Pedir una contraseña y otro PIN memorizado no convierte el acceso de una empresa en doble factor
NIST distingue conocimiento, posesión y biometría. Para revisar un servicio empresarial hay que mirar qué prueba cada paso, no contar únicamente sus pantallas.
Dos pantallas de acceso no demuestran que un servicio utilice dos factores de autenticación. Las directrices de identidad digital de NIST explican que una contraseña y un PIN generado por el propio usuario siguen perteneciendo a la misma categoría: algo que se sabe. Repetir esa categoría no añade otro factor distinto.
El organismo diferencia conocimiento, posesión de un dispositivo con una clave y características biométricas. Por su parte, la política de contraseñas para pymes de INCIBE recomienda incorporar autenticación multifactor cuando sea posible. Contar pasos puede servir para describir la experiencia de acceso; identificar factores sirve para comprender qué se está comprobando.
Consideremos dos servicios ficticios de una pequeña empresa. El primero pide una contraseña y después una segunda clave que la persona recuerda. El segundo combina una contraseña con una prueba de posesión de un autenticador vinculado. En el primer caso ambas respuestas podrían salir de los secretos memorizados; en el segundo interviene una categoría adicional. No estamos describiendo la implementación real de ningún proveedor.
Hay un matiz importante: no todo PIN se utiliza de la misma forma. NIST distingue los secretos que se envían al servicio de los que desbloquean localmente un autenticador. Un PIN local puede activar una clave que permanece en el dispositivo. Por eso no basta con ver un campo llamado PIN para clasificar todo el proceso como de un solo factor.
Para revisar un acceso empresarial proponemos pedir al proveedor una descripción de qué verifica cada paso y dónde se comprueba. Después debe contrastarse el procedimiento de recuperación previsto para la cuenta. La lista permite detectar una explicación incompleta, pero no certifica la resistencia de un producto ni sustituye una evaluación de su implementación. No hemos solicitado credenciales ni probado accesos de terceros.