Encara que les contrasenyes són la primera línia de defensa enfront dels accessos no autoritzats a la informació d’una empresa, continuen sent un dels punts més febles de la seguretat que es detecten en moltes organitzacions.
L’ús de claus senzilles, la reutilització de la mateixa contrasenya en diferents serveis o l’intercanvi de credencials entre persones de la plantilla continuen sent pràctiques habituals que incrementen considerablement el risc de patir una bretxa de seguretat.
Des de la perspectiva de la privacitat, una contrasenya no és únicament un element tècnic: forma part de les mesures de seguretat que tota organització ha d’implantar per a protegir les dades personals que tracta.
En definitiva, una adequada política de gestió de contrasenyes és una mesura essencial per a garantir la confidencialitat, integritat i disponibilitat de la informació.
Les contrasenyes com a mesura de seguretat del RGPD
L’article 32 del RGPD obliga a les persones responsables i encarregades del tractament a aplicar mesures tècniques i organitzatives apropiades per a garantir un nivell de seguretat adequat al risc.
Encara que el Reglament no estableix com ha de dissenyar-se una contrasenya, sí que exigeix que les mesures adoptades siguin proporcionals al tipus d’informació tractada i als riscos existents. Això significa que no és suficient amb assignar una clau d’accés a les persones treballadores; l’empresa ha d’implantar una política de gestió de credencials que redueixi el risc d’accessos indeguts.
En la pràctica, moltes bretxes de seguretat tenen el seu origen en el robatori o la filtració de contrasenyes. Una única credencial compromesa pot permetre l’accés a bases de dades de clients, historials mèdics, informació financera o documentació confidencial de l’organització.
L’error més freqüent: utilitzar contrasenyes febles
Un dels principals problemes detectats en les nostres labors d’auditoria és la utilització de contrasenyes fàcils d’endevinar. Claus com: “123456”, “contraseñaempresa2026” o el nom d’una persona treballadora continuen figurant entre les més utilitzades, a pesar que poden ser descobertes en pocs segons mitjançant atacs automatitzats.
El RGPD estableix que la seguretat ha de dissenyar-se tenint en compte els riscos reals existents, la qual cosa obliga a evitar credencials previsibles o fàcilment associables a la persona usuària.
Cada persona ocupada ha de disposar de la seva pròpia contrasenya
Una altra pràctica encara habitual consisteix a compartir usuaris i contrasenyes entre diverses persones treballadores. A vegades existeixen comptes genèrics per a departaments complets o fins i tot credencials comunes utilitzades per tota la plantilla.
Des del punt de vista de la seguretat de la informació, aquesta pràctica dificulta el control d’accessos i elimina la possibilitat d’identificar quina persona ha accedit a la informació o qui ha realitzat una determinada actuació sobre les dades personals.
L’assignació de credencials individuals constitueix una mesura bàsica de seguretat i facilita el compliment del principi de responsabilitat proactiva.
Cada quant temps han de canviar-se les contrasenyes?
Durant anys es va recomanar modificar les contrasenyes periòdicament cada poc temps. No obstant això, les recomanacions més recents d’organismes especialitzats, entre ells INCIBE, han evolucionat cap a un enfocament basat en el risc.
Obligar a canviar constantment les contrasenyes pot provocar l’efecte contrari al desitjat: les persones usuàries acaben creant claus més senzilles o anotant-les en llocs insegurs.
Actualment resulta més recomanable exigir el canvi quan existeixi algun indici de compromís, després d’una bretxa de seguretat, quan una persona ocupada abandoni l’organització o quan la contrasenya deixi de complir els criteris de seguretat establerts per l’empresa.
L’autenticació multifactor: una protecció addicional
Cada vegada més organitzacions incorporen sistemes d’autenticació multifactor (MFA o 2FA). Aquest mecanisme afegeix una segona verificació a més de la contrasenya, com pot ser:
- Un codi generat per una aplicació.
- Una clau de seguretat física.
- Una notificació en un dispositiu corporatiu.
Encara que una persona ciberdelinqüent aconsegueixi obtenir la contrasenya, continuarà necessitant superar aquest segon factor per a accedir a la informació.
Aquesta mesura resulta especialment recomanable per a accessos remots, serveis en el núvol, correu electrònic corporatiu i aplicacions que continguin dades especialment sensibles.
És recomanable utilitzar gestors de contrasenyes?
L’ús de gestors de contrasenyes permet generar claus llargues, úniques i aleatòries per a cada servei sense necessitat de memoritzar-les. A més, redueixen considerablement la reutilització de contrasenyes, una de les principals causes d’accessos no autoritzats.
Això sí, la contrasenya mestra que protegeix el gestor haurà de reunir un elevat nivell de seguretat i, sempre que sigui possible, complementar-se amb autenticació multifactor.
La importància de formar a la plantilla
La tecnologia per si sola no garanteix la seguretat. Moltes bretxes de seguretat es produeixen perquè una persona treballadora facilita involuntàriament les seves credencials després de rebre un correu fraudulent o accedir a una pàgina web falsa.
Per això, el RGPD també exigeix adoptar mesures organitzatives, entre les quals destaca la formació del personal.
La plantilla ha de conèixer, entre altres qüestions:
- Com identificar intents de phishing.
- La prohibició de compartir contrasenyes.
- La importància de bloquejar l’equip durant les absències del lloc.
- El procediment per a comunicar un possible incident de seguretat.
Una plantilla formada constitueix una de les millors mesures preventives enfront dels atacs informàtics.
La gestió de les baixes de la plantilla
Un altre aspecte sovint oblidat és la revocació d’accessos quan finalitza la relació laboral. Les empreses han de disposar d’un procediment que permeti desactivar immediatament els comptes de la persona que cessa en l’organització, evitant accessos posteriors a informació corporativa.
Així mateix, convé revisar periòdicament els permisos assignats a cada persona usuària per a garantir que únicament pugui accedir a la informació necessària per a l’acompliment de les seves funcions, en aplicació del principi de mínim privilegi.
Una política de contrasenyes forma part del compliment normatiu
Moltes organitzacions consideren la gestió de contrasenyes com una qüestió exclusivament informàtica. No obstant això, des de l’entrada en vigor de la normativa de protecció de dades, s’ha convertit també en una obligació jurídica.
Una política adequada ha de regular aspectes com la creació de credencials robustes, l’assignació individual de persones usuàries, l’ús d’autenticació multifactor, la revocació d’accessos, la utilització de gestors de contrasenyes i la formació periòdica de la plantilla.
En definitiva, una contrasenya segura no garanteix per si sola el compliment del RGPD, però una mala gestió de les credencials pot ser l’origen d’una bretxa de seguretat amb importants conseqüències econòmiques, reputacionals i legals.
Implantar una política de contrasenyes no sols redueix el risc d’atacs, sinó que constitueix una mostra clara del compromís de l’organització amb la protecció de les dades personals i la ciberseguretat.
