¿Qué es la autenticación multifactor (AMF)?

Introducción a la autenticación multifactor

A medida que más empresas se someten a la transformación digital y el alcance de Internet sigue creciendo, los datos se han vuelto extremadamente valiosos y corren cada vez más riesgo de ser vulnerados. Proporcionar una protección completa de esos datos (ya sean individuales, corporativos o de clientes) ya no es simplemente una idea de última hora por parte de las personas, sino una gran parte del trabajo de un equipo de ciberseguridad.

En la actualidad, se dedica una cantidad significativa de tiempo y recursos a vigilar, gestionar y detener los ciberataques que tienen como objetivo directo los datos confidenciales de las empresas, y a medida que las amenazas siguen creciendo y haciéndose más sofisticadas, también deben hacerlo las medidas de seguridad utilizadas para protegerlos y garantizar que no se pueda acceder a ellos fácilmente.

La autenticación multifactor (AMF) es un método utilizado para ello, que confirma la identidad de un usuario mediante una combinación de dos o más factores independientes. Estos factores incluyen algo que el usuario conoce (una contraseña o un PIN), algo que el usuario tiene (una ficha de seguridad o un teléfono inteligente) o algo exclusivo del propio usuario (una huella dactilar o el reconocimiento facial).

El objetivo de la AMF es proporcionar una capa adicional de seguridad más allá del nombre de usuario y la contraseña tradicionales, exigiendo múltiples formas de autenticación. Esto hace que sea mucho más difícil para los ciberdelincuentes obtener acceso no autorizado a la cuenta de un usuario, ya que necesitarían comprometer múltiples formas de autenticación.

¿Por qué es importante la autenticación multifactor?

Más allá de dificultar a los atacantes el acceso no autorizado a las cuentas de los usuarios, la AMF es una medida de seguridad cada vez más importante en el panorama digital actual, en el que la información personal y profesional sensible suele almacenarse en línea. Además, la autenticación MFA también es esencial para que determinadas organizaciones cumplan las normas de conformidad reglamentaria.

Un ejemplo de autenticación multifactor que se utiliza para el cumplimiento es con la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS), que requiere que los comerciantes implementen MFA para el acceso remoto al entorno de datos del titular de la tarjeta. La Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA) es otro ámbito que exige a las entidades cubiertas que apliquen la AMF para el acceso a la información sanitaria protegida electrónicamente (ePHI).

Del mismo modo, los marcos de elaboración de informes de las organizaciones de servicios (SOC), como SOC 2, exigen la AMF como parte de los controles de seguridad, ya que es un requisito para asegurar el acceso al sistema y proteger los datos sensibles.

¿Cómo funciona la autenticación multifactor?

La autenticación multifactor se define como el uso de dos o más métodos de autenticación para verificar la identidad de un usuario, que es la clave de cómo funciona la autenticación multifactor. En la práctica, esto significa un nombre de usuario y una contraseña fuertes como primer factor, combinados con:

• un PIN o una pregunta de seguridad
• una ficha de seguridad
• una tarjeta inteligente
• un teléfono
• hardware
• un llavero
• una huella dactilar
• reconocimiento facial
• otros datos biométricos

Cuando los usuarios intentan iniciar sesión en un sistema o aplicación, primero se les pide que proporcionen una forma de identificación, como una contraseña. Una vez verificado esto, se pide al usuario que proporcione una segunda forma de identificación, como una huella dactilar o un código enviado a su teléfono por SMS. Sólo cuando se hayan verificado ambas formas de identificación se concederá al usuario el acceso al sistema o a la aplicación.

La AMF dificulta el acceso de usuarios no autorizados a un sistema o aplicación, ya que incluso si un atacante pudiera obtener la contraseña de un usuario, seguiría necesitando estar en posesión del token de seguridad o del teléfono del usuario para iniciar sesión.

