En 2025, la autenticación ha dejado de ser un simple gate de contraseñas para convertirse en el pilar central de la seguridad empresarial. La paradoja es que mientras la tecnología se vuelve más sofisticada, la facilidad de uso también mejora. Pero elegir el método correcto para tu empresa no es trivial: cada opción tiene implicaciones críticas en seguridad, costo, experiencia de usuario y cumplimiento normativo.
Según Incibe, el 90% de las contraseñas son vulnerables, pero implementar autenticación multifactor (MFA) correctamente puede reducir este riesgo en un 99%. Sin embargo, no todas las implementaciones de MFA son iguales. Una solución SMS 2FA ofrece falsa seguridad, mientras que FIDO2 + hardware tokens proporciona protección casi impenetrable contra phishing. La pregunta no es si implementar autenticación fuerte, sino cuál implementar y para quién.
Parte 1: Comprensión de los Métodos de Autenticación
1.1 Factores de Autenticación: Categorías Fundamentales
Todo sistema de autenticación fuerte se basa en combinar factores de tres categorías:
Factor 1: Algo que SABES
- Contraseña, PIN, respuesta a pregunta secreta
- Ventaja: No requiere dispositivo
- Desventaja: Vulnerable a phishing, fuerza bruta
Factor 2: Algo que POSEES
- Teléfono móvil, token hardware (YubiKey), USB de seguridad
- Ventaja: Difícil de robar/falsificar
- Desventaja: Pérdida o olvido del dispositivo
Factor 3: Algo que ERES
- Huella dactilar, reconocimiento facial, iris
- Ventaja: Único e imposible de cambiar
- Desventaja: Privacidad, spoofing con deepfakes, irreversibilidad si se compromete
Autenticación de Dos Factores (2FA): Combina 2 de estas 3 categorías
Autenticación Multifactor (MFA): Combina 2 o más, típicamente de diferentes categorías
1.2 Métodos Específicos Comparados
A. SMS OTP (One-Time Password vía SMS)
Cómo funciona:
- Usuario intenta acceder
- Sistema genera código temporal (típicamente 6 dígitos)
- Envía código vía SMS
- Usuario ingresa código para completar autenticación
Ventajas:
- Extremadamente fácil de usar: todos tienen teléfono
- No requiere ningún software especial
- Compatible universalmente
Desventajas (CRÍTICAS):
- Vulnerable a SIM Swap: Atacante convence operador telefonía de transferir número a nueva tarjeta SIM
- Interceptable en tránsito: SMS no está cifrado
- Vulnerable a phishing: Atacantes pueden engañar usuarios para revelar códigos
- NIST desaconseja SMS OTP como factor secundario principal (estándar SP 800-63B)
- En Perú: Específicamente vulnerable a operadores de telecomunicaciones que podrían ser cómplices o negligentes
Recomendación: Solo usar para recuperación de cuenta, nunca como método primario
B. TOTP (Time-based One-Time Password)
Cómo funciona:
- App (Google Authenticator, Microsoft Authenticator, Authy) genera código de 6-8 dígitos
- Código cambia cada 30 segundos
- Basado en estándar RFC 6238 con función hash SHA-256
- Secreto compartido almacenado localmente en dispositivo
Ventajas:
- Independencia de canal: No depende de SMS o correo (funciona sin Internet después de configuración inicial)
- Robustez criptográfica: Secreto nunca se transmite tras configuración
- Aceptado por NIST y estándares de seguridad
- Altamente compatible: Servicios corporativos globales lo soportan
- Costo: Gratuito (apps código abierto)
Desventajas:
- Vulnerable a phishing en tiempo real: Si usuario ingresa código en sitio malicioso, atacante lo intercepta antes de expiración (AiTM – Adversary-in-the-Middle)
- Riesgo si dispositivo comprometido: Si teléfono tiene malware, códigos pueden extraerse
- Google Authenticator sin E2EE: Códigos sincronizados a nube sin cifrado de extremo a extremo
- Experiencia multi-dispositivo frágil: Si pierdes teléfono, pierdes códigos a menos que hayas hecho backup
Recomendación: Excelente para pymes y empresas con riesgo moderado. Mejor si se combina con política de no compartir códigos nunca
Alternativas más seguras:
- Authy: Sincronización E2EE integrada, backup seguro
