Un empleado deja la empresa. Devuelve su portátil corporativo, se desactiva su cuenta de usuario y se le retiran los derechos de acceso. Pero ¿qué ocurre con las passkeys que se sincronizaron a través de dispositivos privados o cuentas personales en la nube? ¿Y quién garantiza que las contraseñas que siguen en uso, los accesos compartidos y la información de recuperación permanezcan protegidos?

Preguntas como estas demuestran que la autenticación moderna va mucho más allá del propio proceso de inicio de sesión. Aunque las passkeys reducen determinados riesgos de seguridad de las contraseñas tradicionales, plantean a las empresas nuevas exigencias en cuanto a la organización y el control de los accesos digitales.

Por ello, el reto no consiste en elegir entre passkeys y gestores de contraseñas, sino en integrar ambos de forma coherente en una estrategia de acceso segura.

Las passkeys cambian el inicio de sesión, pero no todo el concepto de seguridad

Las contraseñas tradicionales acompañan a las empresas desde hace décadas. Permiten acceder a aplicaciones, servicios en la nube y sistemas internos. Al mismo tiempo, las contraseñas robadas, reutilizadas o almacenadas de forma insegura figuran entre los riesgos de seguridad más conocidos.

Las passkeys ofrecen un enfoque moderno ante este problema. En lugar de una contraseña tradicional, se utilizan pares de claves criptográficas. La clave pública se registra en el servicio correspondiente, mientras que la clave privada permanece protegida en el autenticador utilizado.

El inicio de sesión se autoriza, por ejemplo, mediante la huella dactilar, el reconocimiento facial o el PIN del dispositivo. El secreto propiamente dicho no tiene que transmitirse al servicio en línea.

Una ventaja fundamental es su resistencia al phishing. Las passkeys están vinculadas al servicio correspondiente y, por tanto, no pueden interceptarse y reutilizarse sin más en una página de inicio de sesión falsa.

Sin embargo, un inicio de sesión seguro no significa automáticamente que todos los accesos dentro de una empresa estén organizados de forma segura.

Las passkeys responden principalmente a la pregunta de cómo se autentica un usuario ante un servicio. Qué información puede consultar o modificar después sigue estando determinado por los permisos correspondientes.

Cuando el inicio de sesión seguro se convierte en un reto organizativo

En el ámbito privado, las passkeys pueden resultar especialmente cómodas. Según el proveedor, pueden sincronizarse entre varios dispositivos y permiten iniciar sesión sin introducir manualmente una contraseña.

En el entorno empresarial, sin embargo, entran en juego otros factores.

Las passkeys corporativas pueden almacenarse en dispositivos propiedad de la empresa o en dispositivos privados. Algunas están vinculadas de forma permanente a un autenticador concreto; otras se sincronizan de forma cifrada entre varios dispositivos.

Esto plantea una pregunta decisiva: ¿cuánto control tiene la empresa sobre los métodos de inicio de sesión utilizados?

Si las passkeys corporativas se gestionan a través de cuentas privadas, aspectos como los cambios de dispositivo, los procedimientos de recuperación o la salida de empleados pueden resultar más difíciles de controlar.

Además, con las passkeys sincronizadas no siempre es posible saber con total claridad, en todos los entornos, en qué dispositivos existen copias. Por ello, las empresas deberían definir qué dispositivos y proveedores están autorizados para los accesos corporativos.

Al mismo tiempo, deben existir procedimientos que permitan revocar las passkeys registradas en los servicios correspondientes. Así se evita que un método de inicio de sesión que ya no está autorizado se siga utilizando para el acceso en cuestión.

Pérdida de dispositivos, cambios de personal y offboarding: ¿quién mantiene la visión de conjunto?

La pérdida de un smartphone o la avería de un portátil no deben provocar que los empleados queden excluidos de forma permanente de aplicaciones críticas para el negocio.

Del mismo modo, la recuperación de una cuenta no debe convertirse en una brecha de seguridad.

Si una empresa utiliza passkeys robustas, pero verifica la identidad de forma insuficiente durante la recuperación de cuentas, los atacantes pueden intentar aprovechar esta vía alternativa.

Por ello, los procedimientos de recuperación seguros forman parte de la implantación de las passkeys tanto como el propio registro.

Además, resulta especialmente importante contar con un proceso de offboarding bien regulado.

Cuando se elimina a un empleado del sistema central de identidades, pueden bloquearse los accesos vinculados. No obstante, no todas las aplicaciones, cuentas creadas por separado o accesos compartidos están necesariamente conectados a este sistema.

Por tanto, las empresas también deben comprobar si es necesario revocar métodos de inicio de sesión adicionales, cerrar sesiones activas, retirar permisos o cambiar contraseñas compartidas.

Lo mismo se aplica a los cambios de rol internos. Quien asuma nuevas funciones dentro de la empresa debería recibir exclusivamente los derechos de acceso necesarios para ellas.

Las passkeys mejoran la autenticación. Aun así, una gestión estructurada de permisos y accesos sigue siendo imprescindible.

Por qué la gestión profesional de contraseñas sigue siendo necesaria

La creciente difusión de las passkeys no significa que las contraseñas tradicionales vayan a desaparecer a corto plazo.

Numerosas aplicaciones empresariales, sistemas informáticos heredados y soluciones de software especializadas siguen basándose en nombre de usuario y contraseña. A ello se suman cuentas corporativas compartidas, accesos técnicos e información de recuperación.

