Bóvedas de Contraseñas: ¿De qué se trata este concepto que permite garantizar la seguridad?

Por Leonardo Matías Cordero, Jefe de Infraestrura de Planexware, para Fortuna.

Al igual que una bóveda física de un banco que protege tu dinero, documentos importantes, joyas y otros objetos de valor, una bóveda de contraseñas almacena de forma segura todas tus claves. Hoy en día, estas contraseñas representan las llaves de tus bienes más preciados, como documentos firmados, cuentas bancarias, recibos de sueldo, acceso a información confidencial empresarial, conversaciones privadas y cualquier otro tipo de información sensible en un solo lugar.

En la actualidad para robar un banco o información confidencial de una empresa ya no se necesitan máscaras, armas ni autos rápidos como veíamos en las películas. Sino que es mucho más fácil y menos riesgoso para el atacante desde el punto de vista legal. Con solo obtener credenciales mal almacenadas por alguno de nosotros quedamos expuestos y vulnerables a ciberdelincuentes.

Aunque parezca anecdótico, los delitos de este tipo ocurren con bastante frecuencia en muchas organizaciones que no tienen un control adecuado sobre sus recursos privilegiados, ya sean dispositivos de red, acceso a sistemas, sistemas de correo electrónico o cualquier tipo de autorización. A medida que los recursos de la empresa aumentan, también lo hace la complejidad de mantener un control sobre las contraseñas y su adecuada rotación.

El manejo inadecuado de los recursos privilegiados representa un riesgo de seguridad significativo para la organización, por los peligros de exposición que conlleva. 
No debemos poner en riesgo nuestros activos digitales utilizando técnicas como estas: 

• Post-its en el monitor o escritorio.
• Documentos de texto.
• Hojas de cálculo.
• Memoria del usuario.

¿Por qué es importante tener una bóveda de contraseñas?

Una bóveda o administrador de contraseñas es un programa que almacena de manera segura y cifrada los nombres de usuario y contraseñas para múltiples aplicaciones. Esto significa que solo necesitas recordar una única clave, y el sistema se encarga del resto. Dependiendo del software que elijas, podés obtener beneficios  tales como:

• Contraseñas más robustas: Al no tener que recordar todas las contraseñas, podés optar por claves extremadamente largas y complejas.
• Menos riesgo de exposición: Al centralizar todas las contraseñas en un solo lugar, se disminuye el riesgo de que se expongan en notas adhesivas, documentos de texto o hojas de cálculo.
• Eliminación de dependencia del personal: Se reduce el riesgo de que una persona sea el “dueño” de las contraseñas, evitando el uso de claves fácilmente descifrables relacionadas con datos personales
• Rotación de contraseñas: La rotación de contraseñas se simplifica, y en algunos sistemas, incluso puedes delegar esta tarea y recibir recordatorios.
• Sistema robusto: Aunque ningún sistema es completamente invulnerable, los fabricantes de estas aplicaciones trabajan arduamente para protegerte de atacantes externos, brindándote más seguridad que si almacenas tus contraseñas de forma inadecuada.

¿Cómo elegir una bóveda de contraseñas que cumpla con nuestros requerimientos?

Existen muchas herramientas que pueden ayudarte con la gestión de contraseñas, pero es importante considerar algunos aspectos para ajustarlas a tu entorno empresarial. Aquí hay algunas preguntas que pueden guiar tu elección:

• ¿Se requiere delegación de contraseñas a usuarios específicos?
• Por ejemplo, si necesitás guardar las claves importantes de tus colaboradores o familiares, es posible que requieras visibilidad sobre ciertas contraseñas críticas.
• ¿Se requiere auditoría de acceso a las contraseñas?
• Necesitás saber cuándo se realizó un cambio, quién lo hizo y cuándo se utilizó.
• ¿Es necesario rotar las contraseñas?
• ¿Todos los usuarios podrán modificar contraseñas o solo los administradores?
• ¿Se requiere que la bóveda genere contraseñas aleatorias?

Con el crecimiento de las organizaciones, la gestión de las contraseñas se vuelve cada vez más crítica. Aquí es donde las bóvedas de contraseñas ofrecen funcionalidades adicionales más allá del simple almacenamiento, como:

• Lanzar sesiones remotas desde la consola del gestor de contraseñas.
• Grabar las sesiones remotas de los cambios o modificaciones realizados.
• Rotación automática de contraseñas.
• Pistas de auditoría.
• Delegar contraseñas a usuarios y grupos de usuarios.
• Extensión para navegadores web, para evitar acceder a la consola cada vez y no usar las claves almacenadas en tus navegadores.
• Crear grupos de recursos y usuarios para organizarlas mejor.
• Incluir un factor múltiple de autenticación, que sirve como una capa adicional de seguridad.

Si buscás un gestor empresarial, Gartner proporciona una evaluación de los mejores gestores, revisando no solo el software, sino también el cumplimiento de los procesos de la organización. Podés consultar algunos de ellos en este enlace: Gartner Password Management Tools.
Por otro lado, si buscás un organizador personal gratuito, hay proyectos de código abierto como KeePass XC o KeePass2, que son aplicaciones que podés descargar y que tienen una base de datos local con todas tus credenciales.
Espero que toda esta info sea de ayuda para la toma de conciencia por parte de cada uno y de las organizaciones de saber cuidar uno de sus recursos más valiosos: su información.