados sobre sus responsabilidades en materia de seguridad de la información, los líderes pueden abordar y mitigar los riesgos que plantean las ciberamenazas.
¿Listo para tomar medidas para mejorar las prácticas de gestión de contraseñas y aumentar la resiliencia organizacional? Descubra cómo la solución centralizada de sistema de gestión de seguridad de la información (SGSI) de IO puede ayudar a su organización a mejorar su seguridad y alinear la política de contraseñas con potentes marcos de seguridad de la información.
