Pide evidencias de autenticación y recuperación para cada acceso importante

El resumen de BACS del 19 de octubre propone cinco categorías basadas en NIST y ampliadas para phishing en tiempo real. El organismo aclara que la clasificación no constituye una base de certificación formal. Se utiliza aquí como contexto para formular preguntas, sin clasificar productos. (Swiss National Cyber Security Centre / BACS)

Elige una cuenta y describe qué permite hacer

Empieza por tres accesos representativos: uno de consulta, otro de operación y otro administrativo, si existen en tu organización. Registra servicio, responsable y acciones disponibles. No recopiles contraseñas, códigos de recuperación ni claves para completar el inventario.

Una propiedad útil no equivale a todas las demás

NIST exige en AAL3 resistencia al phishing y clave privada no exportable; excluye autenticadores sincronizables en ese nivel. AAL2 debe ofrecer una opción resistente al phishing. Son criterios técnicos de esa referencia, no una obligación jurídica española ni una clasificación completa de tu servicio. (NIST)

Por eso, evita una aceptación basada solo en la etiqueta del producto. Si el requisito habla de clave ligada a un dispositivo, pide cómo se acredita. Si habla de continuidad entre varios dispositivos, revisa cómo se gestiona. Cada necesidad debe poder relacionarse con una propiedad concreta y con sus límites.

La guía del UK NCSC explica passkeys y gestores de credenciales, incluida su posible sincronización entre dispositivos de confianza. La implementación y la gestión elegidas importan: no se equiparan todos los métodos ni se afirma protección frente a cualquier ataque. (UK National Cyber Security Centre)

Prueba el recorrido de recuperación que de verdad utilizarías

En un escenario hipotético, una persona pierde el teléfono que utiliza para acceder a una aplicación operativa. El equipo debería saber quién puede verificar la solicitud de recuperación, qué alternativas están autorizadas y cómo se revisa el acceso anterior. Un inicio de sesión habitual satisfactorio no responde esas preguntas.

Prepara un ensayo con una cuenta y datos de prueba expresamente autorizados. Define el resultado esperado antes de comenzar: quién solicita, quién decide, qué se registra y qué acceso se conserva o retira. Este artículo propone la revisión; no acredita una prueba de seguridad de KIURO ni de un proveedor.

• Comprueba el alta inicial y la incorporación de un segundo dispositivo, si se permite.
• Revisa pérdida de dispositivo y recuperación sin recurrir a secretos en documentos ordinarios.
• Incluye salida de una persona del equipo y retirada de sus accesos.
• Pregunta qué ocurre con sesiones existentes después de una revocación.
• Registra resultados, limitaciones y quién debe resolver cada diferencia.

Convierte una respuesta comercial en un requisito aceptable

Una respuesta como «tenemos MFA» necesita contexto: qué cuentas, qué método y qué excepciones. Del mismo modo, una descripción del método no demuestra que esté activado en el acceso que revisas. Solicita una evidencia acorde al riesgo y evita pedir datos secretos como sustituto de esa evidencia.

Mantén la gestión de sesión y la recuperación en apartados propios. Si cambias una de ellas, revisa qué parte del ensayo debe repetirse. El objetivo es que un administrador futuro entienda el requisito y sepa comprobarlo, incluso cuando el equipo o el servicio cambien.

Qué queda por decidir para tu organización

Las referencias anteriores ayudan a ordenar propiedades técnicas. No ofrecen aquí una certificación, un dictamen de cumplimiento ni la evaluación de una marca concreta. El PDF técnico de BACS no se ha utilizado para adjudicar niveles detallados; el análisis se limita al resumen HTML y al contraste indicado.

El siguiente paso es completar la matriz para tus accesos importantes y acordar responsable y comprobación. Los costes de dispositivos, licencias, soporte y recuperación deben evaluarse para ese alcance. Si forman parte de un entorno compartido, puedes incluir estas decisiones en el trabajo de correo corporativo y cloud sin sustituirlas por una etiqueta de seguridad.