Aunque cada vez se recomienda más a las empresas utilizar un gestor de contraseñas, por sí solo no puede ofrecer una seguridad completa de las contraseñas. Hace falta una estrategia integral que tenga en cuenta no solo el software, sino también las estructuras organizativas y unos procesos claros. Además de la herramienta, deben establecerse estructuras organizativas y procesos claros y fiables para garantizar un tratamiento responsable de los datos sensibles. En la conversación de hoy quiero profundizar en este tema y descubrir cómo aborda esta cuestión crítica ALPEIN Software SWISS AG, que ha desarrollado su propio gestor de contraseñas, PassSecurium. Para ello he hablado con el CTO y CISO de la empresa, Eugen Wiltowski.

Volker Strecker: Buenos días, señor Wiltowski. Muchas gracias por dedicar tiempo a esta entrevista. Hoy hablamos de la gestión segura de contraseñas en su empresa. ¿Podría darnos primero una visión general de cómo se asegura ALPEIN Software de que las contraseñas se gestionen de forma eficaz y segura?

Eugen Wiltowski: Buenos días, señor Strecker. Me alegra poder hablar con usted sobre la gestión segura de contraseñas. En ALPEIN Software tenemos una estrategia clara para garantizar la seguridad de nuestras contraseñas. En primer lugar, utilizamos un gestor de contraseñas con permisos por roles y grupos, que garantiza que solo los empleados autorizados tengan acceso a las cuentas y recursos que se les han asignado. El gestor que utilizamos, PassSecurium™, es nuestro propio producto. Evoluciona constantemente a partir de los requisitos de nuestros responsables de producto y expertos en seguridad, así como de los comentarios de nuestros clientes.

Volker: Suena a un método muy bien pensado. ¿Puede contarnos más sobre la organización de las contraseñas y los roles dentro de su empresa?

Eugen: Hemos creado nuestra propia estructura organizativa, en la que las contraseñas se ordenan de forma lógica y comprensible por departamento o tipo, y solo son accesibles para los grupos de empleados autorizados. Cada grupo cuenta con un compañero con rol de manager, que organiza el grupo o departamento y asigna los derechos y roles de su ámbito de responsabilidad.

Volker: ¿Cómo se aseguran de que las contraseñas cumplan las políticas de seguridad necesarias?

Eugen: Cada área de almacenamiento de contraseñas está definida con políticas de seguridad específicas. Las más críticas se encuentran en la carpeta con nivel de seguridad «Fuerte», que impide guardar contraseñas más débiles. Los criterios de los niveles de seguridad pueden definirlos los propios administradores en PassSecurium™, algo muy práctico, ya que los requisitos de seguridad crecen constantemente con el aumento de la ciberdelincuencia y los avances de la informática. Antes, una contraseña de 8 caracteres se consideraba segura; hoy debería tener al menos 10 o incluso 12.

Volker: Es un punto importante. ¿Cómo garantizan que los empleados utilicen contraseñas complejas?

Eugen: Nuestros empleados están formados para crear nuevos accesos exclusivamente con el generador de contraseñas integrado. Así nos aseguramos de que la complejidad de la contraseña cumpla los requisitos de la carpeta correspondiente. De este modo, los empleados no tienen que memorizar contraseñas, ya que la mayoría se introducen mediante las funciones integradas de copiar y pegar.

Volker: Entiendo. Muchas empresas utilizan extensiones del navegador para gestionar sus contraseñas. ¿Las usan ustedes?

Eugen: No, no utilizamos extensiones del navegador. Aunque son cómodas, los navegadores y JavaScript son objetivos frecuentes de los ataques de hackers, que aprovechan vulnerabilidades de día cero para manipular las extensiones. Por eso recomendamos ir a lo seguro y aconsejamos a nuestros clientes no utilizarlas. En su lugar, ofrecemos métodos alternativos para recuperar las contraseñas de forma segura, por ejemplo, a través de nuestra app de escritorio. El bloqueo de las extensiones del navegador puede configurarse directamente en los ajustes de PassSecurium™.

Volker: ¿Cómo controlan el intercambio de contraseñas dentro de la empresa y hacia el exterior?

Eugen: No permitimos compartir contraseñas fuera del gestor de contraseñas, ni a través de nuestro chat interno cifrado ni por otras vías, porque esto siempre deja huellas digitales. En general, lo ideal es utilizar las contraseñas de manera que nunca aparezcan en texto plano en la pantalla. El intercambio de contraseñas entre empleados se realiza exclusivamente mediante la asignación de derechos y la función de compartir, controladas por administradores o managers. El intercambio con el exterior se hace actualmente a través de nuestro CloudSecurium™, donde el archivo compartido tiene un tiempo limitado y está protegido con una contraseña propia. También estamos estudiando permitir compartir contraseñas de forma segura con clientes o socios directamente desde PassSecurium™.

Volker: ¿Cómo protegen el acceso al gestor de contraseñas desde fuera de la empresa?

Eugen: El acceso a nuestro gestor de contraseñas se realiza exclusivamente a través de VPN. Así nos aseguramos de que nadie pueda acceder desde fuera. También recomendamos encarecidamente a nuestros clientes utilizar al menos la autenticación de dos factores (2FA) con nuestra app AccessSecurium™, para proteger aún más el acceso a su propia bóveda de contraseñas. Mejor todavía sería usar varios factores de autenticación a la vez (la llamada MFA), por ejemplo, combinar VPN con contraseña de un solo uso (OTP) o utilizar OTP junto con llaves de hardware YubiKey, que nosotros mismos usamos activamente. Por desgracia, a la mayoría de los clientes esto les resulta excesivo. Encontrar el equilibrio entre seguridad y comodidad siempre es un reto.

Volker: Muchas gracias por estas explicaciones sobre la gestión de contraseñas en ALPEIN Software. Es evidente que la seguridad es la máxima prioridad para su empresa.

Eugen: Ha sido un placer hablar de nuestras medidas de seguridad. En ALPEIN Software somos conscientes de la importancia de una gestión de contraseñas sólida y hacemos todo lo posible para garantizar la seguridad de nuestros datos y recursos.

Agradezco a Eugen Wiltowski esta reveladora entrevista sobre la gestión segura de contraseñas en su empresa. Las prácticas y políticas presentadas pueden servir de modelo a otras empresas que quieran controlar mejor y con más seguridad su gestión de contraseñas. Combinando un gestor de contraseñas, estructuras organizativas claras y políticas de seguridad bien pensadas, las empresas pueden optimizar el tratamiento y el almacenamiento de datos sensibles como las contraseñas.

Saludos cordiales, Volker Strecker.