- Microsoft Authenticator: Integración con Active Directory, notificaciones push
- Bitwarden Authenticator: Código abierto, integración con gestor de contraseñas
C. Notificaciones Push (Push Authentication)
Cómo funciona:
- Usuario intenta acceder
- App móvil autorizada recibe notificación
- Usuario aprueba o rechaza desde dispositivo
- Acceso otorgado/denegado
Ventajas:
- Mejor UX que TOTP: Menos pasos, más rápido
- Menos phishing que códigos: No hay código para interceptar
- Detecta intentos no autorizados: Usuario ve notificación de intento fallido
- Funciona offline: Dispositivo no necesita datos móviles
- Indicador visual claro: Notificación muestra ubicación/dispositivo del intento
Desventajas:
- Fatiga de aprobación: Usuarios pueden hacer click sin revisar detenidamente
- Dependencia de sincronización: Requiere que dispositivo tenga app correcta instalada
- Push spoofing posible: Atacante puede enviar múltiples notificaciones hasta que usuario acepta una falsificada accidentalmente
Recomendación: Mejor que TOTP para UX, pero requiere disciplina del usuario
D. Email OTP
Cómo funciona:
Similar a SMS OTP, pero código se envía por correo electrónico
Ventajas:
- Fácil de implementar
- No requiere móvil
Desventajas (CRÍTICAS):
- Si correo está comprometido, el 2FA también
- Phishing evidente: Código visible en email hace blanco fácil
- NIST explícitamente lo desaconseja como factor válido
- Dependencia de infraestructura email: Retrasos o fallos de entrega
Recomendación: Nunca usar como factor primario. Solo para recuperación.
E. Hardware Security Keys (YubiKey, SoloKey, etc.)
Cómo funciona:
- Dispositivo físico USB (o USB-C, NFC) que genera código o aprueba autenticación
- Usa protocolos como FIDO2/WebAuthn o U2F
- Almacena secreto criptográfico en elemento seguro del dispositivo
- No puede ser extraído ni duplicado
Ventajas (EXCEPCIONALES):
- Resistente al phishing: Protocolo FIDO2 verifica que servidor es legítimo
- No puede ser duplicado: Elemento seguro no permite extracción de claves
- Soporte biométrico (YubiKey Bio): Huella dactilar integrada en dispositivo
- Múltiples protocolos: FIDO2, U2F, TOTP, OpenPGP (modelos advanced)
- Durabilidad industrial: IP68, resistente a golpes, sin batería
- Compatibilidad universal: Windows, macOS, Linux, iOS, Android
- Costo razonable: USD 30-90 dependiendo de funcionalidades
Desventajas:
- Costo inicial: Mayor que apps TOTP
- Reemplazo si se pierde: Necesita tener key de recuperación guardada
- Curva de aprendizaje leve: Usuarios necesitan entender qué es y por qué es importante
- Compatibilidad limitada en algunos servicios: No todos soportan FIDO2 aún (aunque la mayoría de principales sí: Google, Microsoft, GitHub, etc.)
Recomendación: ESTÁNDAR DE ORO para empresas que manejan datos sensibles o requieren máxima seguridad
Modelos específicos recomendados:
| Modelo | Precio | Características | Ideal Para |
|---|---|---|---|
| YubiKey Security Key C NFC | ~USD 30 | FIDO2/U2F, NFC para móvil | Usuarios primerizos, bajo costo |
| YubiKey 5C | ~USD 50 | FIDO2, U2F, TOTP, USB-C | Usuarios avanzados, múltiples protocolos |
| YubiKey Bio Series | ~USD 90 | FIDO2 + biometría integrada, USB-C | Máxima seguridad + UX, equipos corporativos |
| SoloKey | ~USD 60 | Código abierto, FIDO2/U2F | Usuarios preocupados por transparencia |
| Thetis FIDO2 | ~USD 50 | Diseño plegable aluminio, durabilidad | Portabilidad en llavero |
F. Autenticación Biométrica Integrada
Cómo funciona:
- Huella dactilar: Scanner óptico/capacitivo en dispositivo
- Reconocimiento facial: Cámara + software de mapeo
- Iris/Retina: Escáner especializado (menos común)
- Voz: Reconocimiento de patrones vocales
Ventajas:
- Conveniencia excepcional: Muy rápido, siempre contigo (el biométrico es la llave)
- Difícil de olvidar: A diferencia de contraseña o token
- Percepción de seguridad alta: Usuarios sienten protegidos
- Spoofing con Deepfakes
