Ayude a sus empleados a hacer de las contraseñas seguras un hábito
«
Use una contraseña segura» es el “use protector solar” del mundo digital: Todos saben que es un buen consejo, pero pocas personas realmente lo siguen. La verdad es que la seguridad de las contraseñas sigue siendo una preocupación común y subestimada. Y para las empresas, uno de los mayores desafíos para reforzar su seguridad es lograr que los empleados practiquen una mejor higiene de contraseñas.
He aquí cinco recomendaciones que los gerentes y los departamentos de tecnología de la información pueden compartir con los empleados y equipos para ayudarlos a encontrar (y usar) el nivel adecuado de protección para cualquier situación.
Nivel uno: La contraseña desechable
Una contraseña desechable es aquella que se utiliza con una dirección de correo electrónico desechable. Si alguna vez ha creado una dirección de correo electrónico para usar una prueba gratuita, la idea es básicamente la misma. Estas cuentas de un solo uso son particularmente útiles si sabe que durante el resto de la vida útil de esa cuenta estará suscrito a un aluvión interminable de correos electrónicos de ventas no leídos. Las contraseñas sin importancia para estas cuentas triviales proporcionan protección en su insignificancia. Si estas contraseñas son robadas o estas cuentas son hackeadas, no se pierde información crítica ni contraseñas. Este robo no pondrá en riesgo ninguna cuenta o contraseña crítica.
Para estas cuentas, podría usar una contraseña tan simple como una palabra, algunas letras y un carácter especial. Algo así como “¡Frodo123!” Pero nunca vuelva a usar esta contraseña con ninguna otra cuenta de correo electrónico. Reutilizar una contraseña simple en múltiples plataformas puede ser el beso de la muerte.
Nivel dos: Una frase de contraseña
Las contraseñas que tienen cuatro o cinco caracteres, independientemente de la combinación de números, letras o símbolos, son igualmente vulnerables. Es por eso que, los expertos ahora recomiendan al menos 12 caracteres para una contraseña. El problema es que es difícil recordar un montón de contraseñas largas y complicadas. Aquí es donde entran las frases de contraseña.
Una frase de contraseña es más larga que una simple contraseña de una palabra, pero aun así es fácil de recordar. La mayoría de nosotros deberíamos usar frases de contraseña en lugar de palabras para aumentar la longitud de los caracteres, pero no deberían ser algo tan simple como las letras de las canciones (los hackers profesionales conocen esta estratagema desde hace años). Usar “everybreathyoutake”, “oopsididitagain” o “igottafeeling” es prácticamente pedir ser hackeado. He aquí un mejor ejemplo: “In1984VanH@lenRock$!” Aunque estas contraseñas no son el estándar de oro de una buena administración de contraseñas, son útiles para aquellos que no necesitan practicar regularmente una buena higiene de contraseñas.
Nivel tres: Una frase de contraseña que utiliza un patrón
Esta es una contraseña que se puede incorporar en diferentes plataformas, pero es justo lo suficientemente diferente como para permitir que esa contraseña no se use dos veces. Por ejemplo, si tiene varias cuentas de redes sociales, puede usar una palabra con un color (y un patrón de número/carácter único) en esas cuentas. Por ejemplo: “urRED!@7am&8pm” para Instagram, “urWHITE!@7am&8pm” para Facebook y “urBLUE!@7am&8pm” para LinkedIn.
Una advertencia: He trabajado en organizaciones que han exigido que las contraseñas se cambien cada 90 días. En este caso, he visto a personas usar las cuatro estaciones para alinearse con los tiempos de actualización requeridos. Por ejemplo: “¡Primavera2023!”, “¡Verano2023!”, “¡Otoño2023!”, “¡Invierno2023!”. Una vez más, un hacker profesional será capaz de descifrar este código en menos de un minuto. Use una combinación que sea específica para usted, y solo para usted.
