¿Qué es la autenticación multifactorial adaptativa?

En lugar de aplicar siempre el mismo conjunto de pasos de verificación a todos los usuarios, la autenticación multifactorial adaptativa evalúa señales contextuales como la fiabilidad del dispositivo, la ubicación, la red, el comportamiento del usuario y la sensibilidad del recurso al que se accede, y luego ajusta el nivel de verificación en consecuencia.

La autenticación multifactorial adaptativa (MFA), también conocida en ocasiones como autenticación multifactorial contextual o autenticación sensible al contexto, es una evolución de la autenticación multifactor diseñado para aplicar controles más estrictos cuando el acceso parece suponer un riesgo y una verificación menos rigurosa cuando no es así.

En una configuración tradicional de MFA, todos los usuarios se enfrentan al mismo proceso de autenticación cada vez que inician sesión, independientemente de si lo hacen desde un ordenador portátil conocido en la red corporativa o desde un dispositivo desconocido en un país nuevo. La MFA adaptativa cambia ese patrón. El sistema analiza las señales contextuales en el momento del acceso y decide qué nivel de verificación es el adecuado, desde un inicio de sesión sin complicaciones para solicitudes de riesgo claramente bajo hasta una autenticación reforzada resistente al phishing para cualquier acción que parezca inusual o de alto riesgo.

El resultado es un enfoque más dinámico de la seguridad de acceso. A los usuarios de confianza que realizan flujos de trabajo rutinarios no se les ralentiza innecesariamente, mientras que las solicitudes sospechosas o sensibles activan una verificación más rigurosa antes de que se conceda el acceso.

Las políticas de autenticación estáticas tienen dificultades para adaptarse a la realidad del trabajo actual. Los empleados acceden a aplicaciones en la nube desde redes domésticas, los colaboradores externos se conectan desde dispositivos no gestionados y los usuarios con privilegios interactúan con sistemas confidenciales desde diversos lugares y dispositivos. Tratar todos y cada uno de esos eventos de acceso de la misma manera supone, o bien sobrecargar a los usuarios con solicitudes innecesarias, o bien dejar sin la protección adecuada las solicitudes de alto riesgo.

La autenticación multifactorial adaptativa resuelve ambos problemas a la vez. Establece lo siguiente:

• Mayor protección frente a intentos de acceso de alto riesgo, en los que el uso de credenciales comprometidas podría provocar daños materiales
• Menos complicaciones para los usuarios de confianza, que pueden realizar sus inicios de sesión habituales con una interrupción mínima
• Un mejor equilibrio entre la facilidad de uso y la seguridad, que reduzca la disyuntiva entre la experiencia del usuario y el control de acceso
• Apoyo a Confianza cero estrategias de acceso que requieren una verificación continua, en lugar de una confianza puntual en el momento del inicio de sesión
• Mayor control sobre el acceso a los recursos sensibles, garantizando que los sistemas y datos más valiosos cuenten con el nivel más alto de autenticación

Para los responsables de seguridad, la autenticación multifactorial adaptativa supone pasar de un control de acceso estático a un control de acceso basado en decisiones continuas y que tienen en cuenta el contexto.

La autenticación multifactorial adaptativa (MFA) funciona recopilando información contextual sobre cada solicitud de acceso, evaluando si dicha información supone un riesgo elevado y, a continuación, aplicando el nivel de autenticación adecuado. El proceso se lleva a cabo en tiempo real, a menudo sin que el usuario se dé cuenta.

Evalúa el contexto de inicio de sesión

Cuando un usuario inicia un proceso de inicio de sesión, el sistema recopila información sobre la solicitud. Esto incluye el dispositivo que se está utilizando, la red y la dirección IP, la ubicación del usuario y la hora de acceso, la aplicación o el recurso solicitado, y el historial reciente de autenticación. Todas estas señales juntas conforman una imagen del contexto de acceso.

Asigna el nivel adecuado de garantía

El sistema compara ese contexto con los patrones esperados y los umbrales establecidos en las políticas. Un usuario conocido que utilice un dispositivo gestionado y acceda a una aplicación de baja sensibilidad suele requerir un nivel de garantía menor. Por el contrario, un usuario con privilegios que acceda a un sistema regulado desde una ubicación desconocida requiere un nivel mayor. Las soluciones modernas de autenticación multifactorial (MFA) adaptativa utilizan el aprendizaje automático y el análisis de comportamiento para perfeccionar estas evaluaciones con el paso del tiempo.