Por consiguiente, las empresas seguirán gestionando en paralelo distintos tipos de credenciales durante bastante tiempo.

Es precisamente aquí donde un gestor de contraseñas profesional para empresas sigue siendo relevante.

En lugar de guardar las contraseñas en archivos de Excel, notas personales o perfiles privados del navegador, una gestión centralizada de contraseñas permite poner a disposición las credenciales corporativas de forma protegida y estructurada.

Las soluciones empresariales modernas ofrecen, por ejemplo, la organización por equipos y departamentos, derechos de acceso basados en roles y el uso compartido controlado de las contraseñas necesarias.

Esto reduce la dependencia de empleados concretos y facilita la gestión de los accesos compartidos.

La administración de TI también se beneficia: los permisos de acceso pueden organizarse de forma más trazable y, cuando hay cambios de personal, los accesos compartidos pueden ajustarse de manera específica.

Por tanto, la gestión de contraseñas no es solo una medida técnica de protección, sino también un componente importante de unos procesos empresariales eficientes.

Ahora bien, un gestor de contraseñas no sustituye ni un sistema completo de gestión de identidades y accesos (IAM) ni la gestión de los dispositivos corporativos. Estos sistemas se complementan entre sí dentro de una estrategia de seguridad integral.

Passkeys y gestores de contraseñas: complemento, no competencia

El debate sobre la autenticación sin contraseña transmite en ocasiones la impresión de que los gestores de contraseñas dejarán de ser necesarios en el futuro.

En la práctica empresarial, esta visión se queda corta.

Las passkeys resuelven determinados problemas del inicio de sesión tradicional con contraseña. Los gestores de contraseñas, en cambio, ayudan a las empresas a organizar de forma segura las contraseñas y la información de acceso corporativa que siguen siendo necesarias.

Así pues, ambos enfoques cumplen funciones distintas.

Mientras que las passkeys protegen el proceso de inicio de sesión en los servicios compatibles, la gestión profesional de contraseñas ofrece una base estructurada para administrar los accesos existentes.

Según la solución, los gestores de contraseñas modernos pueden admitir además el almacenamiento y uso de passkeys. No obstante, esta función no está disponible en todos los proveedores.

Por ello, para las empresas lo decisivo no es eliminar todas las contraseñas lo antes posible. Mucho más importante es contar con una estrategia de acceso que tenga en cuenta tanto las aplicaciones existentes como los nuevos métodos de autenticación.

Cinco medidas para una gestión segura de los accesos

Las empresas no tienen que migrar de la noche a la mañana toda su infraestructura de TI a las passkeys. Un enfoque gradual reduce los riesgos organizativos y permite una implantación controlada.

Las siguientes medidas constituyen una base sólida:

1. Inventariar los accesos existentes: compruebe qué aplicaciones admiten ya passkeys y dónde siguen siendo necesarias las contraseñas tradicionales. Tenga en cuenta también las cuentas técnicas y los accesos compartidos.
2. Definir directrices claras para los dispositivos: establezca si las passkeys corporativas pueden almacenarse en dispositivos privados, qué proveedores están autorizados y cuándo se requieren passkeys vinculadas al dispositivo.
3. Regular la recuperación y el offboarding: defina procesos vinculantes para la pérdida de dispositivos, la recuperación de cuentas, los cambios de rol y la salida de empleados. Revise también los métodos de inicio de sesión alternativos.
4. Organizar de forma centralizada la gestión de contraseñas: asegúrese de que las contraseñas que siguen siendo necesarias se almacenen de forma protegida, se compartan de manera controlada y se gestionen de forma fiable ante cambios de personal.
5. Revisar la implantación paso a paso: empiece con grupos de usuarios adecuados y compruebe periódicamente si los procedimientos de inicio de sesión, los permisos y las directrices de seguridad se ajustan a los requisitos operativos.

Igual de importante es revisar las opciones de respaldo existentes. Si junto a una passkey sigue activo un método de inicio de sesión considerablemente más débil, el beneficio adicional en seguridad puede verse limitado.

Conclusión: el futuro pertenece a una gestión controlada de los accesos

Las passkeys suponen un avance importante para la seguridad digital. Simplifican el inicio de sesión, reducen la dependencia de las contraseñas tradicionales y dificultan considerablemente determinadas formas de phishing.

Sin embargo, para las empresas el verdadero reto no reside únicamente en la implantación de nuevas tecnologías. Lo decisivo es poder gestionar los accesos corporativos de forma controlada, con independencia de dispositivos, empleados o métodos de inicio de sesión concretos.

La gestión profesional de contraseñas sigue siendo un componente importante de la seguridad informática. Mientras existan contraseñas tradicionales, accesos compartidos y otra información de acceso sensible, las empresas necesitarán reglas claras para su almacenamiento, uso y uso compartido.

Por ello, las passkeys y los gestores de contraseñas no deberían considerarse opuestos. Junto con la gestión de identidades, la gestión de dispositivos y unos conceptos de permisos coherentes, constituyen piezas clave de una TI corporativa segura.

Con PassSecurium, las empresas pueden gestionar de forma centralizada y protegida las contraseñas y los accesos corporativos que siguen necesitando. Los permisos basados en roles y el uso compartido controlado favorecen una gestión estructurada de las contraseñas, también durante la implantación gradual de métodos de autenticación modernos.