Puntos clave
- Una política de contraseñas empresa sólida prioriza la longitud (mínimo 15 caracteres sin MFA) por encima de la complejidad artificial de símbolos y mayúsculas.
- No obligues a cambiar contraseñas cada 30 o 90 días por rutina: solo fuérzalo cuando haya evidencia de que la cuenta fue comprometida.
- Un gestor de contraseñas y la autenticación multifactor son la columna vertebral de cualquier política realista: el 95% de la seguridad recae en la prevención.
- Compara cada contraseña nueva contra listas de contraseñas filtradas y bloquea las que ya aparecen en bases de datos robadas.
Una política de contraseñas empresa que de verdad protege se resume en tres ideas: contraseñas largas, un gestor que las recuerde por ti y un segundo factor que detenga al atacante aunque la contraseña se filtre. Lo demás, cambiarlas cada mes, exigir tres símbolos y una mayúscula, suele estorbar más de lo que ayuda. Les platico por qué, y les dejo una plantilla lista para que la adapten.
En RealNet llevamos desde 1993 acompañando empresas, y desde 1997 metidos de lleno en temas de ciberseguridad. En todos estos años hemos visto lo mismo una y otra vez: negocios serios, bien administrados, que pierden información o dinero por una contraseña débil o repetida. Y nuestra filosofía no cambia: no hay nada 100% seguro. Quien les diga que les garantiza seguridad total que se los firme con sangre. Lo que sí podemos afirmarles es que el 95% de la seguridad recae en la prevención, y una buena política de contraseñas es de los primeros ladrillos de esa prevención.
Características de una contraseña robusta
Durante años nos enseñaron que una contraseña fuerte era algo así como "P@ssw0rd!2024", con su mayúscula, su número y su signo. Resulta que esa receta está equivocada. El NIST, que es el instituto de estándares del gobierno de Estados Unidos y marca la pauta para medio mundo, actualizó sus lineamientos y hoy dice algo muy distinto.
Según la guía oficial del NIST SP 800-63B, los sistemas deben exigir contraseñas de mínimo 15 caracteres cuando son el único factor de autenticación, y de al menos 8 cuando se combinan con un segundo factor. Más importante todavía: el mismo documento prohíbe (no "sugiere evitar", prohíbe) imponer reglas de composición como obligar a mezclar tipos de caracteres (NIST SP 800-63B).
¿Por qué el cambio? Porque esas reglas de "una mayúscula, un número, un símbolo" no hacen la contraseña más fuerte, solo más difícil de recordar para la persona, que entonces termina escribiendo "Empresa2026!" en todas sus cuentas. La longitud es lo que de verdad complica el trabajo del atacante.
Entonces, una contraseña robusta en 2026:
1.- Es larga antes que complicada. Una frase de varias palabras, "mi perro corre en el parque azul", es más fuerte y más fácil de recordar que un amasijo de símbolos.
2.- Es única para cada servicio. Si la misma contraseña abre el correo, el banco y el ERP, un solo robo abre todo.
3.- No aparece en listas de contraseñas filtradas. El NIST exige comparar cada contraseña nueva contra bases de contraseñas ya robadas y rechazar las que ya circulan por ahí.
4.- No depende de datos públicos de la persona: nombre, fecha de nacimiento, el nombre de la empresa.
Por qué usar gestores de contraseñas
Aquí viene la pregunta que me hacen siempre los empresarios: "Luis, si cada cuenta necesita una contraseña larga y distinta, ¿cómo diablos me las voy a acordar de todas?" La respuesta corta es: no se las acuerda. Las recuerda un gestor de contraseñas por usted.
Un gestor de contraseñas, o password manager, es un programa que guarda todas sus contraseñas cifradas detrás de una sola contraseña maestra. Usted solo memoriza una, larga y buena, y el gestor hace el resto: genera contraseñas únicas de 20 o 30 caracteres para cada cuenta y las llena automáticamente cuando entra a cada sitio.
