Mejores prácticas de contraseñas para industrias reguladas: una guía práctica de seguridad

Las mejores prácticas con las contraseñas se resumen en una lista breve y casi aburrida que realmente funciona: utilice un gestor de contraseñas para generar contraseñas largas y únicas para cada cuenta, active la autenticación multifactor (MFA) y nunca reutilice la misma contraseña en distintos servicios. Para los equipos de los sectores sanitario, jurídico y financiero, el mayor riesgo rara vez es una contraseña demasiado sencilla. Es una contraseña reutilizada o robada. Hoy la mayoría de las vulneraciones de cuentas comienzan con credenciales que el atacante ya tiene, no con una que haya adivinado, por lo que el verdadero objetivo es eliminar la reutilización y añadir un segundo factor.

‍

Puntos clave

• Un gestor de contraseñas junto con la MFA bloquea la gran mayoría de los ataques automatizados de apropiación de cuentas. Esa combinación, y no memorizar cadenas ingeniosas, es la base de la seguridad de las contraseñas.
• La reutilización es la principal vulnerabilidad. Las investigaciones del sector coinciden en que la mayoría de las personas reutilizan sus contraseñas, de modo que una sola filtración puede propagarse a todas las cuentas que compartan esa contraseña.
• Las contraseñas débiles suelen ser predecibles, no aleatorias. Los cambios estacionales, los nombres de mascotas y los nombres de empresas son justo lo primero que prueban los atacantes.
• La amenaza ha pasado de adivinar contraseñas a robarlas, por eso la unicidad y la MFA importan más que la mera complejidad de los caracteres.
• Las credenciales laborales y personales nunca deben mezclarse. Mantenerlas separadas limita el daño cuando cualquiera de las dos se ve comprometida.

‍

¿Qué son las mejores prácticas con las contraseñas?

Las mejores prácticas con las contraseñas son el conjunto de hábitos y controles que evitan que las credenciales de una cuenta sean adivinadas, descifradas, reutilizadas o robadas. Abarcan cómo se crea una contraseña (longitud y aleatoriedad), cómo se almacena (en un gestor de contraseñas, y no en una nota adhesiva, una hoja de cálculo o el navegador), cómo se protege (MFA) y cómo se comparte (solo a través de canales seguros). Las directrices modernas de los organismos de normalización han dejado de imponer reglas complicadas de caracteres y cambios frecuentes, y se centran en la longitud, la unicidad y un segundo factor sólido.

‍

Por qué la seguridad de las contraseñas importa más que nunca

El manual de los atacantes ha cambiado. Hace una década, la principal preocupación era que alguien descifrara por fuerza bruta una contraseña débil probando muchas combinaciones. Hoy la mayor amenaza es el robo de credenciales: los atacantes obtienen contraseñas válidas mediante filtraciones de datos, phishing y malware infostealer (software que recopila discretamente las contraseñas guardadas y las sesiones iniciadas desde un dispositivo infectado) y, después, simplemente inician sesión. Según el Verizon Data Breach Investigations Report, las credenciales robadas son una de las vías más habituales por las que los atacantes consiguen su acceso inicial, e IBM X-Force ha informado de que una gran proporción de las intrusiones utiliza credenciales válidas robadas en lugar de cualquier exploit.

‍

Esto importa por una razón práctica. Si un atacante puede comprar o robar una contraseña que ya funciona, la fortaleza de esa contraseña deja de protegerle. Lo que le protege es que la contraseña sea única (de modo que no pueda abrir ninguna otra cuenta) y que un segundo factor se interponga entre la contraseña robada y la cuenta. Para los equipos regulados que manejan registros confidenciales, ese cambio es el argumento central de las prácticas que se describen a continuación.

‍

¿Qué hace que una contraseña sea segura?

