10 consejos para mejorar la administración de cuentas y contraseñas

Sucede todos los días. Todo profesional de IT lo ha experimentado. Es inevitable. Estás trabajando en un proyecto detallado; algo urgente que requiere una gran concentración o estás intentando mantener a flote la nave de la empresa, y luego llega la solicitud. "Mi cuenta está bloqueada. ¿Alguien puede desbloquearla y restablecer mi contraseña?"

Sí, la temida solicitud de bloqueo de cuenta/restablecimiento de contraseña.

Suspiras, dejas lo que estás haciendo y te ocupas del problema, esperando que sea tan simple como comunicar la nueva contraseña al usuario y que no te arrastre a un dolor de cabeza de bloqueos de cuenta subsiguientes, problemas para elegir una nueva contraseña ("¡Dice que mi contraseña no es lo suficientemente compleja!"), la nueva contraseña no se acepta en un sistema u otro enredo lamentable que puede frenar tus esfuerzos.

Seamos claros: IT está ahí para apoyar al negocio. Una cuenta bloqueada o inaccesible representa un problema que detiene el trabajo. Los empleados no están ahí para recibir sueldo por no hacer nada. Las contraseñas son una parte necesaria de la vida, y los bloqueos de cuenta ocurren por razones de seguridad para reducir las amenazas a los datos de la empresa.

De forma aislada, resolver estos problemas no es tan grave, pero algunos días puede parecer que todo lo que estás haciendo es restablecer contraseñas, lo que afecta negativamente tu carga de trabajo (sin mencionar el ánimo).

Las soluciones biométricas son capaces de reemplazar las contraseñas con escáneres de huellas dactilares o retina para dispositivos manos libres, pero este avance no está progresando lo suficientemente rápido para satisfacer las necesidades de gestión del tiempo de muchos profesionales de IT. Hay mejores formas de apoyar a la organización promoviendo enfoques tecnológicos y estratégicos. Aquí tienes 10 consejos para mejorar la administración de cuentas tanto para administradores como para usuarios finales, para reducir los bloqueos y restablecimientos.

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Consejos para administradores

1. Revisa tus políticas de cuenta

Tus políticas de cuenta podrían necesitar ajustes para reducir la incidencia de bloqueos o restablecimientos de contraseña. ¿Requisitos de contraseña demasiado estrictos? ¿El envejecimiento de las contraseñas (obligar a los usuarios a esperar cierto periodo de tiempo antes de cambiar la contraseña) está demasiado alto? ¿Los cambios de contraseña se fuerzan con demasiada frecuencia o no lo suficiente? ¿Es posible configurar cuentas para desbloquearse automáticamente después de cierto periodo de tiempo?

Como siempre, debes consultar con tu departamento de seguridad antes de realizar cualquier cambio.

2. Documenta los detalles de las contraseñas

Asegúrate de documentar claramente y proporcionar a todos los usuarios los requisitos de contraseña de tu empresa, el programa de rotación, en qué sistemas se aplican cuentas y contraseñas específicas, el entorno de las contraseñas y cualquier otro elemento que necesiten saber para maximizar su capacidad de gestionar sus cuentas. Esto debería estar disponible tanto para nuevos empleados como para los actuales.

Asegúrate también de documentar cuánto tiempo pasa en total tú o tu grupo realizando restablecimientos de cuentas o contraseñas. Esta información puede ser útil para el siguiente consejo.

Cómo proteger tu computadora de los virus: métodos y consejos

3. Utiliza un producto de autoservicio

Si tu equipo de seguridad lo aprueba, es posible permitir a los usuarios desbloquear sus propias cuentas y/o restablecer sus propias contraseñas. Manage Engine's ADSelfService Plus, Jiji Self Service Password Reset y Specops Password Reset son tres ejemplos de productos comerciales que pueden manejar el desbloqueo de cuentas y restablecimiento de contraseñas.