Me ha tocado ver la alternativa demasiadas veces: el cuaderno con todas las claves en el cajón del escritorio, el archivo de Excel llamado "contraseñas.xlsx", o la nota pegada en el monitor. Eso no es una política, eso es dejar la puerta abierta.
Lo bueno es que ya no hay pretexto técnico. El propio NIST obliga a que los sistemas permitan el uso de gestores de contraseñas y la función de pegar la contraseña, justo para que estas herramientas funcionen bien. Si su proveedor de un sistema le bloquea el pegado "por seguridad", está haciendo exactamente lo contrario de lo que recomiendan los estándares actuales.
Rotación y reutilización: mitos y realidades
Este es el punto donde más empresas siguen atoradas en el pasado. "Es que mi política obliga a cambiar la contraseña cada 90 días." Entiendo de dónde viene esa idea, pero hoy sabemos que hace más daño que bien.
El NIST es tajante: los sistemas no deben exigir cambios de contraseña periódicos por rutina. Solo deben forzar un cambio cuando hay evidencia de que la cuenta fue comprometida. ¿Por qué? Porque cuando usted obliga a la gente a cambiar la contraseña cada tres meses, no inventan una nueva frase segura. Le ponen un número al final: "Empresa1", "Empresa2", "Empresa3". El atacante que ya conoce el patrón lo adivina en segundos.
El verdadero enemigo no es una contraseña vieja. Es la contraseña reutilizada. Cuando la misma clave sirve para el correo personal, el de la empresa y tres servicios más, basta con que uno de esos sitios sufra una filtración para que el atacante pruebe esa combinación en todas partes. A esto se le llama credential stuffing, o relleno de credenciales, y es de las técnicas más baratas y efectivas que hay.
Los números lo confirman. Según el Verizon Data Breach Investigations Report 2026, el 48% de todas las brechas ya involucran ransomware, y casi un tercio arrancan con la explotación de alguna debilidad en el sistema (Verizon DBIR 2026). La contraseña débil o repetida sigue siendo una de esas debilidades que el atacante busca primero porque le sale casi gratis.
Si le preocupa el ransomware (y debería), vale la pena combinar esta política con un buen esquema de respaldos. La contraseña es la primera línea; el respaldo es su red de seguridad.
Entonces, resumiendo los mitos:
1.- "Cambiar la contraseña seguido me protege." Mito. Solo cámbiela si hay sospecha de robo.
2.- "Una contraseña complicada es suficiente." Mito. Si está repetida en varios sitios, da igual lo complicada que sea.
3.- "La reutilización es cómoda y de bajo riesgo." Mito peligroso. Es la puerta de entrada favorita de los atacantes.
Integración con MFA y SSO
Les voy a ser franco: aunque hagan todo lo anterior al pie de la letra, la contraseña por sí sola nunca va a ser suficiente. Por eso insistimos tanto en el segundo factor.
La autenticación multifactor, o MFA, agrega una segunda prueba además de la contraseña: un código en el celular, una huella, una llave física. Aunque alguien le robe la contraseña, sin ese segundo factor no entra. Es la diferencia entre una puerta con una sola cerradura y una puerta con cerradura más alarma. Si quieren profundizar, escribimos una guía completa sobre autenticación multifactor (MFA) para empresas.
El otro componente que ayuda mucho es el SSO, o Single Sign-On, inicio de sesión único. Con SSO, el empleado entra una sola vez a un punto central (por ejemplo su cuenta de Microsoft 365) y desde ahí accede a todas las aplicaciones de la empresa sin volver a teclear contraseñas por todos lados. ¿La ventaja de seguridad? Hay menos contraseñas regadas, un solo lugar donde aplicar MFA y políticas fuertes, y cuando alguien deja la empresa se le cierra el acceso a todo desde un único botón.
