Cómo establecer contraseñas seguras en tu empresa

Una política de contraseñas segura en 2026 se basa en tres decisiones: exigir longitud en lugar de complejidad artificial, comprobar cada contraseña contra listas de credenciales filtradas y no forzar cambios periódicos salvo que haya indicios de compromiso. A esto se suma el doble factor en todos los accesos externos y un gestor corporativo. Es el modelo que recoge el estándar NIST SP 800-63B-4.

Puntos clave

• La longitud manda. El estándar de referencia recomienda un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación, y permite hasta 64.
• La caducidad periódica ha dejado de ser una buena práctica. NIST SP 800-63B-4 establece que solo debe forzarse el cambio cuando existe evidencia de que la credencial se ha visto comprometida.
• Las reglas de composición obligatoria (una mayúscula, un número, un símbolo) están desaconsejadas porque generan contraseñas predecibles del tipo Empresa2026!.
• El cribado contra listas de contraseñas filtradas es hoy el control con mejor relación coste-eficacia de toda la política.
• La contraseña sola no basta. El abuso de credenciales aparece en el 39 % de las brechas analizadas por el informe DBIR 2026 de Verizon.
• Una política sin medios técnicos no se cumple. Sin gestor corporativo y sin configuración forzada desde el directorio, la política es un documento que nadie aplica.

Qué es una política de contraseñas y por qué necesitas una

Una política de contraseñas es el conjunto de reglas corporativas que define cómo se crean, almacenan, comparten, renuevan y revocan las credenciales de acceso de una organización. No es un consejo dirigido a cada empleado: es una norma interna que se aplica de forma técnica desde el directorio de identidades y que se puede auditar.

La diferencia importa. Cuando cada persona decide su propio criterio, la seguridad de la empresa acaba dependiendo de la contraseña más débil de toda la plantilla. Cuando existe una política aplicada técnicamente, ese suelo mínimo lo fija la organización.

Una política de contraseñas bien planteada te permite:

• Fijar un nivel mínimo homogéneo en todos los sistemas, incluidos los que no gestiona IT directamente.
• Demostrar diligencia ante terceros. Clientes, aseguradoras y auditores preguntan por ella en cuestionarios de seguridad y licitaciones.
• Reducir la carga del servicio de soporte, porque desaparecen los restablecimientos masivos asociados a caducidades trimestrales.
• Construir cultura de seguridad, que es el objetivo de fondo: que el equipo entienda por qué se le pide lo que se le pide.

Por qué las credenciales siguen siendo un objetivo prioritario

El informe Data Breach Investigations Report (DBIR) 2026 de Verizon, publicado el 19 de mayo de 2026 sobre incidentes ocurridos entre noviembre de 2024 y octubre de 2025, sitúa la explotación de vulnerabilidades como primer vector de entrada, con un 31 % de las brechas. El abuso de credenciales cae al 13 % como vector inicial, pero aparece en el 39 % de las brechas cuando se analiza la cadena completa del ataque: es la técnica más presente del conjunto de datos.

La lectura para un responsable de IT es directa: los atacantes han cambiado por dónde entran, pero no lo que buscan una vez dentro. Una credencial válida convierte a un intruso en un usuario aparentemente legítimo, y eso complica enormemente su detección.

Los cuatro ataques que debes conocer

Phishing. El atacante suplanta a un remitente de confianza para que la víctima introduzca sus credenciales en una web falsa. En el DBIR 2026 aparece como vector inicial en el 16 % de las brechas.

Credential stuffing (relleno de credenciales). El atacante prueba de forma automatizada combinaciones de usuario y contraseña filtradas en brechas de terceros. Funciona por una sola razón: la reutilización de contraseñas entre servicios personales y corporativos.

Password spraying (pulverización de contraseñas). En lugar de probar miles de contraseñas contra una cuenta —lo que dispararía el bloqueo—, el atacante prueba una contraseña muy común contra miles de cuentas. Basta con que una persona de la organización use Madrid2026! para que el ataque tenga éxito.

Fuerza bruta. Prueba sistemática de combinaciones. Es el único de los cuatro que la longitud de la contraseña neutraliza por sí sola, y por eso el estándar ha desplazado el foco hacia ella.

