Seguridad
MFA y control de accesos en equipos técnicos
Dónde exigir autenticación multifactor, cómo eliminar cuentas compartidas en cloud y SaaS, y qué integrar en el onboarding/offboarding sin fricción excesiva.
10 min de lectura · Actualizado 2026-07-22
MFA por impacto, no por comodidad
No todos los sistemas merecen el mismo nivel: correo admin y DNS primero, luego cloud (AWS, Azure, GCP), repositorios, CI/CD, VPN y paneles de hosting. Un compromiso de correo admin permite reset de contraseñas en cadena en docenas de SaaS.
TOTP (Google Authenticator, Authy) es baseline aceptable. FIDO2/WebAuthn con llave física (YubiKey) para cuentas break-glass y admins de infraestructura reduce phishing de OTP en tiempo real.
Evita SMS como único segundo factor: SIM swap y SS7 son vectores conocidos. Si el IdP lo permite, deshabilita SMS y exige app o hardware key para roles privilegiados.
MFA sin política de recuperación segura es callejón sin salida: define proceso de backup codes en vault, segunda llave física custodiada, y break-glass documentado con auditoría.
Eliminar cuentas compartidas y el problema «admin@»
«Entramos todos al panel con admin / contraseña del grupo» elimina no-repudio: ante un borrado masivo no sabes quién fue. Cuentas nominativas con rol mínimo y MFA individual son requisito de auditoría ISO y SOC2.
[email protected] como buzón compartido para servicios es anti-patrón. Crea usuarios svc-integracion@ con permisos acotados, o mejor, service accounts con OAuth/client credentials sin buzón humano.
Revisa quarterly miembros de grupos «Domain Admins», «Organization Owner» en Google, «AdministratorAccess» en AWS. El ex empleado que quedó en un grupo olvidado es vector interno.
Offboarding en el mismo día: desactivar IdP centralizado debe cortar SSO a Slack, Notion, Jira y cloud en cascata. Lista manual de 40 SaaS sin SSO es donde fallan la mayoría de empresas medianas.
Integración con IdP y SSO corporativo
Google Workspace, Microsoft Entra ID u Okta como source of truth: MFA enforced en el IdP, SAML/OIDC hacia SaaS compatibles. Reduce fricción («un solo login») mientras centralizas política.
SaaS sin SSO (herramientas legacy, panel hosting): inventario aparte con MFA nativo obligatorio y contraseña única en gestor. No excluyas estos del programa por «es solo uno».
Conditional Access: exige MFA solo desde IPs no corporativas, o bloquea países donde no operas. Reduce prompts innecesarios en oficina sin relajar seguridad en café aeropuerto.
SCIM provisioning automatiza alta/baja en SaaS que lo soportan. Menos tickets manuales = menos cuentas huérfanas.
Accesos técnicos: CI/CD, API keys y break-glass
Tokens de deploy en GitHub Actions, GitLab CI o Jenkins deben ser scoped (solo repo necesario, solo environments), con expiración y rotación. Un PAT sin expiración en laptop robada es puerta trasera permanente.
Secrets en repos son incidente garantizado: usa vault, sealed secrets o variables cifradas del CI. Escanea repos con gitleaks en pre-commit.
Cuenta break-glass (emergencia cuando IdP cae): 2 llaves físicas, credenciales en sobre sellado en caja fuerte, uso solo con ticket post-incident review obligatorio. Probar recuperación cada 6 meses.
Registra accesos privilegiados (PAM): sesiones grabadas o al menos log de «quién elevó a root cuándo» en servidores de producción.
Rollout sin rebelión del equipo
Comunica el porqué con ejemplos reales (filtración de competidor, ransomware por RDP). 30 minutos de capacitación + soporte dedicado la primera semana reduce tickets de «perdí el Authenticator».
Grace period de 7 días con recordatorios antes de bloquear login sin MFA. Excepciones nombradas con fecha fin para roles que «no pueden» — usualmente sí pueden con llave USB.
Métricas: % MFA en cuentas críticas objetivo 100 % en 60 días. Reporta a gerencia mensualmente; la seguridad de accesos es KPI operativo, no proyecto opcional de TI.
Conecta ayuda a implementar MFA en Google/Microsoft, hardening de paneles DirectAdmin y políticas Zero Trust en migraciones DevOps para clientes sin equipo de seguridad dedicado.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.