Activa la autenticación reforzada

Cuando el contexto requiere una verificación adicional, el sistema solicita al usuario un factor de autenticación más sólido o adicional. Esto puede consistir en una notificación push enviada a un dispositivo registrado, un código de acceso de un solo uso, una verificación biométrica o un autenticador de hardware resistente al phishing utilizado en autenticación sin contraseña implementaciones. La ampliación solo se lleva a cabo cuando aporta un valor significativo en materia de seguridad.

Ayuda a reducir las solicitudes innecesarias

En el caso de las solicitudes que cumplen claramente el umbral de garantía, la autenticación multifactorial adaptativa permite que el acceso se realice sin pasos adicionales. Esto reduce la fatiga provocada por las solicitudes de autenticación, disminuye el volumen de consultas al servicio de asistencia y preserva la productividad de los usuarios, al tiempo que se sigue aplicando una autenticación sólida cuando es necesario.

La autenticación multifactorial adaptativa puede basarse en una amplia variedad de señales contextuales. Los factores desencadenantes más habituales para una verificación más rigurosa incluyen:

• Dispositivos nuevos o desconocidos: Cuando un usuario inicia sesión desde un dispositivo que el sistema no ha detectado anteriormente, ese cambio en el comportamiento puede aumentar el riesgo y dar lugar a una verificación adicional antes de que se considere fiable el nuevo dispositivo.
• Lugares o patrones de viaje inusuales: Los inicios de sesión desde países desconocidos o situaciones de viaje imposibles, en las que un usuario aparece en dos lugares distantes en un breve intervalo de tiempo, son indicios claros de que las credenciales han sido comprometidas.
• Redes no fiables o direcciones IP sospechosas: El acceso desde redes de anonimato, rangos de direcciones IP conocidos por ser maliciosos o redes Wi-Fi no gestionadas puede dar lugar a requisitos de autenticación más estrictos.
• Comportamiento anómalo en el inicio de sesión: Las desviaciones respecto al patrón habitual de inicio de sesión de un usuario, como horas inusuales del día, secuencias atípicas de acciones o una velocidad de acceso inesperada, pueden indicar que algo no va bien.
• Acceso a aplicaciones o datos confidenciales: La sensibilidad del recurso solicitado es tan importante como el usuario que lo solicita. Los sistemas financieros, los datos de recursos humanos, los repositorios de código fuente y la información sujeta a regulación requieren una verificación más rigurosa, independientemente del grado de confianza que pueda inspirar el usuario.
• Cuentas con privilegios o roles de usuario con derechos elevados: Los administradores, ejecutivos y otros usuarios con permisos elevados suponen un mayor riesgo en caso de que se vea comprometida su seguridad, por lo que la autenticación multifactorial adaptativa puede exigir, de forma predeterminada, una autenticación más rigurosa para estos roles.

La diferencia entre la autenticación multifactorial (MFA) tradicional y la adaptativa radica en el contexto.

La autenticación multifactorial (MFA) tradicional aplica el mismo proceso de autenticación en cada inicio de sesión. Tanto si un usuario inicia sesión desde un portátil corporativo gestionado en una red conocida a las 10:00 h como si lo hace desde un dispositivo desconocido en otro país a las 3:00 h, los pasos de verificación son idénticos. Esta coherencia es sencilla de implementar y fácil de comunicar, pero presenta dos inconvenientes prácticos: los usuarios de bajo riesgo sufren trabas innecesarias, mientras que las solicitudes de alto riesgo no son objeto de ningún escrutinio adicional.

Autenticación multifactorial adaptativa, como RSA Risk AI adapta los requisitos en función del contexto en tiempo real. Un mismo usuario puede pasar sin problemas por un proceso de inicio de sesión de bajo riesgo por la mañana y enfrentarse a una autenticación reforzada más tarde ese mismo día cuando acceda a una aplicación confidencial desde un nuevo dispositivo. La política de autenticación se adapta al riesgo real de cada evento de acceso.

La ventaja práctica es un mayor control sin el mismo nivel de fatiga rápida. En general, los usuarios ven menos retos, pero los que ven son más significativos y más difíciles de eludir para los atacantes. Este enfoque basado en el contexto es también la base de autenticación basada en el riesgo, que utiliza el mismo tipo de señales para fundamentar decisiones más amplias sobre el acceso en el marco de un programa de identidad.

Unos cuantos ejemplos breves ilustran cómo funciona la MFA adaptativa en la práctica.

Un empleado de confianza inicia sesión desde un dispositivo gestionado

El usuario inicia sesión desde un ordenador portátil conocido, en una red reconocida, durante el horario habitual de trabajo. Dado que el contexto parece presentar un riesgo bajo, el sistema puede permitir el acceso con un mínimo de trabas adicionales.