Ventajas de la autenticación multifactor

La autenticación multifactor tiene numerosas ventajas sobre los inicios de sesión más sencillos con nombre de usuario/contraseña y, en general, no ralentiza significativamente los inicios de sesión, lo que garantiza que las personas estén protegidas sin afectar a la productividad. A continuación se enumeran los beneficios más comunes del AMF:

• Mayor seguridad: La autenticación multifactor añade una capa adicional de seguridad al proceso de inicio de sesión, lo que dificulta a los atacantes el acceso no autorizado.
• Protección contra el robo de credenciales: Aunque un atacante consiga obtener la contraseña de un usuario, seguirá sin poder acceder a la cuenta sin el segundo factor de autenticación.
• Reducción del riesgo de usurpación de identidad: Con la autenticación multifactor implantada, el riesgo de robo de identidad se reduce considerablemente, ya que el atacante necesitaría tanto la contraseña como la segunda forma de autenticación.
• Facilidad de uso: Muchos métodos de autenticación multifactor son fáciles de utilizar, como el uso de un código enviado a su teléfono móvil o el uso de la huella dactilar o el reconocimiento facial.
• Cumplimiento: Muchas normativas y estándares industriales, como HIPAA, PCI DSS y FFIEC, exigen la autenticación multifactor para los datos sensibles.

Tipos de autenticación multifactor

Los tipos de autenticación multifactor pueden desglosarse en tres categorías principales: conocimiento, posesión e inherencia. Son las siguientes:

Conocimientos

La autenticación multifactor basada en el conocimiento es un tipo de autenticación que requiere que el usuario proporcione algo que conoce, como una contraseña o un PIN, además de su nombre de usuario u otra información de identificación. Esta es la forma más común de MFA utilizada hoy en día y proporciona una manera sencilla y eficaz de añadir una capa adicional de seguridad al proceso de inicio de sesión.

Los ejemplos de AMF basados en el conocimiento suelen incluir:

• Contraseñas: Una forma común de AMF basada en el conocimiento es la contraseña, que es una palabra o frase secreta que el usuario debe introducir para acceder al sistema o aplicación.
• Preguntas de seguridad: Otra forma de AMF basada en el conocimiento son las preguntas de seguridad, que son cuestiones que el usuario debe responder correctamente para obtener acceso.
• Códigos de acceso de un solo uso: Un código de acceso de un solo uso (OTP) es un código único generado por el sistema o una aplicación de autenticación y enviado al dispositivo móvil o a la dirección de correo electrónico del usuario. El usuario debe introducir este código para acceder.
• Número de identificación personal (PIN): Un número de identificación personal (PIN) es un código numérico que el usuario debe introducir para obtener acceso.

Posesión

La autenticación multifactor basada en la posesión requiere que el usuario proporcione algo que tiene, como un token de seguridad o un dispositivo móvil, además de su nombre de usuario u otra información de identificación.

Entre los ejemplos de AMF basados en la posesión se incluyen:

• Tokens de seguridad: Un token de seguridad es un dispositivo físico que genera un código único o contraseña que debe introducirse junto con la contraseña para obtener acceso. Estas fichas pueden tener forma de llavero, tarjeta o aplicación móvil.
• Dispositivo móvil: Un dispositivo móvil también puede utilizarse como una forma de AMF basada en la posesión. Esto puede incluir la recepción de una contraseña de un solo uso a través de un SMS o una notificación push o el uso de una aplicación móvil con autenticación biométrica, como el reconocimiento facial o el escaneado de huellas dactilares.
• Tarjeta inteligente: La tarjeta inteligente es un tipo de AMF basada en la posesión que utiliza una tarjeta con un microprocesador o un chip de memoria para almacenar un número de identificación único. Los usuarios deben introducir la tarjeta en un lector de tarjetas o acercarla a un lector de tarjetas inteligentes para poder acceder.
• Llave USB: La llave USB es un tipo de AMF basado en la posesión que utiliza un pequeño dispositivo, en forma de llave USB, que debe conectarse al ordenador antes de que se conceda el acceso.

Inherencia

Este tipo de autenticación MFA requiere que el usuario proporcione algo que es, como una huella dactilar o el reconocimiento facial, además de su nombre de usuario u otra información de identificación.

Entre los ejemplos de AMF basados en la coherencia se incluyen:

• Autenticación biométrica: La autenticación biométrica utiliza características biológicas únicas del usuario, como huellas dactilares, reconocimiento facial, escaneado del iris o reconocimiento de voz, para verificar su identidad.
• Biometría del comportamiento: La biometría del comportamiento utiliza la forma en que un usuario interactúa con el dispositivo, como patrones de tecleo, movimientos del ratón y deslizamientos, para confirmar su identidad.
• Autenticación por latido del corazón: La autenticación por latido utiliza las señales eléctricas del corazón del usuario para confirmar su identidad.

