Un correo comprometido puede ser suficiente para autorizar transferencias, acceder a información comercial o borrar respaldos en la nube. Por eso, entender cómo configurar MFA corporativo no es una tarea exclusiva del área de TI: es una decisión de continuidad operativa que Dirección debe respaldar. La autenticación multifactor reduce el valor de una contraseña robada, pero solo funciona si se implementa con criterios de riesgo, adopción y recuperación bien definidos.
MFA, por sus siglas en inglés, exige dos o más elementos para validar una identidad. Puede combinar algo que el usuario sabe, como una contraseña; algo que tiene, como una aplicación autenticadora o llave física; y algo que es, como una validación biométrica. Su propósito es sencillo: que una contraseña filtrada no baste para entrar a los sistemas de la empresa.
No hay nada 100% seguro. Sin embargo, cerca del 95% de la seguridad recae en la prevención. MFA es una de esas medidas preventivas con impacto directo y medible, especialmente frente a phishing, reutilización de credenciales y accesos no autorizados a servicios en la nube.
Antes de configurar MFA corporativo, defina qué protege
El error frecuente es activar MFA para todos sin revisar aplicaciones, tipos de usuario ni procesos críticos. Esto puede generar fricción innecesaria, bloqueos de cuentas de servicio o excepciones que terminan debilitando el control. La configuración debe comenzar con un inventario claro de identidades y accesos.
Identifique primero los sistemas que concentran mayor riesgo: correo corporativo, Microsoft 365, VPN, CRM, plataformas contables, banca empresarial, consolas de nube, herramientas de respaldo, EDR, firewalls y paneles de administración. Un atacante que toma el correo de un usuario puede reiniciar contraseñas de otras aplicaciones; uno que entra a la consola de respaldos puede intentar eliminar la última línea de recuperación de la empresa.
También clasifique a las personas según su nivel de privilegio. Las cuentas administrativas, personal de finanzas, Dirección, recursos humanos, ventas con acceso a datos sensibles y usuarios remotos deben recibir prioridad. Las cuentas compartidas merecen una revisión especial: si varias personas usan la misma identidad, no existe trazabilidad confiable. Siempre que sea posible, sustitúyalas por cuentas individuales con permisos definidos.
Por último, separe las cuentas de personas de las cuentas técnicas. Servicios, integraciones, escáneres, aplicaciones heredadas y procesos automatizados no deben quedar sin control, pero tampoco pueden depender de la aprobación manual de un colaborador. Para estos casos, evalúe credenciales administradas, certificados, restricciones por red, permisos mínimos y monitoreo de actividad.
Elija el factor adecuado para cada nivel de riesgo
No todos los métodos de MFA ofrecen la misma resistencia ante fraude. Los códigos por SMS pueden representar una mejora frente a usar solo contraseña, pero son vulnerables a robo de línea, engaños y desvío de mensajes. Úselos como alternativa temporal, no como estándar para accesos críticos.
Las aplicaciones autenticadoras son una opción práctica para la mayoría de los colaboradores. Generan códigos temporales o envían notificaciones de aprobación, reducen la dependencia del SMS y son fáciles de administrar en ambientes de 25 a 500 equipos. Aun así, las notificaciones deben configurarse con coincidencia de número o contexto de acceso. Aprobar una alerta sin revisar puede convertir el cansancio del usuario en una puerta de entrada para el atacante.
Para administradores, finanzas y cuentas con acceso a infraestructura, las llaves físicas de seguridad o métodos resistentes al phishing ofrecen mayor protección. Estos mecanismos validan el sitio al que se conecta el usuario y dificultan que una página falsa capture la autenticación. La decisión depende del nivel de exposición, la movilidad del equipo y la compatibilidad de las aplicaciones, pero no conviene aplicar el mismo estándar a una cuenta de recepción y a una consola que administra toda la nube.
La biometría del dispositivo puede aportar comodidad, siempre que forme parte de una plataforma administrada y con políticas de bloqueo, cifrado y actualización. La biometría no reemplaza la gestión de identidad: complementa una estrategia donde cada acceso queda condicionado por usuario, dispositivo, ubicación, riesgo y privilegios.
Diseñe políticas que el equipo pueda cumplir
Una política efectiva no se limita a marcar la opción “requerir MFA”. Debe definir cuándo solicitarlo, a quién y bajo qué condiciones. El objetivo es elevar la protección sin detener la operación ni acostumbrar a las personas a ignorar alertas.
