La implementación de la Autenticación Multifactor (MFA) como medida estratégica de seguridad
El incremento continuo de los ciberataques, las filtraciones de datos y el uso fraudulento de credenciales compromete cada vez más la seguridad operativa de las organizaciones. En este contexto, contar con un marco sólido de Gobernanza, Riesgo y Cumplimiento (GRC) exige adoptar mecanismos robustos de autenticación.
Para reforzar la seguridad corporativa es imprescindible contar con una estrategia integral que combine múltiples controles defensivos y un proceso continuo de actualización y mejora.
Con el objetivo de profundizar en este ámbito, iniciamos una nueva serie de artículos en el blog del Club CISO dedicada a la «Implementación de la Autenticación Multifactor (MFA) como medida estratégica de seguridad».
A lo largo de esta serie analizaremos no solo los aspectos técnicos de la MFA, sino también su relación con la gobernanza de la ciberseguridad, la gestión de riesgos, el cumplimiento normativo, las amenazas actuales dirigidas contra los mecanismos de autenticación y las nuevas tendencias que están transformando la gestión de identidades y accesos.
En este primer artículo de la serie abordaremos precisamente esos conceptos básicos, comenzando por la definición de la Autenticación Multifactor y los distintos factores de autenticación que pueden combinarse para aumentar significativamente el nivel de protección de los accesos.
¿Qué es la Autenticación Multifactor (MFA)?
La Autenticación Multifactor (MFA) constituye una de las capas más efectivas para proteger accesos a un recurso, como una aplicación, una cuenta en línea o una VPN, y reducir la probabilidad de intrusiones, al requerir que el usuario valide su identidad a través de dos o más factores independientes. La MFA es un componente fundamental de una política sólida de Gestión de Identidades y Accesos (IAM).
El principio de la autenticación multifactor se basa en la combinación de distintos tipos de factores de verificación para confirmar la identidad de un usuario. Estos factores se clasifican habitualmente en tres categorías principales:
- Algo que sabes
Es la forma más tradicional de autenticación y se basa en información conocida únicamente por el usuario. Esto incluye contraseñas, frases de contraseña, PIN o respuestas a preguntas de seguridad. La autenticación mediante contraseña implica que los usuarios creen combinaciones únicas de letras, números y caracteres especiales para proteger sus cuentas. Si bien las contraseñas son vulnerables a ser adivinadas, robadas o interceptadas, se vuelven más seguras cuando son únicas y se actualizan periódicamente. Por lo tanto, es fundamental establecer una política de contraseñas que anime a los usuarios a actualizar sus credenciales con regularidad y les impida reutilizar la misma contraseña una y otra vez.
- Algo que tienes
La autenticación mediante algo que posees implica objetos físicos que solo el usuario tiene en su poder. Estos objetos sirven como tokens o claves tangibles para autenticar la identidad. Por ejemplo, una tarjeta inteligente física con un chip, un token USB o un smartphone equipado con aplicaciones de autenticación, como Microsoft Authenticator, Google Authenticator o Authy, que generan códigos temporales que funcionan como factores de autenticación secundarios. La presencia física de estos dispositivos añade una capa adicional de seguridad al proceso de autenticación. De esta forma, incluso si un atacante obtiene acceso a la contraseña de un usuario, aún necesitaría tener en su poder el dispositivo secundario para completar el proceso de autenticación, lo que convierte a «algo que tienes» en un medio eficaz para frustrar los intentos de acceso no autorizados.
- Algo que eres
Este método de verificación se basa en características biológicas únicas para confirmar la identidad del usuario. Dependiendo de la aplicación específica de autenticación multifactor implementada, la autenticación biométrica puede apoyarse en elementos como la huella dactilar, el reconocimiento facial o el escaneo de retina para validar el acceso. Por ejemplo, un smartphone con tecnología de reconocimiento facial analiza los rasgos del usuario para autenticar el acceso. La autenticación biométrica proporciona un nivel de seguridad elevado, ya que las características físicas son exclusivas de cada individuo, lo que hace extremadamente difícil que usuarios no autorizados puedan replicarlas o falsificarlas.
- Otros tipos de Autenticación Multifactor (MFA)
A medida que la autenticación multifactor (MFA) integra el aprendizaje automático y la inteligencia artificial (IA), los métodos de autenticación se vuelven más sofisticados, incluyendo:
- Basado en la ubicación
La autenticación multifactor basada en la ubicación utiliza información como la dirección IP del usuario y, cuando es posible, su geolocalización. Estos datos permiten verificar si el intento de acceso procede de un lugar autorizado. De este modo, el sistema puede bloquear el acceso cuando la ubicación no coincide con una zona previamente definida en una lista blanca, o emplearse como un factor adicional de autenticación junto con otros elementos —como una contraseña o un código OTP— para reforzar la validación de la identidad del usuario.
- Autenticación adaptativa o autenticación basada en riesgos
Dentro de los modelos de MFA existe un enfoque avanzado conocido como autenticación adaptativa o autenticación basada en riesgos. Con la ayuda de la IA, este mecanismo evalúa factores adicionales al considerar el contexto y el comportamiento del usuario durante el proceso de inicio de sesión. A partir de esta información, el sistema asigna un nivel de riesgo al intento de acceso y actúa en consecuencia.
Para calcular dicho nivel de riesgo, suelen analizarse preguntas como:
- ¿Desde qué ubicación está intentando acceder el usuario?
- ¿Se realiza el intento dentro del horario laboral habitual o en un momento inusual?
- ¿Qué tipo de dispositivo se está utilizando y si coincide con los usados previamente?
- ¿La conexión proviene de una red segura (privada) o de una red pública?
En función de las respuestas a estos factores, el sistema determina si debe solicitar un factor de autenticación adicional o si, por el contrario, el acceso puede permitirse directamente. Por ello, este enfoque también se conoce como autenticación basada en riesgos.
Por ejemplo, si un usuario intenta acceder desde una cafetería en plena madrugada —un comportamiento atípico para su patrón de uso—, es probable que el sistema requiera un segundo factor, como un código SMS, además de sus credenciales habituales. En cambio, si accede desde la oficina a las 9:00, como hace habitualmente, es posible que solo deba introducir su nombre de usuario y contraseña.
La Autenticación Multifactor ha pasado de ser una medida recomendada a convertirse en un componente fundamental de cualquier estrategia de seguridad.
Sin embargo, no todas las implementaciones de MFA ofrecen el mismo nivel de protección. Existen diferentes métodos de autenticación, cada uno con ventajas, limitaciones y riesgos específicos que conviene conocer antes de tomar una decisión tecnológica o definir una política corporativa de acceso.
En el próximo artículo de esta serie analizaremos los principales métodos de autenticación multifactor utilizados actualmente y evaluaremos cuáles ofrecen mayores garantías de seguridad en el contexto actual de amenazas.
José Antonio Sánchez
Govertis, part of Telefónica Tech