- Reconocimiento facial: Puede ser engañado con foto/video de alta calidad
- Voz: Deepfakes de audio convincentes posibles
- Iris: Menos vulnerable pero todavía en investigación
- Debilidades en Implementación
- Reconocimiento facial no verifica “estado de alerta” (puede desbloquearse mientras usuario duerme)
- Ataques de presentación: Fotos, máscaras de silicona
- Liveness detection imperfecta: Puede evadirse
- Privacidad Extrema
- Regulatorio (Especialmente Perú con PDPL nuevo)
- GDPR requiere consentimiento explícito para biometría
- PDPL Perú (vigente desde marzo 2025) clasifica biometría como dato sensible[11-47]
- Cumplimiento obligatorio + responsabilidad civil si se compromete
- Empleados pueden oponerse a recolección de biometría
- Irreversibilidad del Compromiso
- Contraseña comprometida: cambias la contraseña
- Biometría comprometida: tu cara/huella/iris son la misma permanentemente
- No hay “segunda oportunidad” con datos biométricos
Recomendación:
- ✅ Usar para segundo factor en dispositivos personales (Phone Face ID, Windows Hello)
- ⚠️ Evitar como factor único en sistemas corporativos críticos
- ❌ No centralizar datos biométricos sin cifrado E2EE y acceso mínimo
Mejor práctica en Perú:
Si usas biometría corporativa, cumpir con PDPL:
- Consentimiento escrito explícito del empleado
- Política clara de retención (máximo tiempo necesario)
- Encriptación en reposo y tránsito
- Auditoría de acceso a datos biométricos
G. FIDO2 / WebAuthn (El Futuro “Phishing-Resistant”)
Cómo funciona:
- Estándar abierto que reemplaza contraseñas y 2FA tradicional
- El servidor genera desafío criptográfico único
- Dispositivo del usuario (YubiKey, teléfono) genera respuesta usando clave privada
- Clave privada NUNCA sale del dispositivo
- Servidor verifica respuesta con clave pública
Ventajas (REVOLUCIONARIAS):
- Resistente al phishing: Protocolo valida identidad del servidor de forma criptográfica
- Imposible de duplicar: Claves privadas nunca se transmiten
- Sin contraseña: Acceso sin memorizar nada
- Compatible con dispositivos: Windows Hello, Face ID iPhone, Android Biometric, YubiKey
- Estándar abierto: No depende de un único proveedor
Desventajas:
- Compatibilidad aún en expansión: No todos los servicios soportan FIDO2 (aunque crece rápidamente)
- Recuperación de cuenta compleja: Sin contraseña tradicional, necesita backup keys o recovery codes
- Educación requerida: Usuarios necesitan entender que es diferente
Recomendación: El futuro de la autenticación. Implementar ahora para estar adelantado.
Parte 2: Matriz de Decisión por Tipo de Empresa y Sector
Para PYMEs Peruanas (Presupuesto limitado, empleados < 50)
Situación típica:
- Presupuesto: USD 50-200/mes en seguridad
- Empleados: 10-50
- Datos: Moderadamente sensibles (clientes, finanzas básicas)
- Infraestructura: Mailbox corporativo, Microsoft 365 o Google Workspace
Recomendación de Stack:
Tier 1 (Obligatorio):
├─ Google Authenticator/Authy (TOTP) → Gratuito
│ ├─ 100% de empleados en correo corporativo
│ ├─ Combinado con contraseña fuerte
│ └─ Training básico: "Nunca compartas código con nadie"
│
├─ Active Directory/Entra ID con MFA → Incluido en Microsoft 365 o Google Workspace
│ └─ Configurado con TOTP como 2º factor
│
└─ Política de backup codes → Gratuito
└─ Generar y guardar codes en bóveda segura (1Password/Bitwarden)
Tier 2 (Recomendado si presupuesto permite):
├─ YubiKey Security Key C NFC x 2 por persona → USD 30-50
│ ├─ Una en escritorio
│ ├─ Una de backup en bóveda
│ └─ Reemplaza TOTP para acceso crítico (correo ejecutivo, contabilidad)
│
└─ Políticas PDPL Perú compliance → Internal
└─ Documentar que MFA se implementó como medida de seguridad
Costo total: USD 0-100 inicial + USD 10/mes mantenimiento
ROI: Protección contra 99% de ataques no-sofisticados
Justificación: Una PYME peruana tipicamente sufre ataques de baja sofisticación (phishing masivo, fuerza bruta). TOTP es suficiente; YubiKey solo si manejan datos financieros críticos.