Tres propiedades hacen que una contraseña sea segura: longitud, aleatoriedad y unicidad. La longitud es la más importante. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), en la Publicación Especial 800-63B-4, recomienda un mínimo de 15 caracteres para una contraseña utilizada como único factor (y admite longitudes de al menos 64), mientras que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) recomienda procurar al menos 16 caracteres. La aleatoriedad implica evitar palabras del diccionario y datos personales. La unicidad implica una contraseña distinta para cada cuenta.

‍

Una alternativa útil a una cadena aleatoria es una frase de contraseña: de cuatro a siete palabras sin relación entre sí unidas en una sola, que es larga, difícil de descifrar y mucho más fácil de recordar. CISA ofrece ejemplos como un puñado de palabras sin relación combinadas en una sola frase.

‍

‍

Esta es la diferencia en la práctica:

‍

‍

Cómo crear una contraseña segura

El método fiable más rápido es dejar que un gestor de contraseñas genere una por usted. Cuando necesite crear una manualmente (por ejemplo, la contraseña maestra que desbloquea su gestor), elabore una frase de contraseña:

‍

1. Elija entre cuatro y siete palabras aleatorias y sin relación entre sí. Evite cualquier cosa vinculada a usted, a su empresa o a una fecha.
2. Combínelas en una sola frase. Puede conservar o eliminar los espacios.
3. Aumente la longitud en lugar de la complejidad. Una frase más larga es mejor que una cadena corta con símbolos.
4. Asegúrese de usarla en un único lugar y en ningún otro.
5. No la almacene nunca en texto sin cifrar. Memorice la contraseña maestra y deje que el gestor guarde el resto.

‍

Evite por completo los elementos predecibles. Los atacantes recurren a ataques de diccionario (adivinación automatizada mediante listas de palabras comunes y contraseñas conocidas) y al credential stuffing (reutilización de pares de nombre de usuario y contraseña filtrados en otras brechas). Las contraseñas comunes que han sido filtradas, como 123456, admin y password (identificadas con regularidad en las investigaciones de NordPass), caen al instante, y lo mismo ocurre con elecciones contextuales como el nombre de una mascota, el de la empresa o una estación del año con el año.

‍

Deje de reutilizar contraseñas: la medida que más importa

Si va a cambiar un solo hábito, que sea este. Las encuestas citadas en estudios de seguridad muestran que la mayoría de las personas reutilizan contraseñas en varias cuentas (Forbes Advisor ha publicado cifras cercanas al 78 %), y el análisis de brechas de SpyCloud ha detectado que una gran parte de las personas expuestas en brechas había reutilizado una contraseña ya expuesta. La reutilización es lo que convierte una única filtración en una reacción en cadena: un servicio vulnerado entrega al atacante la llave de su correo electrónico, y su correo es la vía de restablecimiento de todo lo demás.

‍

De aquí se derivan directamente dos reglas. Primero, utilice una contraseña por servicio, sin excepciones. Segundo, mantenga las credenciales laborales y personales completamente separadas. La contraseña de su servicio de streaming no tiene nada que hacer cerca de los sistemas de la empresa, y una contraseña de la empresa nunca debería proteger una cuenta personal. Considere la separación como un control de seguridad, no como una cuestión de etiqueta: limita el alcance del daño para que un compromiso en un ámbito no se extienda al otro.

‍

¿Qué es un gestor de contraseñas y debería usar uno?

Un gestor de contraseñas es una aplicación que genera, almacena y autocompleta sus contraseñas dentro de una bóveda cifrada. Usted recuerda una única contraseña maestra segura, y el gestor recuerda todo lo demás, incluidas contraseñas largas y aleatorias que nunca podría memorizar. Además, señala las contraseñas débiles o duplicadas para que pueda corregirlas. La CISA y la mayoría de los equipos de seguridad consideran que un gestor de contraseñas es la forma más sencilla de hacer realista el uso de contraseñas seguras y únicas en todas las cuentas.