MFA vs. 2FA vs. SSO

La seguridad MFA (autenticación multifactor), 2FA (autenticación de dos factores) y SSO (inicio de sesión único) están relacionadas entre sí, pero siguen siendo distintas por varias razones: MFA es el concepto general, 2FA es una implementación específica de MFA que requiere dos formas de autenticación y SSO es una forma de acceder a varios sistemas o aplicaciones con un conjunto de credenciales tras ser autenticado. Cada uno de ellos se detalla a continuación:

• MFA se refiere a un método de autenticación en el que se requiere más de una forma de autenticación para acceder a un sistema o aplicación. Esto puede incluir algo que el usuario sabe (como una contraseña), algo que el usuario tiene (como un token de seguridad o un dispositivo móvil) o algo que el usuario es (como una huella dactilar o el reconocimiento facial).
• 2FA es un tipo específico de MFA que sólo requiere dos formas de autenticación. Este es el tipo de AMF más utilizado en la actualidad.
• SSO (Single Sign-On) es un método de control de acceso que permite a un usuario autenticarse una vez y acceder después a varios sistemas o aplicaciones sin tener que volver a introducir sus credenciales. El SSO se utiliza a menudo junto con la MFA para proporcionar una capa adicional de seguridad y, al mismo tiempo, hacer que el proceso de inicio de sesión sea más cómodo para el usuario.

Cómo implementar la autenticación multifactor

La implantación de la autenticación multifactor en su organización requiere varios pasos para garantizar una cobertura completa. En primer lugar, es importante educar y concienciar sobre la necesidad del AMF para garantizar que todo el personal esté a bordo y tenga los conocimientos necesarios para desenvolverse en los nuevos sistemas. Además, estos pasos de ciberseguridad MFA permitirán a su organización integrar la herramienta de autenticación multifactor sin problemas:

• Evalúe la situación actual de la seguridad: Comprenda las medidas de seguridad vigentes, identifique cualquier vulnerabilidad potencial y determine el nivel de protección necesario para los datos sensibles de la organización.
• Elija una solución AMF: Seleccione una solución AMF que se ajuste a las necesidades específicas y al presupuesto de la organización. Hay varias opciones disponibles, como la AMF basada en SMS o llamadas de voz, TOTP, tokens de hardware, AMF basada en biometría y AMF basada en riesgos.
• Configure y pruebe la solución: Configure la solución AMF siguiendo las instrucciones del proveedor. Pruebe la solución para asegurarse de que funciona correctamente y de que se integra a la perfección con los sistemas existentes.
• Despliegue de la solución: Despliegue la solución en los sistemas y usuarios objetivo. Proporcionar formación y apoyo para garantizar que los usuarios puedan utilizar el nuevo sistema con eficacia.
• Supervise y evalúe: Supervise regularmente el rendimiento del sistema y evalúe la eficacia de la solución AMF. Realice los ajustes necesarios para mejorar la postura general de seguridad de la organización.
• Actualice y mejore continuamente: El AMF no es una implantación de una sola vez. Manténgase al día de las últimas tendencias en seguridad y ajuste su solución en consecuencia. Mejore continuamente la solución para adelantarse a las nuevas amenazas.

Conclusiones: Autenticación multifactor

La autenticación multifactor (AMF) es una poderosa herramienta para aumentar la seguridad de una organización. Añade una capa adicional de protección al exigir a los usuarios varias formas de verificación antes de concederles acceso a sistemas y datos sensibles.

Sin embargo, es importante recordar que la AMF es sólo un aspecto de una estrategia de seguridad global, y que debe combinarse con otras medidas de seguridad como una formación exhaustiva sobre concienciación en materia de seguridad, detección de intrusos, controles de acceso, planes de respuesta a incidentes y auditorías de seguridad periódicas para garantizar la seguridad global de una organización.

Si desea obtener más información sobre lo que significa la AMF para su organización, cómo implantarla eficazmente y cómo puede combinarla con sus prácticas de ciberseguridad actuales, póngase en contacto con Mimecast hoy mismo o explore nuestro blog para obtener más información sobre las últimas tendencias en ciberseguridad.