Se ha producido un intento de inicio de sesión desde un nuevo país

Un usuario intenta acceder a una aplicación empresarial desde una ubicación desde la que nunca antes ha iniciado sesión. La autenticación multifactorial adaptativa puede exigir una verificación más rigurosa, como un factor resistente al phishing o una verificación biométrica, antes de conceder el acceso.

Un administrador con privilegios solicita acceso a un sistema confidencial

Aunque se conozcan el dispositivo y la red, el sistema puede exigir una autenticación de mayor nivel debido a que el recurso solicitado conlleva un mayor riesgo. La combinación del rol y el recurso eleva el umbral de garantía.

Un usuario muestra un comportamiento inusual al iniciar sesión

Si el comportamiento de inicio de sesión se desvía del patrón habitual —por ejemplo, una secuencia inusual de intentos de acceso o unos horarios atípicos—, la autenticación multifactorial adaptativa puede aumentar los requisitos de seguridad o marcar la sesión para que se someta a una revisión adicional.

Un contratista accede a una aplicación crítica en la nube desde un dispositivo no gestionado

El sistema puede aplicar normas de autenticación más estrictas, ya que el contexto del dispositivo y del usuario no alcanza el mismo umbral de confianza que un terminal de una plantilla gestionada. El acceso de terceros suele requerir políticas adaptativas específicas.

• Reduce la fricción para los usuarios de bajo riesgo: Los inicios de sesión habituales se realizan con un mínimo de pasos adicionales, lo que permite mantener la productividad y reducir la frustración de los usuarios.
• Refuerza las medidas de seguridad cuando la actividad parece sospechosa: La autenticación reforzada se aplica allí donde es necesario, lo que dificulta considerablemente la ejecución de ataques basados en credenciales.
• Permite aplicar políticas de acceso más eficientes: Los equipos de seguridad pueden ir más allá de las normas genéricas y diseñar políticas que se adapten al perfil de riesgo real de los usuarios, los dispositivos y los recursos.
• Ayuda a proteger los sistemas y los datos sensibles: Los recursos de alto valor se someten a una verificación más rigurosa, independientemente del nivel de confianza previo del usuario, lo que reduce el impacto de las credenciales comprometidas.
• Mejora la experiencia del usuario sin comprometer la seguridad: En general, los usuarios ven menos mensajes de aviso, y los que ven están claramente relacionados con un riesgo elevado, lo que mejora tanto la adopción como el nivel de seguridad.

La autenticación multifactorial adaptativa (MFA) ofrece importantes ventajas, pero para que su implantación tenga éxito es necesario planificarla. Los responsables de seguridad deben prever los siguientes retos.

• El ajuste de las políticas puede resultar complejo: Definir los umbrales, las señales y los requisitos de escalado adecuados requiere tiempo y un proceso iterativo, sobre todo en entornos grandes o diversos.
• Una mala calidad de la señal puede dar lugar a falsos positivos: Si los datos contextuales son incompletos o poco fiables, el sistema podría alertar a los usuarios de forma innecesaria o pasar por alto amenazas reales.
• Las experiencias de usuario incoherentes pueden generar confusión: Cuando los usuarios se encuentran con mensajes diferentes en distintos momentos, es fundamental mantener una comunicación clara para evitar que aumente el volumen de consultas al servicio de asistencia y la frustración de los usuarios.
• Los métodos de autenticación poco seguros siguen suponiendo un riesgo: La autenticación multifactorial adaptativa solo aporta valor cuando los factores subyacentes son sólidos. Los factores susceptibles de ser objeto de phishing, como las contraseñas de un solo uso (OTP) enviadas por SMS, pueden seguir siendo eludidos independientemente de lo bien que se apliquen.
• La transparencia y la gobernanza son fundamentales para el éxito a largo plazo: Sin capacidad de auditoría, documentación de las políticas y revisión continua, las políticas adaptativas pueden desviarse, dejando lagunas que los atacantes pueden aprovechar.

La implementación de la autenticación multifactorial adaptativa (MFA) no consiste simplemente en activar más solicitudes de inicio de sesión. Los responsables de seguridad deben decidir en qué ámbitos las políticas adaptativas aportan mayor valor, qué señales son fiables y cómo equilibrar una mayor protección con la experiencia del usuario. Las implementaciones más exitosas se basan en la toma de decisiones operativas, un diseño cuidadoso de las políticas y una implantación controlada, en lugar de una activación generalizada.