Nivel cuatro: Una frase de contraseña con autenticación de dos factores
Se recomienda la autenticación de dos factores para cuentas más confidenciales, como aquellas con información bancaria, correos electrónicos de trabajo y uso compartido de archivos. Esto puede depender de un texto de confirmación, correo electrónico, biométrico o token, ya sea un control físico o un sistema de autenticación como Google Authenticator. Al incorporar la autenticación de dos factores junto con una frase de contraseña compleja, está minimizando en gran medida sus posibilidades de ser hackeado. Si bien no es perfecta, la autenticación de dos factores brinda al usuario algo que cualquier profesional de seguridad le dirá que es valioso: Lo convierte en un objetivo mucho más difícil, lo que generalmente significa que su adversario probablemente pasará a víctimas más fáciles.
Nivel cinco: Software de gestión de contraseñas con autenticación de dos factores
Si bien una frase de contraseña compleja junto con la autenticación de dos factores es la mejor manera de asegurar su información de inicio de sesión, memorizar, registrar y/o compartir esta información puede ser un problema. Por esta razón, las organizaciones que comparten información de inicio de sesión deben hacer que los empleados utilicen un software de administración de contraseñas, como 1Password o Dashlane. Aunque no es infalible, un administrador de contraseñas ayuda a los empleados que podrían practicar una higiene cibernética deficiente a evitar que los datos se filtren involuntariamente.
Las cuentas compartidas también presentan un riesgo inherente. En el momento en que comparte una contraseña con otra persona, las vulnerabilidades y la probabilidad de ser hackeado aumentan. Si va a compartir una contraseña, debe cambiarla al menos cada 90 días y tan pronto como cualquier persona con acceso a la contraseña abandone su organización. Solo asegúrese de evitar los formatos fácilmente anticipados mencionados anteriormente.
La mala gestión de contraseñas ha sido la principal causa de fugas de datos durante más de 10 años. Un millón de contraseñas son robadas cada semana. El uso de información de inicio de sesión robada es el segundo método más común de violación de datos. El 2022 Verizon Data Breach Investigations Report explica que, cuando se dirigen a empresas y organizaciones, los actores hostiles a menudo acceden a las redes a través de contraseñas débiles o robadas. De hecho, el 82% de las violaciones de seguridad que ocurren dentro de los ataques básicos a aplicaciones web se logran robando credenciales como contraseñas.
Las empresas tienen que encontrar el enfoque más seguro que los empleados realmente seguirán. Al establecer políticas de seguridad de contraseñas, tenga esto en cuenta. El mejor sistema del mundo no le servirá de mucho si los empleados terminan trabajando en su contra. Entonces, aunque las empresas deben trabajar para mostrar a los empleados que estar seguros y usar una buena higiene de contraseñas no tiene por qué ser una carga, también deben tratar de lograr un equilibrio que funcione para sus empleados.
© 2025 Harvard Business School Publishing Corp. | De: hbr.org | Distribuido por: The New York Times Syndicate.
Artículo en inglés
“Use a strong password” is the “wear sunscreen” of the digital world: Everyone knows it’s good advice, but few people actually follow it. The truth is that password security remains a common and underestimated concern. And for companies, one of the biggest challenges in shoring up their security is getting employees to practice better password hygiene.
Here are five recommendations that managers and information technology departments can share with employees and teams to help them find — and use — the right level of protection for any situation.
LEVEL ONE: THE THROWAWAY PASSWORD
A throwaway password is one that is utilized with a throwaway email address. If you’ve ever created a burner email address to use a free trial, the idea is pretty much the same. These single-use accounts are particularly useful if you know you’re going to be subscribed to an endless barrage of unread sales emails for the rest of that account’s lifetime. The unimportant passwords for these trivial accounts provide protection in their insignificance. If these passwords are stolen or these accounts are hacked, no critical information or passwords are lost. This theft will not put any critical accounts or passwords at risk.
For these accounts, you could actually use a password as simple as a word, a few letters and a special character. Something like “Frodo123!” But never use this password again with any other email account. Reusing a simple password across multiple platforms can be the kiss of death.
LEVEL TWO: A PASSWORD PHRASE
Passwords that are four or five characters long, regardless of the combination of numbers, letters or symbols, are similarly vulnerable. That’s why experts now recommend at least 12 characters for a password. The problem is that it’s difficult to remember a bunch of long, complicated passwords. Here’s where password phrases come in.
