La autenticación multifactor (MFA) ya no es opcional; es un requisito crítico para asegurar el acceso a sistemas y datos sensibles. A medida que las ciberamenazas se vuelven más sofisticadas, los responsables de seguridad y gestión de identidades y accesos (IAM) de servicios financieros, organismos públicos, sanidad, energía y otros entornos que dan prioridad a la seguridad deben adaptarse a la evolución de los requisitos de MFA para garantizar el cumplimiento, mitigar los riesgos de seguridad y proteger los activos críticos.
Consulte lo siguiente para obtener información adicional sobre los requisitos de MFA, las normas de cumplimiento, las vulnerabilidades de seguridad y las mejores prácticas para reforzar la seguridad de la autenticación, incluido el modo en que los métodos de autenticación externa (EAM) de RSA con Microsoft ayudan a las organizaciones a cumplir los estrictos mandatos normativos.
Los requisitos de la AMF definen las políticas de autenticación que las organizaciones deben aplicar para mejorar la seguridad y reducir el riesgo de ataques basados en credenciales. Estos requisitos varían según el sector y el marco normativo, pero suelen imponer el uso de dos o más factores de autenticación:
- Algo que sabescontraseñas, PIN
- Algo que hashardware tokens, autenticadores móviles
- Algo que eresbiometría (huellas dactilares, reconocimiento facial)
La AMF es obligatoria en múltiples sectores para evitar el acceso no autorizado, reducir el fraude y mejorar la resistencia general de la ciberseguridad. Algunos marcos de cumplimiento y requisitos técnicos que imponen la AMF para garantizar que las organizaciones mitigan las amenazas relacionadas con la identidad son:
- DORA (Digital Operational Resilience Act) impone estrictos requisitos de AMF a las entidades financieras de la UE, mejorando la ciberseguridad y la resistencia operativa.
- NIS2 (Directiva sobre seguridad de las redes y de la información 2) refuerza los requisitos de autenticación para los sectores críticos en toda la UE.
- La norma PCI DSS (Payment Card Industry Data Security Standard) exige la AMF para el acceso administrativo no consular y el acceso remoto a los datos de los titulares de tarjetas.
- CMMC 2.0 (Certificación del Modelo de Madurez de Ciberseguridad) exige una AMF resistente al phishing a los contratistas federales que manejen datos sensibles de la Administración.
- El GDPR (Reglamento General de Protección de Datos) impone controles de autenticación seguros para proteger los datos personales.
- Los requisitos MFA de Microsoft para aplicaciones en la nube como Azure AD exigen una autenticación robusta para las cuentas de usuario y administrador.
RSA® ID Plus proporciona AMF que cumple cada uno de estos reglamentos y requisitos. Por ejemplo, el Integración de RSA EAM con Microsoft permite a las organizaciones implementar MFA resistente al phishing, políticas adaptativas basadas en riesgos y monitorización continua de la autenticación, extendiendo la seguridad más allá del ecosistema de Microsoft para proteger entornos híbridos y multicloud.
El incumplimiento de estos requisitos podría acarrear multas y el encarecimiento de las pólizas de ciberseguro. Además, si las organizaciones no implantan una autenticación moderna, corren el riesgo de aumentar drásticamente su exposición. La gran mayoría de los ciberataques tienen como objetivo credenciales débiles, como contraseñas robadas. La AMF es fundamental para reducir el riesgo que representa cualquier credencial comprometida.
Para implantar eficazmente la AMF, las organizaciones deben tener en cuenta las siguientes buenas prácticas:
- Obtenga los protocolos adecuados para los usuarios adecuados: La AMF no debe ser única. Los distintos grupos de usuarios pueden tener necesidades diferentes. Por ejemplo, es posible que los usuarios que trabajan en salas blancas u otras instalaciones de alta seguridad no puedan utilizar dispositivos conectados a Internet o teléfonos móviles para autenticarse. Asegúrate de saber qué pueden usar tus usuarios, qué no pueden usar y con qué están familiarizados.
- No cree experiencias de autenticación aisladas: Aunque las organizaciones deben adaptarse a las necesidades de los distintos grupos de usuarios, no deben utilizar soluciones puntuales para implantar la AMF grupo por grupo. Esto complica las operaciones y aumenta los costes de adquisición y gestión. En su lugar, las organizaciones deben dar prioridad a los proveedores que puedan admitir una serie de métodos de AMF desde una plataforma de identidad central.
- Si no planifica las interrupciones, está planeando el fracaso.: Si utiliza un proveedor de servicios en la nube para la AMF, debe preguntarse qué ocurre cuando la nube deja de funcionar. En el mejor de los casos, puede significar que los usuarios no puedan acceder a sus aplicaciones; en el peor, puede ser una forma de que los actores de amenazas... lanzar un ataque. Las organizaciones deben reforzar la resistencia de sus infraestructuras críticas, en particular las AMF.
- Mantenga la seguridad del BYOD: Con los teléfonos móviles, el trabajo desde casa y las políticas de "trae tu propio dispositivo" (BYOD) que prevalecen en todos los sectores, cada vez más usuarios completan la AMF utilizando dispositivos personales. Aunque esto aumenta la comodidad, también puede introducir riesgos en el proceso de autenticación: el malware, los ataques man-in-the-middle, la ingeniería social, etc. pueden poner en peligro el proceso de autenticación y, a su vez, los datos de la empresa, los activos empresariales o los registros de los clientes.