‍

Existen dos grandes categorías. Los gestores de contraseñas personales están pensados para usuarios individuales y equipos pequeños. Las soluciones empresariales, que suelen formar parte de la gestión de accesos privilegiados (PAM, la práctica de proteger y supervisar las credenciales administrativas de alto valor), añaden control centralizado, restricciones de acceso, auditoría y inicio de sesión único (SSO, que permite a los usuarios autenticarse una sola vez para acceder a varias aplicaciones aprobadas). Una advertencia: evite depender del almacenamiento integrado de su navegador para credenciales importantes, ya que las contraseñas guardadas en el navegador pueden ser más fáciles de extraer de un dispositivo comprometido o robado que las de un gestor cifrado específico.

‍

Active la autenticación multifactor (MFA)

La autenticación multifactor (MFA) exige una segunda prueba de identidad además de su contraseña, como un código de una aplicación de autenticación, una llave de hardware o una verificación biométrica. Dado que una contraseña robada o adivinada no basta por sí sola para acceder, la MFA bloquea la gran mayoría de los ataques automatizados y masivos, y tanto la CISA como Microsoft la recomiendan como control básico.

‍

No todos los factores son iguales. Cuando sea posible, prefiera los métodos resistentes al phishing basados en los estándares FIDO2 y WebAuthn, incluidas las passkeys (claves criptográficas vinculadas a su dispositivo que sustituyen por completo la contraseña y funcionan como un método de inicio de sesión independiente, no solo como un segundo factor). Los códigos de un solo uso enviados por SMS son el factor común más débil, porque son vulnerables al SIM swapping y a los ataques al protocolo SS7, que pueden interceptar mensajes SMS a nivel de red, y tanto el NIST como la CISA desaconsejan depender de ellos cuando existen opciones más sólidas.

‍

¿Debería cambiar sus contraseñas con regularidad?

No, no según un calendario fijo, al menos no en las cuentas de usuario ordinarias. El NIST desaconseja ahora los cambios periódicos obligatorios de las contraseñas de usuario, porque la rotación forzada empuja a las personas hacia patrones predecibles (Summer2025 se convierte en Summer2026) y a anotar las contraseñas. En su lugar, cambie una contraseña cuando haya un motivo: un compromiso conocido o sospechado, una notificación de filtración o una credencial de la que ya no pueda dar cuenta. Incluso cuando esté «bastante seguro de que todo está bien», una exposición confirmada es motivo suficiente para rotarla. (Las credenciales administrativas con privilegios elevados son una excepción y a menudo se rotan de forma rutinaria.)

‍

Cómo compartir contraseñas de forma segura

A veces es realmente necesario compartir una credencial. Cuando así sea, el canal importa tanto como la contraseña. No envíe nunca una contraseña por Slack, correo electrónico o mensaje de texto, donde puede quedar en un historial con función de búsqueda, reenviarse o quedar expuesta si cualquiera de las dos cuentas se ve comprometida. Compártala en su lugar mediante la función de uso compartido seguro de un gestor de contraseñas, que mantiene la credencial cifrada y le permite revocar el acceso más adelante. Si una contraseña llega a circular por chat o correo electrónico, considérela expuesta y rótela.

‍

Mejores prácticas de contraseñas para sectores regulados

Las organizaciones sanitarias, jurídicas y financieras tienen una obligación adicional, ya que las cuentas en cuestión suelen proteger datos regulados. En el ámbito sanitario, esto incluye la información de salud protegida (PHI, datos de salud identificables individualmente). Los marcos normativos establecen expectativas que una buena higiene de las credenciales ayuda a cumplir. La Regla de Seguridad de HIPAA, por ejemplo, exige controles de acceso y medidas de autenticación para los sistemas que gestionan PHI, y el uso de credenciales únicas junto con MFA son formas prácticas de respaldar esos requisitos. (HIPAA también regula las relaciones con proveedores mediante un Business Associate Agreement, o BAA, el contrato que hace responsable a un proveedor de servicios de la protección de la PHI).