El eslabón invisible: credenciales que ya están filtradas

Existe una categoría de malware, los infostealers, cuyo único propósito es extraer las contraseñas almacenadas en el navegador de un equipo infectado, incluidos los personales que se usan para trabajar. Esas credenciales acaban en mercados clandestinos.

La consecuencia operativa: una contraseña puede cumplir todos los requisitos de tu política y estar comprometida desde hace meses. Por eso ninguna política moderna se sostiene sin un mecanismo de comprobación contra credenciales filtradas y sin capacidad de detección de accesos anómalos.

Qué ha cambiado en las reglas de contraseñas

El estándar de referencia internacional en autenticación es la publicación NIST SP 800-63B, del Instituto Nacional de Estándares y Tecnología de Estados Unidos. Su revisión 4 (NIST SP 800-63B-4) se publicó en julio de 2025 y sustituyó íntegramente a la versión anterior, retirada el 1 de agosto de 2025. Los cambios afectan de lleno a lo que la mayoría de las empresas españolas tiene configurado hoy en su directorio.

Longitud por encima de complejidad

La revisión 4 eleva el mínimo recomendado a 15 caracteres cuando la contraseña actúa como único factor de autenticación, y fija un máximo admisible de 64 para permitir frases de paso. Además, prohíbe imponer reglas arbitrarias de composición: exigir obligatoriamente mayúsculas, números y símbolos pasó de estar desaconsejado a estar vetado.

El motivo es empírico. Cuando obligas a incluir un símbolo, la gente añade una exclamación al final. Cuando obligas a una mayúscula, la pone en la primera letra. El resultado es una contraseña que parece compleja para un humano y resulta predecible para un programa de descifrado.

Una frase de paso como mesa-verde-cuatro-relojes tiene 25 caracteres, se recuerda sin esfuerzo y resiste mucho mejor un ataque de fuerza bruta que T1g@s!.

¿Hay que forzar el cambio periódico de contraseña?

No. NIST SP 800-63B-4 elimina la posibilidad de exigir rotación periódica y establece que el cambio solo debe forzarse cuando existe evidencia de compromiso de la credencial.

La razón vuelve a ser el comportamiento real de las personas: ante un cambio obligatorio cada 90 días, los usuarios aplican modificaciones incrementales predecibles (Verano2026, Otoño2026) y las apuntan en algún sitio. La caducidad genera fricción, satura al servicio de soporte y no aporta la protección que se le presuponía.

Conviene señalar un matiz para el mercado español. Buena parte del material divulgativo publicado por INCIBE para pymes sigue recogiendo el modelo clásico —ocho caracteres, combinación obligatoria de tipos y cambio periódico— [VERIFICAR: comprobar si INCIBE ha actualizado sus guías de política de contraseñas]. Si tu organización trabaja con marcos que exigen expresamente caducidad, documenta la divergencia y justifícala con controles compensatorios: cribado contra listas de filtraciones y doble factor.

Cribado contra listas de contraseñas filtradas

La revisión 4 convierte en requisito la comprobación de las contraseñas contra listas de credenciales comprometidas, y no solo en el momento de crearlas. Es el control que sustituye funcionalmente a la caducidad: en lugar de cambiar la contraseña cada tres meses «por si acaso», la cambias cuando hay un motivo real.

En la práctica se implementa con la protección de contraseñas del proveedor de identidad, con listas propias de términos prohibidos —el nombre de la empresa, sus marcas, sus sedes— o con servicios de vigilancia de credenciales filtradas.

Cómo debe ser una contraseña segura en tu empresa

Del artículo original conviene conservar íntegro un principio: nunca reutilices la misma contraseña, ni una variación mínima de ella, en varios servicios. Sigue siendo la regla individual con más impacto, y es la que hace posible el credential stuffing.

La contraseña sola ya no basta: MFA y autenticación resistente al phishing

La autenticación multifactor (MFA, por sus siglas en inglés) exige combinar al menos dos elementos de naturaleza distinta: algo que sabes (la contraseña), algo que tienes (el móvil, una llave física) y algo que eres (huella, rostro). Es la medida que convierte una credencial robada en un problema contenible.