Empieza por los usuarios y recursos que presenten mayor riesgo

Empieza por las cuentas con privilegios, los flujos de trabajo de acceso remoto, las aplicaciones empresariales confidenciales y los datos de gran valor. Centrarse primero en los grupos y recursos cuya vulnerabilidad causaría un mayor daño facilita la justificación de la implantación y reduce la probabilidad de que las políticas sean excesivamente complejas para situaciones de bajo riesgo.

Define las señales que más importan en tu entorno

Céntrate en señales prácticas, como los dispositivos gestionados frente a los no gestionados, los empleados frente a los usuarios externos, las ubicaciones geográficas inusuales, las direcciones IP sospechosas, los desplazamientos imposibles y el acceso a recursos regulados o sensibles. No todas las señales son igual de fiables en todos los entornos, por lo que conviene validar la calidad de las mismas antes de elaborar una política basada en ellas.

Elabora políticas basadas en el riesgo empresarial, no solo en los eventos de inicio de sesión

El objetivo de la autenticación multifactorial adaptativa (MFA) no es simplemente plantear más retos a los usuarios. Se trata de aplicar controles más estrictos en aquellos casos en los que una sesión comprometida supondría un riesgo significativo para el negocio, las operaciones o el cumplimiento normativo. Las decisiones sobre las políticas deben basarse en lo que se está protegiendo, y no solo en a qué se está accediendo.

Utiliza la autenticación reforzada de forma estratégica

Reserva los métodos de verificación más rigurosos para los momentos en que el contexto lo requiera. Esto ayuda a reducir la fatiga provocada por las solicitudes de verificación, mantiene la confianza del usuario en el sistema y evita que se genere la misma experiencia molesta para todos los usuarios y todas las aplicaciones.

Coordinar desde el principio a los equipos de seguridad, gestión de identidades y accesos (IAM) y cumplimiento normativo

La implementación suele fracasar cuando las políticas se elaboran de forma aislada. Los responsables de seguridad necesitan la colaboración de los equipos de gestión de identidades y accesos (IAM), operaciones de TI, propietarios de aplicaciones y partes interesadas en materia de cumplimiento normativo para definir los umbrales de riesgo aceptables, los procedimientos de escalación y la gestión de excepciones antes de proceder a una implantación generalizada.

Determinar dónde se requiere un acceso de alta seguridad

Identifica los usuarios, los sistemas y los flujos de trabajo que requieren una verificación más rigurosa en función del impacto empresarial, el grado de confidencialidad y los requisitos de cumplimiento normativo. Las cuentas con privilegios, los sistemas de producción, las aplicaciones confidenciales, los datos regulados y las infraestructuras críticas deben evaluarse para determinar si requieren requisitos de seguridad más estrictos, como parte de una estrategia de autenticación multifactorial (MFA) adaptativa.

Realizar pruebas piloto, evaluar y ajustar antes de la implantación generalizada

La implantación por fases reduce el riesgo. Empieza con un grupo reducido de usuarios, revisa los falsos positivos, supervisa las dificultades que puedan tener los usuarios y ajusta las políticas antes de ampliarlas a toda la organización. Es probable que tengas que perfeccionar las políticas en repetidas ocasiones durante los primeros meses tras la puesta en marcha.

Plan de visibilidad y gobernanza

La auditabilidad y el control operativo son tan importantes como las propias políticas. Documenta las políticas, define las responsabilidades, establece la periodicidad de los informes y crea un proceso para la gestión de excepciones y la revisión continua. La autenticación multifactorial adaptativa resulta más eficaz cuando se gestiona como un programa en constante evolución, en lugar de como una configuración puntual.

La autenticación multifactorial adaptativa (MFA) no es solo una forma más inteligente de solicitar la autenticación. Es una forma práctica de reforzar la seguridad de la identidad sin añadir complicaciones a cada solicitud de acceso. Al responder al contexto en tiempo real, ayuda a las organizaciones a aplicar el nivel adecuado de verificación a cada caso de acceso, a mejorar el control sobre los sistemas sensibles y a alinear la autenticación con los objetivos más amplios de «Zero Trust» y de acceso seguro.

La autenticación multifactorial adaptativa (MFA) resulta más eficaz cuando forma parte de una estrategia de identidad más amplia. RSA ayuda a las organizaciones a integrar el acceso seguro con la gestión de identidades y los controles del ciclo de vida para mejorar la visibilidad, garantizar el cumplimiento de las políticas y ofrecer una protección más coherente en entornos en la nube e híbridos. Descubre más Solución de gobernanza y ciclo de vida de RSA para ver cómo se complementan el acceso seguro y la gestión de identidades.