- Asegúrese de que utiliza la autenticación sin contraseña correcta: Si está planeando utilizar MFA sin contraseña, entonces es una gran manera de reducir el riesgo de su organización y hacer evolucionar su madurez de Confianza Cero. Pero no todas las autenticaciones sin contraseña son iguales: las organizaciones deben conocer la diferencia entre las claves de acceso sincronizadas, que no proporcionan suficiente seguridad empresarial, y las claves de acceso vinculadas a dispositivos, que pueden mantener seguras a las organizaciones.
Aunque la AMF mejora significativamente la seguridad, no es infalible. Los atacantes evolucionan continuamente sus tácticas para eludir los controles de autenticación, por lo que es fundamental que las organizaciones reconozcan y mitiguen las posibles vulnerabilidades.
- Ataques de ingeniería social: Los ataques de phishing, spear-phishing y fatiga MFA engañan a los usuarios para que aprueben solicitudes de autenticación fraudulentas.
- Explotación del servicio de asistencia: Los atacantes utilizan la ingeniería social para manipular al personal de soporte de TI para que restablezca las credenciales MFA o apruebe solicitudes de acceso fraudulentas.
- Ataques basados en malware: Los keyloggers y los troyanos de acceso remoto (RAT) pueden capturar las credenciales MFA y eludir los controles de autenticación.
- Cambio de SIM: Los atacantes secuestran el número de teléfono de la víctima para interceptar códigos MFA basados en SMS.
- Ataques Man-in-the-Middle (MitM): Los adversarios interceptan las solicitudes de autenticación y roban los testigos de sesión.
- Bombardeo MFA o bombardeo inmediato: Los atacantes abruman a los usuarios con solicitudes de aprobación MFA hasta que involuntariamente aprueban el acceso.
Algunos ejemplos de vulnerabilidades de seguridad de la AMF son 2022 Uber provoca un atentado y los ataques de ingeniería social de 2023 dirigidos Centros turísticos de Las Vegas. Esto pone de relieve cómo los actores de amenazas pueden explotar implementaciones débiles de MFA y otras vulnerabilidades de seguridad de MFA. Las organizaciones deben adoptar métodos de autenticación resistentes al phishing, como las claves de acceso basadas en RSA FIDO2 y la autenticación adaptativa basada en riesgos, para contrarrestar estas amenazas.
La AMF por sí sola no es suficiente; las organizaciones deben integrarla dentro de una Arquitectura de Confianza Cero (ZTA) para garantizar la verificación continua de la identidad del usuario y la seguridad del dispositivo.
Zero Trust asume que ningún usuario o dispositivo es intrínsecamente de confianza, por lo que requiere autenticación continua y controles de acceso basados en políticas. La integración de RSA con el marco Zero Trust de Microsoft permite a las empresas:
- Imponga el acceso con menos privilegios mediante políticas adaptativas de AMF basadas en el riesgo.
- Aproveche la autenticación resistente a la suplantación de identidad, como las claves de seguridad FIDO2 y las claves de acceso vinculadas a dispositivos.
- Supervise las solicitudes de autenticación en tiempo real para detectar anomalías y evitar que las credenciales se vean comprometidas.
Para maximizar la seguridad y el cumplimiento, las organizaciones deben tener en cuenta las siguientes prácticas recomendadas:
Elegir la solución de AMF adecuada
- Utilice MFA resistente al phishing, como la autenticación basada en RSA FIDO2 o las claves de acceso vinculadas a dispositivos.
- Evite la AMF basada en SMS debido a vulnerabilidades como el intercambio de SIM.
- Implantar claves de seguridad de hardware para una autenticación de alta garantía.
- Utilice la autenticación moderna, que está diseñada para ser sin contraseña, adaptable y consciente de los riesgos. La autenticación moderna va más allá de la AMF tradicional, ya que verifica continuamente a los usuarios a lo largo de su sesión, no solo al iniciar sesión. La autenticación moderna elimina las contraseñas, utiliza el contexto y las señales de riesgo para reforzar la seguridad y funciona sin problemas en entornos en la nube, híbridos y locales.
Educar a los usuarios sobre la seguridad de la AMF
- Formar a los empleados para que reconozcan los ataques de ingeniería social y phishing dirigidos a la AMF.
- Permita la recuperación de autenticación de autoservicio para reducir la carga de soporte de TI.
- Anime a los usuarios a informar sobre mensajes MFA sospechosos.
Control y auditoría continuos
- Implemente la detección de amenazas a la identidad en tiempo real para detectar comportamientos de autenticación inusuales.
- Actualice periódicamente las políticas de AMF para hacer frente a la evolución de las amenazas a la ciberseguridad.
- Realizar pruebas de penetración para evaluar la resistencia de la AMF frente a los métodos de ataque.
Al aprovechar RSA EAM con Microsoft, las organizaciones pueden lograr implementaciones de MFA sin problemas, conformes y altamente seguras, a la vez que se alinean con los principios de Confianza Cero.
La AMF es un pilar fundamental de la seguridad de la identidad moderna, pero debe desplegarse estratégicamente para maximizar la protección frente a las amenazas en evolución. Al comprender los requisitos de la AMF, alinearse con marcos de cumplimiento como DORA y NIS2, e integrar la AMF en un marco más amplio de Confianza Cero, las organizaciones pueden mejorar la seguridad y mitigar los riesgos de autenticación.
Contactar con RSA para obtener más información sobre cómo RSA ofrece una gama de soluciones MFA que cumplen la normativa mundial y se integran en una estrategia de seguridad de identidades más amplia.
