¿Qué es MFA y por qué es clave para una pyme?
La autenticación multifactor (MFA) añade una segunda (o tercera) prueba además de la contraseña: algo que tienes (móvil, llave), algo que eres (biometría) o algo que sabes (PIN). Eso frena gran parte de los accesos indebidos porque un atacante necesitaría robar varias cosas a la vez, no solo la clave. Proveedores y guías coinciden en que MFA aporta un salto cualitativo de seguridad y que debe integrarse con estándares como SAML, OIDC y OAuth para no romper tus apps ni flujos. Frontegg
En mi caso, activar MFA en cuentas críticas (correo, paneles admin, VPN) redujo incidentes de “intentos raros” a prácticamente cero. El reto no fue técnico: fue operativo (elegir factores, formar al equipo y definir rescates sin fricción).
Opciones de MFA: cómo elegir el factor correcto
App autenticadora (Google/Microsoft/Authy): cuándo conviene
Una app TOTP (códigos rotativos) es barata, funciona offline y es compatible con casi todo. Para pymes es el mínimo razonable por coste y cobertura. Ojo a la operativa: cuando cambié de teléfono, la restauración de Microsoft Authenticator sobre-escribió y perdimos factores en varias cuentas; no había forma de recuperarlos. Desde entonces documenté un protocolo de copia y códigos de recuperación y hago una prueba de restauración previa antes de rotar dispositivos. Ese pequeño ritual nos ahorró dolores de cabeza.
Los contenidos de referencia colocan a estas apps como opción sólida, pero insisten en definir métodos de respaldo y políticas de recuperación al mismo nivel de seguridad que el factor principal. IT Masters Mag
Llaves de seguridad FIDO2/WebAuthn: máxima seguridad con poco mantenimiento
Para cuentas “joya de la corona”, pasé a llaves FIDO2 (con PIN/biometría). Ventajas: a prueba de phishing y cero dependencia del móvil. Para el equipo directivo y admins, el extra de coste compensa por la reducción de riesgo y por evitar la fatiga MFA (aprobaciones por cansancio). Guías técnicas y comparativas piden dar prioridad a factores resistentes a phishing cuando hay riesgo alto. Frontegg
Push y biometría: fricción baja, riesgos y buenas prácticas
Las notificaciones push y la biometría tienen gran adopción por baja fricción. El matiz: sin políticas, la gente aprueba todo por inercia. Buenas prácticas: exigir “número matching” (introducir dígitos mostrados en pantalla) y bloquear después de varios rechazos, además de monitorear intentos anómalos. Los listados de errores más comunes remarcan precisamente ese riesgo de fatiga MFA y cómo mitigarlo. IT Masters Mag
SMS/llamada de voz: costes, cobertura y limitaciones
El SMS/voz llega a (casi) cualquier teléfono y es útil como respaldo o para usuarios externos; seguridad menor por SIM swap y phishing. Muchos catálogos comparan esta vía con modelos pago por uso: pagas por cada OTP enviado, sin cuota de autenticación, lo que puede salir a cuenta si tienes pocos inicios de sesión por usuario. Plivo
Costes de MFA en pymes (guía rápida)
Cómo se cobra en la práctica
-
Licencia por usuario/mes (Okta, Duo, Entra ID, etc.). Ejemplos públicos citan Okta MFA básica ~$3/u/mes y Adaptive ~$6/u/mes; Microsoft Entra ID sitúa MFA dentro de sus tiers P1 (~$6) y P2 (~$9) por usuario/mes con más funciones de gobierno y acceso condicional. No todas las funciones avanzadas están en los planes básicos. Frontegg
-
Pago por uso (OTP): sobre todo para SMS/voz. Algunos proveedores orientados a comunicaciones (APIs) destacan $0 en “tarifa de autenticación” y cobro solo por el tráfico SMS/voz; útil si tu patrón de login es esporádico o de pocos usuarios externos. Plivo
¿Qué conviene a una pyme?
-
Plantilla estable con muchos inicios de sesión → suele compensar licencia por usuario (mejor previsibilidad y funciones como push seguro y acceso condicional). Frontegg
-
Usuarios externos/ocasionales o picos estacionales → explora pago por uso (solo pagas el OTP entregado). Plivo
Costes ocultos que casi nadie calcula
-
Onboarding y soporte (explicar el alta en MFA, rotura de móvil, cambio de SIM).
-
Tiempo de TI para políticas y excepciones.
-
Reemplazo/gestión de llaves FIDO2 (pérdidas, llaves de repuesto).
-
Cumplimiento (logs, retención, auditoría).