Los productos de este tipo pueden basarse en preguntas de seguridad, la capacidad de enviar por correo electrónico o mensaje de texto nuevas contraseñas a los usuarios finales, y la autenticación de múltiples factores, lo que obliga a los usuarios a verificar su identidad antes de proceder. Estos productos suelen ser fáciles de configurar y administrar, por lo que son una inversión ideal de tiempo y capital teniendo en cuenta los ahorros de trabajo (y reducción de estrés) que pueden proporcionar.

4. Reduce la complejidad del entorno

Los usuarios y el personal de IT pueden tener que soportar dificultades reales si tienes un entorno complejo. Múltiples "islas" de contraseñas, donde algunos sistemas utilizan autenticación independiente, sincronizan credenciales entre unos pocos otros sistemas o confían en un servidor centralizado para el acceso, pueden dificultar mucho el seguimiento de qué ID corresponde a qué contraseña y en qué sistema o servicio. Esto es común en grandes empresas que a menudo tienen una gran cantidad de sistemas internos y basados en la nube.

Es posible utilizar una solución de inicio de sesión único en la que los servidores dependan de Protocolo Ligero de Acceso a Directorios para autenticar a los usuarios contra controladores de dominio de Active Directory. También hay productos de terceros que pueden realizar funciones similares, como Okta Single Signon, OneLogin Secure Single Signon Solution y Centrify Identity Service.

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

Si tienes servidores Linux, una solución de administrador incompetente puede ser escribir un trabajo cron sencillo para rsync los archivos /etc/shadow, /etc/passwd y /etc/group desde un servidor de origen a los demás servidores objetivo. Los usuarios podrían administrar sus contraseñas en el servidor de origen y estas se replicarían a todos los demás sistemas, digamos cada cinco minutos.

5. Delega a otro grupo

¿La solución más simple para restablecer cuentas/contraseñas? No hacerlo tú mismo. Delega esta tarea a otra persona. Establece un servicio de ayuda de nivel 1 o a otro grupo o entidad externa y deja que ellos se encarguen. Por supuesto, para asegurar que esta transición sea exitosa, tendrás que ser firme y resistir la tentación de desbloquear la cuenta de alguien "solo esta vez".

Consejos para usuarios finales

Seré directo aquí y hablaré por experiencia propia: la gestión de contraseñas no es un concepto nuevo, por lo que los usuarios deben asumir la responsabilidad de sus contraseñas. El personal de IT suele tener demasiados problemas que resolver y la buena voluntad tiende a desaparecer cuando bloqueas tu cuenta con cada cambio de contraseña. Estos consejos para usuarios finales deberían ayudar a mejorar la situación.

1. Utiliza un gestor de contraseñas

La forma más simple y fácil de mantener tus contraseñas bajo control es utilizar un gestor de contraseñas como KeePass o Password Safe. He utilizado ambos y funcionan bien tanto para la gestión de cuentas empresariales como personales. Cada producto es gratuito y utiliza una base de datos cifrada con una contraseña maestra (que obviamente debes memorizar y no escribir). Puedes guardar contraseñas y copiar/pegarlas según sea necesario, lo que hace innecesario escribir o incluso conocer la contraseña.

Protege tus contraseñas con PAM: Tu aliado para la seguridad

2. Utiliza técnicas de contraseñas más efectivas

Unos trucos simples pueden ayudarte a elegir contraseñas más efectivas y útiles. Un amigo piloto mío utiliza una contraseña de ocho caracteres que siempre tiene los mismos cinco últimos caracteres. Cambia los tres primeros caracteres por un código de aeropuerto (BOS para Boston, SFO para San Francisco, etc.) y simplemente imagina la ciudad que representa el código de aeropuerto cuando necesitas recordar tu contraseña.

Los trucos nemotécnicos como este pueden ser útiles. Considera utilizar "frases de contraseña" en lugar de contraseñas regulares. Por ejemplo, 0range c0w 3lender (donde la letra "o" se reemplaza por el número "0" y la letra "b" por el número "3") es sencillo de recordar y se adapta a la mayoría de los requisitos de contraseñas. Es bastante fácil en el verano imaginar una vaca naranja regalando una batidora de bebidas heladas. También podrías pensar en una frase específica: "Amamos Boston en la primavera de 2017" y luego elegir la primera letra de cada palabra para formular una contraseña como Wlbits2017. Esto funciona especialmente bien con el consejo anterior.

