Inventario de accesos
Revisamos qué cuentas, aplicaciones y accesos remotos tiene tu empresa, incluidas las cuentas de administrador, las de proveedores y los dispositivos personales que acceden al correo. Así sabemos qué proteger primero y detectamos cuentas antiguas de personas que ya no trabajan contigo, que suelen ser una puerta abierta. Ese inventario es también la base de una buena identity management.
Correo y Microsoft 365
Activamos el doble factor en el correo y en Microsoft 365 con políticas de acceso condicional: por ejemplo, pedir la verificación solo fuera de la oficina o bloquear inicios de sesión desde países donde no trabajas. Es el acceso más atacado: el intruso entra en el buzón, crea una regla para ocultar sus correos y espera hasta encontrar una factura que modificar. También cerramos los protocolos antiguos que permiten saltarse la verificación.
VPN, escritorio remoto y aplicaciones
Protegemos la VPN, el escritorio remoto, el ERP, el CRM y los portales web, que son las puertas que más buscan los atacantes. Cada acceso pide su segundo factor según el riesgo, de modo que tu equipo puede trabajar desde casa o desde un cliente con un acceso seguro. Si usas aplicaciones antiguas que no admiten el doble factor, las protegemos detrás de una VPN o de un portal que sí lo pida.
Formación y soporte
Enseñamos a tu equipo a usar la aplicación de verificación y a reconocer una petición falsa. Además, damos soporte cuando alguien cambia de móvil o pierde su llave, y damos de baja los accesos el mismo día en que una persona deja la empresa. También te dejamos una guía breve con capturas para activarlo sin depender de nadie.
El método Apen: cómo funciona
- Diagnóstico: inventariamos cuentas, aplicaciones, dispositivos y accesos remotos de toda la empresa.
- Prioridades: empezamos por administradores, correo y accesos desde fuera de la oficina.
- Despliegue: activamos el segundo factor por grupos de usuarios, con un periodo de prueba de unos días en cada uno.
- Formación: explicamos a cada persona, en una sesión corta, cómo usarlo y qué hacer si pierde el móvil.
- Revisión: comprobamos cada trimestre que no queda ninguna cuenta sin proteger y que los registros de acceso no muestran intentos sospechosos.
Además, nuestro equipo técnico lleva más de 35 años protegiendo pymes del Vallès y de Barcelona. Por eso, el segundo factor encaja con el resto de la seguridad de la identidad de tu empresa: el correo, las contraseñas y la formación de tu equipo. Y si más adelante quieres ir un paso más allá, el segundo factor es la base del modelo de confianza cero, en el que cada acceso se verifica siempre, venga de donde venga. Todo queda documentado: qué cuentas están protegidas, con qué método y quién gestiona las excepciones.
Por qué la autenticación multifactor es imprescindible
Un estudio de Microsoft Research publicado en mayo de 2023 analizó cuentas reales de Azure Active Directory. Según sus datos, el segundo factor reduce un 99,22 % el riesgo de que una cuenta sea comprometida. Incluso cuando la contraseña ya se había filtrado, la reducción fue del 98,56 %.
El motivo es sencillo: hoy la mayoría de ataques no rompen sistemas, entran con credenciales robadas. Basta un correo de phishing o una contraseña reutilizada en otra web para que alguien acceda a tu correo y, desde ahí, engañe a tus clientes o pida una transferencia. Con un segundo factor, la contraseña sola no sirve de nada. Es una de las medidas con mejor relación entre coste y protección que puede tomar una pyme.
La normativa también lo exige. El artículo 21.2.j de la Directiva NIS2 pide usar soluciones de autenticación multifactorial o continua, y el Reglamento de Ejecución (UE) 2024/2690 lo concreta para el acceso a redes y sistemas. Si tu empresa está obligada por la normativa NIS2 o trabaja con la Administración bajo el Esquema Nacional de Seguridad, el doble factor deja de ser opcional.
No todos los métodos protegen igual. El mismo estudio de Microsoft concluye que las aplicaciones de verificación funcionan mejor que los códigos por SMS, y las llaves físicas resisten incluso el phishing más elaborado. Por eso elegimos el método según el perfil: más robusto para administradores y dirección, más cómodo para el resto. Tampoco hace falta comprar hardware para empezar, porque el móvil de empresa de cada persona suele ser suficiente. También preparamos tu entorno para las claves de acceso, o passkeys, que ya admiten Microsoft, Google y Apple y que en muchos casos sustituyen a la contraseña. Llámanos al 938 606 220 o pide tu diagnóstico gratuito.