Empiece con un grupo piloto que incluya TI, algunos usuarios administrativos y líderes de negocio. Valide compatibilidad con correo, VPN, dispositivos móviles, aplicaciones internas y trabajo remoto. Este piloto permite detectar problemas de enrolamiento, equipos personales no autorizados, aplicaciones antiguas y necesidades de capacitación antes de extender la política a toda la empresa.
Después, implemente MFA por etapas. Primero, cuentas globales y administrativas. Luego, finanzas, recursos humanos, Dirección y colaboradores con acceso remoto. Finalmente, el resto de los usuarios y las aplicaciones compatibles. Establezca fechas claras, responsables internos y un canal humano de soporte durante el despliegue. Una adopción mal acompañada suele producir atajos; una adopción explicada protege mejor.
Las políticas de acceso condicional agregan contexto. Por ejemplo, pueden solicitar MFA siempre que se acceda desde una ubicación desconocida, un equipo no administrado, una red externa o ante señales de riesgo. En dispositivos corporativos administrados y bajo condiciones confiables, la frecuencia de autenticación puede equilibrarse para reducir interrupciones. La respuesta correcta depende de la sensibilidad de los datos y de la forma real en que trabaja cada área.
Proteja el proceso de inscripción y recuperación
Un MFA mal configurado puede fallar antes de empezar si un atacante registra su propio método de autenticación en una cuenta comprometida. Por eso, la inscripción debe requerir controles previos y quedar registrada. Revise quién puede agregar, cambiar o eliminar factores de autenticación, y genere alertas ante modificaciones inusuales.
Cada colaborador debe contar con al menos un método principal y un mecanismo de recuperación validado. Esto no significa entregar códigos de recuperación sin control. Defina quién verifica la identidad cuando alguien cambia de teléfono, pierde una llave física o no puede entrar a su aplicación autenticadora. El área de soporte debe usar un procedimiento documentado que confirme la identidad con datos que un atacante no pueda obtener fácilmente por correo o llamada.
También son necesarias cuentas de emergencia, conocidas como “break glass”, para situaciones donde el proveedor de identidad o la política de MFA presenten una falla. Deben ser pocas, tener contraseñas únicas y extensas, almacenarse bajo control estricto y monitorearse permanentemente. No se utilizan en la operación diaria. Una cuenta de emergencia sin auditoría es una excepción peligrosa, no una medida de continuidad.
Cuando un colaborador sale de la empresa, el proceso debe revocar sesiones, factores registrados, dispositivos autorizados y accesos a aplicaciones. La baja de usuario no termina al deshabilitar el correo. Debe confirmar que no quedan tokens activos, métodos alternos ni privilegios heredados.
Mida si MFA está reduciendo el riesgo
Activar MFA no es el final del proyecto. La Dirección necesita visibilidad sobre su adopción y el área de TI requiere evidencia para ajustar políticas. Revise periódicamente la cobertura de usuarios, el porcentaje de cuentas privilegiadas protegidas con métodos resistentes al phishing, intentos bloqueados, registros de métodos débiles y excepciones vigentes.
Las excepciones requieren fecha de vencimiento, dueño y justificación de negocio. Si una aplicación heredada no admite MFA, no basta con aceptarlo como riesgo permanente. Compense con segmentación de red, permisos mínimos, contraseñas únicas administradas, monitoreo, restricción de origen y un plan para sustituir o actualizar la aplicación.
MFA debe trabajar junto con protección de correo, EDR o MDR, respaldo cifrado, monitoreo y capacitación contra phishing. Si un usuario aprueba una notificación fraudulenta, si un dispositivo ya está comprometido o si un atacante obtiene una sesión activa, el segundo factor por sí solo no resolverá el incidente. La seguridad se fortalece cuando las capas se revisan como un sistema y no como productos aislados.
En RealNet, esta visión parte de conocer la operación antes de definir la tecnología. Seguridad y Confianza significa traducir controles como MFA en menos exposición, mayor trazabilidad y decisiones que protegen la continuidad del negocio.
La mejor configuración no es la que acumula más restricciones, sino la que protege los accesos que sostienen su operación y permite a su equipo trabajar con claridad. Empiece por las identidades de mayor privilegio, pruebe el proceso de recuperación y convierta cada excepción en una decisión visible, temporal y responsable.