La combinación que recomendamos a nuestros clientes es sencilla de describir: contraseñas largas y únicas guardadas en un gestor, más MFA obligatorio, más SSO donde sea posible. Esas tres capas juntas cubren justo ese 95% de prevención del que tanto hablamos. Nada es 100%, pero esto deja al atacante sin sus trucos más fáciles.
Plantilla de política de contraseñas
Les dejo una plantilla base que pueden copiar, adaptar al tamaño de su empresa y, muy importante, revisar con su abogado o su área de cumplimiento antes de publicarla. Está pensada para una pyme mexicana y alineada con los lineamientos del NIST.
Política de contraseñas de [Nombre de la empresa]
1.- Longitud mínima. Toda contraseña tendrá al menos 15 caracteres cuando sea el único factor, y al menos 8 cuando se use junto con MFA. Se prefieren frases largas y fáciles de recordar.
2.- Sin reglas de composición forzadas. No se obligará a mezclar mayúsculas, números y símbolos. La longitud es el requisito principal.
3.- Unicidad. Cada servicio tendrá una contraseña distinta. Queda prohibido reutilizar la misma contraseña entre cuentas personales y de la empresa.
4.- Gestor de contraseñas obligatorio. La empresa proveerá y exigirá el uso de un gestor de contraseñas corporativo. Queda prohibido anotar contraseñas en papel, hojas de cálculo o notas sin cifrar.
5.- MFA obligatorio. Todas las cuentas con acceso a correo, sistemas financieros, el ERP o datos de clientes usarán autenticación multifactor.
6.- Rotación por evidencia. No se exigirán cambios periódicos de contraseña. Se forzará el cambio únicamente cuando haya sospecha o evidencia de compromiso.
7.- Bloqueo de contraseñas filtradas. Las contraseñas nuevas se compararán contra listas de contraseñas comprometidas y se rechazarán las que ya circulen.
8.- Alta y baja de personal. Al ingresar, cada persona recibe accesos con el mínimo privilegio necesario. Al salir, se revocan todos sus accesos el mismo día.
9.- Capacitación. El personal recibirá ciberconciencia periódica sobre phishing y manejo de contraseñas, porque la mejor política falla si la gente no la entiende.
Para que esta política no quede solo en papel, conviene amarrarla a un plan más amplio. Si un día falla algo, saber qué hacer en los primeros minutos marca la diferencia, así que vale la pena tener listo un plan de respuesta a incidentes antes de necesitarlo.
A los empresarios nos cuesta mucho hacer una empresa, años de esfuerzo que una contraseña débil puede tirar en una tarde. No esperen a tapar el pozo después del niño ahogado. El siguiente paso concreto es este: tomen esta plantilla, elijan un gestor de contraseñas para toda la empresa esta semana y activen MFA en el correo antes del viernes. Si quieren que les ayudemos a aterrizarlo con herramientas como MailGuru, SensorGuru o BackupGuru, acérquense a nosotros en RealNet. Llevamos desde 1993 cuidando empresas como la suya, y con gusto lo platicamos. Porque una relación funciona cuando los dos tienen la misma intención: crecer juntos.
Preguntas frecuentes
¿Cada cuánto se debe cambiar la contraseña en una empresa?
Solo cuando hay evidencia de compromiso. El NIST ya no recomienda cambios periódicos obligatorios porque empujan a los usuarios a crear contraseñas débiles y predecibles.
¿Qué longitud mínima debe tener una contraseña empresarial?
El NIST pide un mínimo de 15 caracteres cuando la contraseña es el único factor, y permite 8 caracteres si se combina con autenticación multifactor.
¿Es seguro usar un gestor de contraseñas en la empresa?
Sí. El NIST exige que los sistemas permitan gestores de contraseñas y el pegado automático. Es mucho más seguro que reutilizar la misma contraseña o anotarla en un papel.
¿La política de contraseñas por sí sola protege a mi empresa?
No. Nada es 100% seguro. La contraseña es una capa; necesita acompañarse de MFA, respaldos y monitoreo para reducir de verdad el riesgo.
