Qué es un factor de autenticación
La autenticación multifactor, MFA, exige comprobar más de una clase de factor: algo que se sabe, algo que se posee o una característica inherente a la persona. Dos contraseñas no forman dos factores distintos. La verificación puede estar integrada en un mismo autenticador o combinar varios, según el diseño y el nivel de garantía requerido por el sistema.
Por qué importa en prevención
Una cuenta comprometida puede exponer datos de salud, alterar una evaluación o facilitar la descarga de documentación de contratistas. La MFA reduce la dependencia de la contraseña, pero debe acompañarse de permisos proporcionados y de la protección de información sanitaria. No evita que una persona correctamente autenticada abuse de autorizaciones demasiado amplias.
No todos los métodos son equivalentes
Los códigos que se introducen manualmente pueden ser capturados mediante engaño. Los autenticadores resistentes al phishing vinculan la operación al servicio legítimo mediante mecanismos criptográficos. La elección requiere valorar riesgos, dispositivos disponibles y accesibilidad. Una petición inesperada de aprobación no debe aceptarse para que desaparezca: puede indicar un intento de acceso ajeno.
Alta y recuperación también necesitan protección
Registrar un autenticador nuevo o recuperar una cuenta son operaciones sensibles. Si basta un procedimiento débil para sustituir el segundo factor, se reduce la eficacia del conjunto. La organización define cómo verifica la identidad, retira dispositivos perdidos y comunica cambios. Los códigos de recuperación se protegen y no se comparten por mensajería ni con personas que dicen actuar como soporte.
Ejemplo de implantación
En un ejemplo hipotético, un servicio preventivo activa MFA para cuentas administrativas y sanitarias. Antes de extenderla, comprueba acceso habitual, cambio de teléfono, pérdida del dispositivo y uso desde equipos autorizados. La prueba incluye al personal con necesidades de accesibilidad. El resultado debe mantener la protección sin crear una dependencia operativa que impida atender situaciones urgentes.
Qué debe verificarse
Conviene confirmar qué cuentas están cubiertas, qué métodos se permiten y cómo se revisan las excepciones. La mera existencia de una opción MFA en el producto no demuestra que esté aplicada. El seguimiento debe considerar sesiones, alertas, cuentas de servicio y mecanismos de recuperación, con responsabilidades claras entre organización y proveedor.