Es también un requisito normativo en España. El Esquema Nacional de Seguridad (Real Decreto 311/2022) regula los mecanismos de autenticación en su medida op.acc.6 y exige doble factor para los accesos que se producen desde zonas no controladas, mientras que el uso de contraseña como factor único queda limitado a los accesos desde zonas controladas en su refuerzo más básico.

¿El doble factor por SMS es suficiente?

Es mejor que nada, pero es el escalón más bajo. El código por SMS puede interceptarse mediante duplicado fraudulento de tarjeta SIM y, sobre todo, puede pedirse a la víctima en una web de phishing en tiempo real. NIST SP 800-63B-4 retiró el SMS de los métodos que satisfacen el nivel de garantía AAL2.

El orden de preferencia práctico es: llaves de seguridad o passkeys (resistentes al phishing) > aplicación de autenticación con verificación de número > notificación push simple > SMS.

Passkeys: qué son y cuándo empezar

Una passkey es una credencial criptográfica que sustituye a la contraseña: se guarda en el dispositivo o en el llavero del sistema operativo y se desbloquea con huella, rostro o PIN. Nunca viaja por la red un secreto reutilizable, y por eso el phishing clásico deja de funcionar: no hay nada que teclear en una web falsa.

NIST SP 800-63B-4 ya las reconoce formalmente, situando las passkeys sincronizadas en el nivel AAL2 y las vinculadas a dispositivo en AAL3.

Recomendación realista para una empresa mediana: no plantees una migración total. Empieza por los perfiles de mayor riesgo —administradores de sistemas, dirección financiera, dirección general— y extiéndelo después. La contraseña seguirá conviviendo con las passkeys durante años en aplicaciones heredadas.

Gestor de contraseñas corporativo: cómo elegirlo e implantarlo

Pedirle a alguien que use 30 contraseñas largas, únicas y distintas sin darle una herramienta es pedirle que las apunte. El gestor de contraseñas no es un extra: es la condición que hace aplicable la política.

Criterios de elección para una empresa mediana:

1. Cifrado de conocimiento cero, de modo que el proveedor no pueda descifrar el contenido de las bóvedas.
2. Consola de administración con bóvedas compartidas por departamento, altas y bajas centralizadas y visibilidad de contraseñas débiles o reutilizadas.
3. Integración con el proveedor de identidad (inicio de sesión único y aprovisionamiento automático de usuarios).
4. Despliegue gestionable por directiva de grupo o MDM, no instalación manual usuario a usuario.
5. Segundo factor sobre la propia bóveda, preferiblemente con llave física para las cuentas de administración.

Los tres errores de despliegue más habituales: dejar la adopción como opcional, no migrar las contraseñas existentes durante el despliegue —lo que perpetúa el Excel paralelo— y olvidar el procedimiento de recuperación cuando alguien pierde el acceso a su bóveda.

El punto ciego: cuentas privilegiadas, de servicio y de proveedores

Las políticas suelen escribirse pensando en el personal, pero las credenciales que más daño causan son otras:

• Cuentas de administrador local y de dominio, que permiten movimiento lateral por toda la red.
• Cuentas de servicio, asociadas a aplicaciones y tareas programadas. Suelen tener contraseñas antiguas, sin caducidad y documentadas en algún archivo compartido.
• Cuentas genéricas compartidas por un departamento, en las que se pierde toda trazabilidad de quién hizo qué.
• Accesos de proveedores y mantenedores externos. En el DBIR 2026, el compromiso a través de terceros aparece en el 48 % de las brechas.

Estas cuentas necesitan un tratamiento propio: contraseñas largas generadas aleatoriamente, custodia en bóveda con registro de uso, revisión de accesos documentada al menos semestralmente y baja inmediata al finalizar cada contrato. Una prueba de intrusión periódica es la forma más fiable de comprobar si esas cuentas están realmente controladas o solo se presume que lo están.