En mi despliegue, la factura real se desvió por soporte de incidencias: dos migraciones de móvil sin copia adecuada multiplicaron tickets. Desde que establecí códigos de recuperación impresos + un segundo factor alternativo por usuario, el coste de soporte cayó en seco. Las guías insisten en igualar la seguridad del método de recuperación a la del principal. IT Masters Mag
Errores más comunes y cómo evitarlos
Fatiga MFA y aprobaciones indebidas
El bombardeo de “aprobar” funciona: métricas citadas por la prensa especializada atribuyen un porcentaje relevante de brechas en la nube a la fatiga MFA. Mitigación práctica: bloquear tras 3 rechazos, obligar número matching, activar detección de anomalías (ubicaciones/horarios inusuales) y formar al usuario para no aprobar si él no inició el acceso. IT Masters Mag
Backups, restauraciones y códigos de recuperación (lecciones aprendidas)
Mi incidente con Microsoft Authenticator me cambió el proceso: hoy prohibido migrar sin:
-
Códigos de recuperación por cuenta (custodia segura).
-
Prueba de restauración en un entorno de ensayo.
-
Un segundo factor alternativo (SMS/llave) temporal mientras dura el cambio.
Las recomendaciones editoriales coinciden en no depender de un único método y en revisar trimestralmente los métodos de recuperación y números obsoletos. IT Masters Mag
Recuperación de cuenta: no dejes que el “Olvidé mi contraseña” sea el eslabón débil
Muchos ataques entran por recuperaciones débiles (correo o teléfono comprometidos). Alinea la seguridad de la recuperación con la MFA principal y audita restablecimientos inusuales (p. ej., varios resets en una hora). Si puedes, usa FIDO2 también para recuperar cuentas críticas. IT Masters Mag
Pruebas periódicas y políticas de acceso condicional
La mayoría de organizaciones no prueba sus defensas MFA. Agenda simulacros: phishing con páginas falsas, campañas controladas de “cansancio”, revisión de logs y acceso condicional (endurecer MFA solo cuando el riesgo sube). Las comparativas serias insisten en el papel del acceso adaptativo y la analítica de riesgo. IT Masters Mag+1
Checklist de despliegue MFA para pymes (paso a paso)
-
Mapa de riesgos y apps: correo, ERP/CRM, VPN, paneles cloud, backoffice.
-
Escoge factores por perfil:
-
Dirección y admin: FIDO2 + app como respaldo.
-
Resto equipo: app autenticadora + SMS solo como respaldo.
-
-
Políticas: acceso condicional (dispositivo/ubicación), número matching en push, bloqueo tras intentos. IT Masters Mag
-
Recuperación: códigos de respaldo, segundo factor, inventario de números verificados, auditoría trimestral. IT Masters Mag
-
Onboarding: guía en 1 página + vídeo de 2 min (alta, pérdida de móvil, cambio de equipo).
-
Pruebas: simulacros de phishing a MFA, revisión de logs, métricas de adopción. IT Masters Mag
-
Costes: calcula escenario a 12 meses; si tus inicios de sesión son espaciados o con externos, evalúa pago por uso para OTP; si el login es diario y masivo, licencia por usuario. Plivo+1
FAQs rápidas
¿Cuánto cuesta implementar MFA en una pyme?
Como referencia: Okta desde ~$3/u/mes (básico) y ~$6/u/mes (adaptativo); Microsoft Entra ID ofrece MFA en sus planes P1 (~$6) y P2 (~$9) con funciones avanzadas. Si usas OTP por SMS/voz, hay opciones de pago por uso (sin tarifa de autenticación; pagas el mensaje). Comprueba condiciones y moneda local. Frontegg+1
¿Qué método es más seguro?
Para cuentas críticas, FIDO2/WebAuthn (resistente a phishing). Para el resto, app autenticadora con buenas políticas y push con número matching. Evita depender solo de SMS. Frontegg+1
¿Cómo evito la fatiga MFA?
Formación + bloqueo/retos tras rechazos, número matching, detección de anomalías y revisiones periódicas. IT Masters Mag
¿Qué pasa si pierdo el móvil?
Usa códigos de recuperación, mantén un segundo factor y prueba la restauración antes de migrar dispositivos. IT Masters Mag
Conclusión
MFA no es un gasto, es seguridad operativa. Para pymes, la combinación ganadora suele ser: app autenticadora para todos, FIDO2 para cuentas sensibles, SMS/voz como respaldo y políticas de acceso condicional para reducir fricción sin bajar el listón. Si tienes pocos accesos o usuarios externos, el pago por uso puede abaratar; con equipos que inician sesión a diario, una licencia por usuario es más predecible. Y sobre todo: migrar bien (copias y pruebas) vale más que cualquier descuento.