A password phrase is longer in length than a simple one-word password but still easy to remember. Most of us should be using password phrases instead of words to increase character length, but they should not be something as simple as song lyrics (professional hackers have been on to this ploy for years). Using “everybreathyoutake,” “oopsididitagain” or “igottafeeling” is practically asking to be hacked. Here’s a better example: “In1984VanH@lenRock$!” Although these passwords are not the gold standard of good password management, they are useful for those who do not need to regularly practice good password hygiene.
LEVEL THREE: A PASSWORD PHRASE THAT UTILIZES A PATTERN
This is a password that can be incorporated across different platforms, but is just different enough to allow for that password not to be used twice. For example, if you have various social media accounts, you could use a word with a color (and a unique number/character pattern) across those accounts. For example: “urRED!@7am&8pm” for Instagram, “urWHITE!@7am&8pm” for Facebook and “urBLUE!@7am&8pm” for LinkedIn.
A word of caution: I have worked in organizations that have demanded passwords be changed every 90 days. In this case, I have seen individuals use the four seasons to align with the required update times. For example: “Spring2023!,” “Summer2023!,” “Fall2023!,” “Winter2023!.” Again, a professional hacker will be able to crack this code in under a minute. Use a combination that is specific to you — and only you.
LEVEL FOUR: A PASSWORD PHRASE WITH TWO-FACTOR AUTHENTICATION
Two-factor authentication is recommended for more sensitive accounts, like those with banking information, work emails and file sharing. This can rely on a confirmation text, email, biometric or token, whether it’s a physical fob or an authentication system like Google Authenticator. By incorporating two-factor authentication in conjunction with a complex passphrase, you are greatly minimizing your chances of being hacked. While not perfect, two-factor authentication provides the user with something that any security professional will tell you is of value: It makes you that much harder of a target, which usually means your adversary will likely move on to easier victims.
LEVEL FIVE: PASSWORD MANAGER SOFTWARE WITH TWO-FACTOR AUTHENTICATION
While a complex passphrase coupled with two-factor authentication is the best way to secure your login information, memorizing, recording and/or sharing this information can still be an issue. For this reason, organizations that share login information should have employees use a password manager software, such as 1Password or Dashlane. While still not infallible, a password manager helps employees who might practice poor cyber hygiene prevent data from unintentionally leaking out.
Shared accounts also pose an inherent risk. The moment you share a password with another person, vulnerabilities increase and so does the likelihood of being hacked. If you’re going to share a password, it needs to be changed at least every 90 days and as soon as anyone with access to the password leaves your organization. Just make sure to avoid the easily anticipated formats mentioned above.
Poor password management has been the leading cause of data breach for more than 10 years. One million passwords are stolen each week. The use of stolen login information is the second-most common method of breach. The 2022 Verizon Data Breach Investigations Report explains that, when targeting businesses and organizations, hostile actors often access networks via weak or stolen passwords — in fact, 82% of security breaches that occur within basic web application attacks are achieved by stealing credentials like passwords.
Companies have to find the most secure approach that employees will actually follow. When setting password security policies, keep this in mind. The best system in the world won’t do you much good if employees end up working against it. So while companies should work to show employees that being secure and using good password hygiene doesn’t have to feel burdensome, they should also try to strike a balance that works for their employees.
Las claves para tener éxito con un nuevo jefe
Saber que tendrá un nuevo jefe puede despertar una mezcla de emociones: desde alivio y entusiasmo hasta frustración, inquietud y sensación de pérdida.
Nuestros consejos favoritos de gestión sobre cómo dar retroalimentación
A continuación, presentamos una selección de nuestros consejos favoritos sobre cómo dar (y pedir) retroalimentación.
Lo que las empresas internacionales pierden cuando la toma de decisiones gira en torno a la sede central
Cuando las organizaciones cierran la brecha entre la sede central y el resto, se generan mejores decisiones, mayor flujo de información y menos frustración derivada de trabajar alrededor del mundo.