Cómo redactar tu política de contraseñas paso a paso

1. Define el alcance. Inventaría qué sistemas entran: directorio corporativo, aplicaciones en la nube, ERP, VPN, equipos de red, entornos de desarrollo.
2. Fija los requisitos de la contraseña. Longitud mínima, longitud máxima admitida, ausencia de reglas de composición, bloqueo de términos corporativos y de contraseñas filtradas.
3. Establece dónde es obligatorio el doble factor. Como mínimo: todo acceso desde fuera de la red corporativa y todas las cuentas con privilegios.
4. Designa el gestor de contraseñas corporativo y prohíbe expresamente el almacenamiento en navegador, hojas de cálculo, notas o correo.
5. Regula el ciclo de vida. Contraseña inicial de un solo uso, cambio obligatorio en el primer acceso, procedimiento de recuperación verificado y revocación en menos de 24 horas ante una baja.
6. Define las reglas para terceros y cuentas de servicio, con responsable asignado a cada una.
7. Determina qué hacer ante un compromiso: quién se avisa, en qué plazo se rota la credencial y cómo se documenta.
8. Fija la revisión. Una revisión anual y otra ante cualquier cambio normativo o incidente relevante.

Cómo aplicarla técnicamente

Una política que no se configura no existe. Los puntos de aplicación habituales:

• Microsoft Entra ID: directivas de contraseña, protección de contraseñas con lista de términos prohibidos personalizada, acceso condicional para exigir MFA por aplicación, ubicación o riesgo de sesión.
• Active Directory local: directiva de dominio predeterminada y directivas de contraseña específicas para grupos privilegiados, con la longitud mínima ajustada y la caducidad máxima revisada.
• Google Workspace: requisitos de longitud, reutilización, verificación en dos pasos obligatoria e inscripción forzada de llaves de seguridad para unidades organizativas concretas.
• Aplicaciones sin integración: el objetivo debe ser reducirlas mediante inicio de sesión único. Lo que no pasa por el proveedor de identidad no se puede gobernar.

Errores frecuentes al implantar una política de contraseñas

• Publicarla y no configurarla. El documento existe, el directorio sigue con los valores de fábrica.
• Aplicarla solo a las personas. Cuentas de servicio y de administración quedan fuera del alcance.
• Endurecer sin dar herramientas. Exigir 15 caracteres únicos sin desplegar un gestor garantiza el incumplimiento.
• Confundir MFA con MFA robusto. Tener doble factor por SMS en accesos críticos da una sensación de seguridad que el phishing moderno desmonta.
• No medir. Sin indicadores, nadie sabe si la política funciona.
• Olvidar la comunicación. Si eliminas la caducidad sin explicar por qué, el equipo interpretará que se ha relajado la seguridad.

[DATO A APORTAR POR EL CLIENTE: añadir aquí uno o dos ejemplos reales observados por el equipo de Cylum en evaluaciones de clientes, sin identificar a la organización. Es la sección con mayor potencial de señal de experiencia para E-E-A-T.]

Qué exigen NIS2, el ENS, la ISO 27001 y el RGPD

Directiva NIS2 (Directiva UE 2022/2555). Su artículo 21 exige medidas de gestión de riesgos que incluyen políticas de control de acceso y el uso de autenticación multifactor. En España la transposición no está cerrada: se ha producido de forma parcial mediante el Real Decreto-ley 7/2025 y la Ley de Coordinación y Gobernanza de la Ciberseguridad continúa en tramitación parlamentaria [VERIFICAR: confirmar el estado de la tramitación en la fecha de publicación]. Las obligaciones de fondo, sin embargo, proceden de la propia directiva y son estables desde su aprobación.

Esquema Nacional de Seguridad (Real Decreto 311/2022). Obligatorio para el sector público y para los proveedores que le prestan servicio. Regula los mecanismos de autenticación en la medida op.acc.6, con refuerzos crecientes según la categoría del sistema.

ISO/IEC 27001:2022. El control A.5.17 cubre expresamente la información de autenticación: asignación, gestión y responsabilidades de los usuarios.

RGPD. El artículo 32 exige medidas técnicas apropiadas al riesgo. Una política de accesos deficiente es un argumento de peso en un procedimiento sancionador tras una brecha de datos personales.

