Los factores de verificación y cuánto pesa cada uno

Un factor es una prueba de que quien entra es quien dice ser. Se agrupan en tres familias: algo que sabes (contraseña, PIN), algo que tienes (un teléfono, una llave física) y algo que eres (una huella, un rostro). La verificación en dos pasos es fuerte cuando los dos factores son de familias distintas, porque quien robe uno de ellos no tiene el otro automáticamente.

Dos contraseñas, o una contraseña y un PIN, son dos cosas que sabes: a efectos prácticos, un solo factor repetido. Un truco para no confundirse: pregúntate si un mismo robo (una base de datos filtrada, una persona mirando por encima del hombro) se llevaría las dos pruebas a la vez.

No todos los segundos factores se defienden igual. Calasanz escribió una escala interna, con cuatro niveles, inspirada en el orden que usa la guía de CISA: primero lo resistente al phishing (llave de seguridad y passkey), después la aplicación con número, luego los códigos que la persona teclea y la notificación de un toque, y al final el SMS y la voz. Es una regla de la empresa, no una norma; sirve para tener un metro común.

Abre el escritorio, entra en la carpeta factores y lee escala-interna.txt. Fíjate en la nota de cada método: dice qué hace la persona con él.

El SMS viaja por la red telefónica, y esa red se puede desviar (el número se cambia de tarjeta SIM sin permiso de su dueño) o interceptar. Por eso NIST, en su guía de autenticación SP 800-63B-4, lo declara autenticador «restringido»: se permite, pero la organización debe ofrecer alternativas, avisar del riesgo y tener un plan de migración. Un SMS como respaldo de otro método preocupa menos que un SMS como único método.

En metodos-registrados.txt hay una muestra de catorce cuentas con su método principal y su respaldo. Cuenta las que tienen SMS como método principal y ninguno como respaldo.

La meta de Calasanz es que tesorería, que mueve el dinero de la empresa, esté en el nivel más alto. Es el área donde un segundo factor débil cuesta más caro. De las tres personas de Tesorería de la muestra, dos ya están mejor que el mínimo; una no.

El inventario no es un fin: sirve para ordenar el trabajo. Las cuentas que dependen solo del nivel más débil, y entre ellas las de áreas de alto impacto, van primero en el plan de cambio. Las que ya tienen un método más fuerte pueden esperar su turno.