Hace casi un año lanzamos un servicio innovador de autenticación multifactor (MFA). Desde entonces hemos hablado con numerosos clientes sobre lo que los lleva a implementar MFA por primera vez o a mejorar su solución ya existente. Por supuesto, la razón principal para implementar MFA suele ser mejorar la seguridad de los inicios de sesión de los empleados, pero ha sido fascinante descubrir qué otros factores están impulsando la adopción más allá de esto.
La necesidad de que las empresas desplieguen la MFA para proteger las cuentas de los empleados nunca ha sido mayor: según el último informe de Verizon sobre filtraciones de datos, casi el 80% de las filtraciones de datos implican el uso de credenciales de empleados robadas o comprometidas y de inicios de sesión forzados.
Más allá de la preocupación por la filtración de datos confidenciales de la empresa y las consiguientes pérdidas financieras y de reputación, los inicios de sesión de los empleados se utilizan cada vez más como punto de entrada inicial en la red para distribuir ransomware y malware. Por ejemplo, el ataque a Colonial Pipeline comenzó con el acceso de los atacantes a la red privada virtual de Colonial utilizando credenciales de acceso robadas.
Un factor que impulsa la adopción de la MFA y del que he oído hablar mucho últimamente es el cumplimiento de la normativa de muchos países. Con el aumento de los ciberataques, muchas empresas están invirtiendo en ciberseguros. Cada vez más, las compañías de seguros declaran explícitamente en los términos y condiciones de la póliza que las empresas deben estar protegidas para poder contar con un seguro.
Es muy probable que esto sea una respuesta directa al número de reclamaciones que han recibido en los últimos años en distintos países y que podrían haberse evitado si la empresa hubiera contado con MFA: una prueba más de que los inicios de sesión de los empleados son el objetivo de los atacantes.
Por ejemplo, el gobierno de Estados Unidos también se ha dado cuenta de que el despliegue de la MFA es fundamental para ayudar a mejorar la resistencia cibernética del país. En mayo de 2021, el presidente Biden emitió una orden ejecutiva que ordenaba el uso de MFA para todas las agencias federales.
También oímos hablar con frecuencia de la MFA incluida dentro de proyectos de transformación estratégicos, como una iniciativa de confianza cero o de EDGE de servicio de acceso seguro. Por ejemplo, cuando una empresa ha desplegado una solución de Acceso a la Red de Confianza Cero para asegurar el acceso a las aplicaciones, el uso de MFA para autenticar fuertemente a los usuarios es un ajuste natural.
En este momento, la atención se centra en el despliegue de un servicio MFA que sea seguro por sí mismo y que no pueda ser comprometido. Sin embargo, muchas empresas están empezando a ver cómo la MFA puede ser una capacidad destacada en un enfoque de autenticación adaptable.
La MFA basada en FIDO2 ofrece seguridad a los entornos sin contraseña
Dado que los atacantes están tan centrados en el uso de las cuentas de los empleados para los ataques, no es una sorpresa que las empresas estén empezando a buscar cómo pueden eliminar las contraseñas de su pila de autenticación, reduciendo así la superficie de ataque.
Este no será un viaje simple y directo, ya que muchos sistemas heredados esperan recibir una contraseña. Y si se eliminan las contraseñas como factor de autenticación, hay que sustituirlas por factores fuertes y seguros.
La MFA basada en FIDO2 ofrece el nivel de seguridad necesario para pasar a un entorno sin contraseñas y puede combinarse con factores biométricos para seguir ofreciendo una autenticación de dos factores.
Todos estos motivos están impulsando a las empresas a la adopción de autenticación multifactorial, como una acción prioritaria en gran parte de las empresas tanto en España como en el mundo.