Cómo saber si tu política funciona: 5 métricas

1. Cobertura de MFA: porcentaje de cuentas activas con segundo factor, desglosado por tipo de factor.
2. Cuentas con credenciales detectadas en filtraciones en los últimos 90 días.
3. Adopción del gestor: porcentaje de plantilla con bóveda activa y número medio de credenciales almacenadas.
4. Cuentas privilegiadas inventariadas y bajo custodia, frente al total estimado.
5. Tiempo medio de revocación de accesos desde la baja efectiva de una persona o un proveedor.

Estas cifras convierten la ciberseguridad en algo reportable a dirección, que es donde una política deja de ser un asunto de IT y pasa a ser gobierno.

Preguntas frecuentes sobre contraseñas seguras en la empresa

¿Cuántos caracteres debe tener una contraseña segura en 2026? El estándar NIST SP 800-63B-4 admite un mínimo de 8 caracteres, pero recomienda 15 cuando la contraseña es el único factor de autenticación y permite hasta 64. Para una empresa, un mínimo de 12 caracteres con doble factor obligatorio es un equilibrio razonable entre seguridad y usabilidad.

¿Hay que obligar a cambiar la contraseña cada 90 días? No. NIST SP 800-63B-4 establece que no debe exigirse rotación periódica y que el cambio solo se fuerza cuando hay evidencia de compromiso. La caducidad programada empuja a los usuarios a variaciones predecibles del tipo Verano2026, que resultan más fáciles de adivinar que la contraseña original.

¿Es seguro usar un gestor de contraseñas en una empresa? Sí, y es la forma práctica de cumplir una política exigente. Los gestores corporativos usan cifrado de conocimiento cero: el proveedor no puede leer el contenido de las bóvedas. El riesgo real está en la contraseña maestra, que debe ser larga y estar protegida con un segundo factor, preferiblemente una llave física.

¿Qué exige NIS2 sobre contraseñas y accesos? NIS2 no fija un número de caracteres. Su artículo 21 obliga a las entidades esenciales e importantes a implantar políticas de control de acceso, gestión de activos y uso de autenticación multifactor, y responsabiliza directamente al órgano de dirección de aprobar y supervisar esas medidas.

¿El doble factor por SMS es suficiente? Es preferible a no tener segundo factor, pero es el método más débil: puede interceptarse mediante duplicado fraudulento de SIM o solicitarse a la víctima en una web de phishing en tiempo real. NIST SP 800-63B-4 lo retiró de los métodos válidos para el nivel AAL2. Para cuentas privilegiadas, usa llaves de seguridad o passkeys.

¿Las passkeys sustituyen ya a las contraseñas? En los servicios que las soportan, sí: eliminan el secreto reutilizable y neutralizan el phishing clásico. Pero la convivencia con contraseñas será larga por las aplicaciones heredadas. Lo sensato es empezar por administradores de sistemas y perfiles directivos, y ampliar el alcance de forma progresiva.

Fuentes

• NIST, Special Publication 800-63B-4: Digital Identity Guidelines. Authentication and Authenticator Management, julio de 2025. Sustituye a SP 800-63B, retirada el 1 de agosto de 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final
• NIST, nota de publicación de la revisión 4 de SP 800-63, agosto de 2025. https://csrc.nist.gov/News/2025/nist-revises-digitial-identity-guidelines-sp-800-6
• Verizon, 2026 Data Breach Investigations Report, publicado el 19 de mayo de 2026 (datos de incidentes entre el 1 de noviembre de 2024 y el 31 de octubre de 2025). [VERIFICAR: enlazar a la página oficial del informe en verizon.com antes de publicar]
• Gobierno de España, Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, BOE-A-2022-7191. https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191
• Centro Criptológico Nacional, preguntas frecuentes sobre el ENS y la medida op.acc.6. https://ens.ccn.cni.es/es/que-es-el-ens/faq
• INCIBE, Desempolvando políticas de seguridad: las contraseñas. https://www.incibe.es/empresas/blog/desempolvando-politicas-seguridad-las-contrasenas
• Directiva (UE) 2022/2555 (NIS2), artículo 21, y Real Decreto-ley 7/2025 (transposición parcial en España).