Usar Contraseñas Únicas
Descripción
Usar contraseñas únicas para todos los activos empresariales. La implementación de mejores prácticas incluye, como mínimo, una contraseña de 8 caracteres para cuentas que usan MFA y una contraseña de 14 caracteres para cuentas que no usan MFA.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gestión de acceso privilegiado para asegurar, gestionar y auditar credenciales y sesiones privilegiadas
CyberArk · Suscripción por usuario
Gestión de acceso privilegiado con gestión de privilegios de endpoint, acceso remoto seguro y bóveda de contraseñas
BeyondTrust · Suscripción por usuario
Gestión de acceso privilegiado con bóveda de contraseñas, grabación de sesiones y elevación de privilegios justo a tiempo
Delinea · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Ataques de Relleno de Credenciales Usando Contraseñas Filtradas
ConfidencialidadLos atacantes usan credenciales filtradas de brechas de terceros para acceder a cuentas empresariales donde los empleados reutilizaron la misma contraseña en sistemas personales y laborales.
Rociado de Contraseñas con Contraseñas Débiles Comunes
ConfidencialidadLos atacantes realizan ataques de rociado de contraseñas usando contraseñas comunes como 'Spring2026!' que cumplen reglas de complejidad básicas pero son predecibles, comprometiendo múltiples cuentas simultáneamente.
Descifrado de Contraseñas Fuera de Línea de Hashes Robados
ConfidencialidadLos atacantes que obtienen hashes de contraseñas descifran contraseñas cortas o simples rápidamente usando fuerza bruta acelerada por GPU o tablas rainbow, obteniendo acceso a cuentas con contraseñas débiles.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Contraseñas Débiles o Reutilizadas en Cuentas Empresariales
Sin requisitos de contraseñas únicas y aplicación de longitud mínima, los usuarios eligen contraseñas débiles, predecibles o previamente comprometidas que son fácilmente adivinadas o descifradas.
Sin Mecanismo de Aplicación de Política de Contraseñas
Sin controles técnicos que apliquen requisitos de longitud y unicidad de contraseñas, los usuarios optan por las contraseñas más cortas, simples y memorables posibles.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Técnico | Estado de inscripción de MFA y configuración de aplicación | Revisado mensualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |