Plantilla de política de contraseñas para equipos: marco listo para usar

El costo promedio de una brecha por credenciales comprometidas es de $4.88 millones (IBM 2024). Una política formal reduce este riesgo con expectativas claras.

Esta plantilla se basa en NIST 800-63B y PCI DSS v4.0.

Está diseñada para equipos de 5 a 500 personas con acceso a datos de clientes, financieros o propiedad intelectual.

Contraseñas de al menos 16 caracteres generadas por el generador del gestor. No se permiten contraseñas creadas por humanos para cuentas laborales.

Los sistemas deben aceptar hasta 64 caracteres y todos los caracteres Unicode. Las contraseñas se verifican contra la base HIBP.

La contraseña maestra debe ser una frase de al menos 6 palabras aleatorias.

Todos deben usar el gestor aprobado con cifrado AES-256 o XChaCha20 y arquitectura zero-knowledge.

Opciones recomendadas: 1Password Business, Bitwarden Teams, Dashlane Business.

Cada miembro genera contraseñas únicas de mínimo 16 caracteres. La reutilización está prohibida.

MFA obligatorio para todas las cuentas laborales sin excepciones. Debe habilitarse dentro de 24 horas de creación.

Métodos aprobados por prioridad: FIDO2/WebAuthn (YubiKey, Titan); TOTP (Google Authenticator, Authy); Push del gestor; SMS (solo si no hay alternativa).

Empleados con acceso a producción deben usar llaves de hardware. La organización proporciona dos llaves por empleado.

Cuentas estándar: NO se rotan por calendario (NIST 800-63B). Solo se cambian ante evidencia de compromiso.

Cuentas administrativas: rotación cada 180 días y ante sospecha de compromiso. Mínimo 24 caracteres.

Cuentas de servicio y API: rotación cada 90 días vía gestión de secretos (HashiCorp Vault, AWS Secrets Manager).

Al salir un empleado: todas las credenciales rotadas o revocadas en 4 horas.

Inmediato (30 min): deshabilitar cuenta, rotar credenciales, revisar logs.

Corto plazo (24h): determinar alcance, revisar actividad 30 días, rotar cuentas con contraseña reutilizada, notificar.

Post-incidente (7 días): análisis de causa raíz, actualizar política, capacitación dirigida, documentar.

Capacitación en la primera semana y anualmente. Cubre: uso del gestor, creación de frases, detección de phishing, manejo de MFA, reporte de incidentes.

Auditorías trimestrales del panel de salud del gestor. Métricas: unicidad, longitud, filtraciones, adopción MFA.

Violaciones: primera — capacitación adicional; segunda — amonestación formal; tercera — acceso restringido.

Obtener apoyo ejecutivo presentando el costo de brechas ($4.88M) vs suscripción al gestor.

Elegir y desplegar el gestor antes de anunciar la política. Preconfigurar bóvedas, importar credenciales.

Anunciar con período de gracia (30 días). Sesiones de ayuda con soporte IT.

Revisar y actualizar anualmente.