También deberías elegir contraseñas con un "flujo de teclado" adecuado, en el que escribas los caracteres en un patrón cómodo, de izquierda a derecha en el teclado, por ejemplo. No hay nada más incómodo que tener que picotear las teclas de todas las secciones del teclado y esto puede resultar en bloqueos de cuenta simplemente por errores de escritura.

3. Mantén buenas prácticas de seguridad

Puede parecer que la seguridad no tiene relación con la gestión o memorización de tu contraseña, pero hay conexiones sutiles entre los dos conceptos.

Cómo configurar un servidor VPN para hacer conexiones a través de firewalls

Si puedes evitarlo, no guardes contraseñas en un navegador web; la antigua contraseña podría terminar bloqueando tu cuenta si ha cambiado (obviamente, este consejo podría generar tareas tediosas como tener que escribir la contraseña de tu correo electrónico en tu teléfono cada vez que quieras revisar tu bandeja de entrada).

Hablando de tu cuenta de correo electrónico, protege bien la contraseña, ya que es probable que tu cuenta de correo electrónico contenga las "claves del reino" para otras cuentas, porque las notificaciones automáticas de restablecimiento de contraseña probablemente lleguen allí. Si alguien compromete tu cuenta de correo electrónico, podría utilizarla para restablecer tus contraseñas en otros lugares y causar un gran caos.

Asegúrate de saber dónde has iniciado sesión y en qué dispositivo, y asegúrate de cambiar tu contraseña en todos los servicios cuando llegue el momento. Lleva un registro, si es necesario.

4. Utiliza las mismas contraseñas cuando sea posible

Este consejo puede ser controvertido, así que permíteme explicarlo. Obviamente, utilizar la misma contraseña para tu correo electrónico, teléfono, computadora, cuenta bancaria, cuentas de tarjetas de crédito, sitio web para comprar boletos de cine, sitios web de redes sociales, etc., es una muy mala idea.

Sin embargo, si tienes acceso a varios sistemas de desarrollo, pruebas u otros sistemas de bajo nivel que no representan un riesgo de seguridad si se comprometen, utilizar MyPass2017 como contraseña en todos ellos es una opción obvia. Actualiza esta contraseña en todos los lugares correspondientes cuando cambie para garantizar la coherencia.

¡Alerta! Un nuevo gusano de Linux está propagándose

5. Sé proactivo

Administro algunos sistemas que no notifican a los usuarios con anticipación que su contraseña cambiará pronto. Por lo tanto, solo descubren que su contraseña ha expirado cuando intentan iniciar sesión, lo que lleva a malas elecciones de contraseña o problemas para autenticarse con la nueva contraseña.

A menudo recomiendo a los usuarios que establezcan recordatorios para cambiar sus contraseñas antes de que expiren. Esto es tan simple como crear una tarea o cita recurrente en Outlook.

También lleva un registro de cuándo caducará tu contraseña incluso si recibes una notificación anticipada (como en entornos de Active Directory). Si sabes que estarás fuera el día en que expire tu contraseña (como en vacaciones), asegúrate de cambiarla antes de dejar la oficina.

Espero que estos consejos te sean útiles, ya seas un administrador o un usuario de tecnología. Si tienes alguna visión o recomendación para compartir, ¡házmelo saber en la sección de comentarios!

También te puede interesar:

• Cómo crear contraseñas más seguras utilizando comentarios basados en datos (Newsmatic)
• Cómo hacer que tus empleados se preocupen por la seguridad cibernética: 10 consejos (Newsmatic)
• Las contraseñas más estúpidas que la gente sigue utilizando (ZDNet)
• Las herramientas de autoservicio pueden mantener los sistemas actualizados y más seguros (Tech Pro Research)
• Cursos de hacking ético y seguridad (Newsmatic Academy)

Cuánto cuesta instalar y mantener un firewall empresarial

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a 10 consejos para mejorar la administración de cuentas y contraseñas , tenemos lo ultimo en tecnología 2026.