‍

Conviene tener presente un planteamiento: el cumplimiento normativo y la seguridad están relacionados, pero no son idénticos. Una política de contraseñas puede satisfacer técnicamente una lista de verificación obsoleta y, aun así, dejar un riesgo real, y una política que parece estricta (cambios forzados frecuentes, reglas complejas de caracteres) puede ser en la práctica más débil que otra más sencilla basada en la longitud, la unicidad, un gestor de contraseñas y MFA. El objetivo de un equipo en un sector regulado es contar con una política que sea defendible ante un auditor y, al mismo tiempo, realmente eficaz frente a la forma en que operan hoy los atacantes. Las credenciales sólidas y únicas, la MFA, el uso compartido seguro y una bóveda cifrada respaldan controles reconocidos en marcos como HIPAA, SOC 2 e ISO 27001 sin sacrificar la facilidad de uso.

‍

Preguntas frecuentes

‍

¿Cuál es el tipo de contraseña más seguro?

La contraseña más segura es una larga y aleatoria, generada y almacenada por un gestor de contraseñas, porque usted nunca tiene que recordarla ni escribirla. Para la única contraseña que debe memorizar, una frase de contraseña de entre cuatro y siete palabras sin relación entre sí le ofrece longitud y facilidad de recuerdo al mismo tiempo. En ambos casos, la contraseña debe ser exclusiva de una sola cuenta.

‍

¿Cuáles son las contraseñas más comunes que se deben evitar?

Las investigaciones sobre credenciales filtradas, como el análisis anual de NordPass, encuentran repetidamente a los mismos infractores a la cabeza: 123456, admin y password. Cualquier palabra de diccionario, un nombre o el de una mascota, el nombre de una empresa o una estación del año seguida de un año caen en la misma trampa. Son los primeros intentos que realiza un ataque automatizado, así que evítelos por completo.

‍

¿Son seguros los gestores de contraseñas?

Sí, para casi todo el mundo un gestor de contraseñas de confianza es mucho más seguro que las alternativas, que son reutilizar contraseñas, usar contraseñas débiles y las notas adhesivas. La bóveda está cifrada y solo necesita proteger una contraseña maestra sólida (idealmente una frase de contraseña) con MFA activada. Esa comodidad es también lo que hace realista tener contraseñas sólidas y únicas en decenas de cuentas.

‍

¿Qué longitud debe tener una contraseña?

Cuanto más larga, más segura. NIST recomienda un mínimo de 15 caracteres para una contraseña de un solo factor y admite longitudes de al menos 64, mientras que CISA sugiere apuntar a un mínimo de 16. Una frase de contraseña es una forma sencilla de alcanzar esa longitud sin crear algo imposible de recordar.

‍

¿Debo cambiar mis contraseñas con regularidad?

No de forma periódica en las cuentas normales. NIST desaconseja los cambios periódicos obligatorios, porque fomentan patrones predecibles. Cambie una contraseña cuando exista un motivo real, como una notificación de filtración o cualquier indicio de compromiso.

‍

¿Es seguro guardar contraseñas en el navegador?

Para las cuentas importantes, un gestor de contraseñas dedicado es más seguro que el almacenamiento integrado del navegador. Las contraseñas guardadas en el navegador pueden ser más fáciles de extraer de un dispositivo perdido, robado o infectado con malware. Utilice la opción del navegador para guardar credenciales solo en cuentas de poco valor, si es que lo hace.

‍

¿Cómo debo compartir una contraseña con un compañero de trabajo?

Utilice la función de uso compartido seguro de un gestor de contraseñas, que mantiene la credencial cifrada y le permite revocar el acceso más adelante. No la envíe por Slack, correo electrónico ni mensaje de texto. Si una contraseña ha circulado alguna vez por alguno de esos canales, cámbiela.