Para Empresas Medianas (Empleados 50-500)
Situación típica:
- Presupuesto: USD 1,000-5,000/mes en seguridad
- Empleados: 50-500
- Datos: Muy sensibles (clientes, datos tributarios SUNAT, propiedad intelectual)
- Infraestructura: Active Directory on-premise o Entra ID, VPN corporativa
- Conformidad: PDPL Perú, posiblemente cumplimiento tributario
Recomendación de Stack:
Nivel 1: Autenticación Base (Obligatorio)
├─ Microsoft Entra ID (Azure AD) con MFA Conditional Access
│ └─ Política: MFA obligatorio para acceso remoto, datos sensibles
│
├─ TOTP con Microsoft Authenticator → Gratuito en Microsoft 365
│ └─ Para todos los empleados, 50-500 usuarios
│
└─ Backup codes almacenados en Password Manager corporativo → Bitwarden/1Password Enterprise
Nivel 2: Acceso Crítico (Recomendado)
├─ YubiKey Bio Series para:
│ ├─ Directivos (acceso a sistemas financieros) → USD 90 x 10-20 = USD 900-1,800
│ ├─ IT/Security team (acceso a infraestructura) → USD 90 x 5-10 = USD 450-900
│ ├─ Acceso a SUNAT/tributario → USD 90 x 5-10 = USD 450-900
│ └─ Total: USD 1,800-3,600 inversión inicial
│
└─ Backup YubiKey por persona (recuperación si pérdida) → USD 30-50 adicional
Nivel 3: Monitoreo y Cumplimiento PDPL
├─ Audit logging de intentos fallidos de autenticación → Incluido en Entra ID Premium P1
├─ Alertas de MFA disabled/cambios de seguridad → Incluido
├─ Documentación de cumplimiento PDPL → Internal
└─ Auditoría trimestral de accesos → Internal o contratada (USD 2,000-5,000)
Costo total:
├─ Software: USD 50/mes (Microsoft 365 Business Premium MFA)
├─ Hardware: USD 1,800-3,600 inicial
├─ Auditoría: USD 1,000/trimestre (recomendado)
└─ Total anual: USD 8,600-14,000 / año
Justificación:
- Empresas medianas enfrentan ataques más sofisticados (APT, ransomware dirigido)
- TOTP no es suficiente; necesitan hardware tokens para ejecutivos
- PDPL Perú requiere documentación robusta de seguridad
- ROI: Evita brechas de datos que costarían USD 500k-2M
Para Corporativos Multinacionales en Perú
Situación típica:
- Presupuesto: USD 50,000+/año en seguridad
- Empleados: 500-10,000 en Perú + globalmente
- Datos: Críticos internacionalmente (operaciones globales, M&A, I+D)
- Cumplimiento: PDPL Perú + GDPR + HIPAA/PCI según geografía
- Infraestructura: Global, multi-cloud (Azure, AWS, Google Cloud)
Recomendación de Stack:
Nivel 1: Plataforma de Identidad Global
├─ Okta / Azure AD Premium P2 (global) → USD 6-12/usuario/mes
│ ├─ Conditional Access basado en riesgo (Adaptive MFA)
│ ├─ Detección de anomalías con IA
│ ├─ Single Sign-On (SSO) a 500+ aplicaciones
│ └─ Reportes de cumplimiento GDPR/PDPL
│
└─ Sincronización con On-Premise AD → Connector gratuito
Nivel 2: Autenticación Multifactor Estratificada
├─ Fuerza Laboral Estándar (80%):
│ ├─ Microsoft Authenticator con Push Notifications → Incluido
│ └─ TOTP opcional → Incluido
│
├─ Acceso Crítico / Ejecutivos (15%):
│ ├─ YubiKey Bio Series FIDO2 → USD 90 x 300 = USD 27,000
│ ├─ Registrados en Okta/Entra ID → Incluido
│ └─ Renovación cada 3 años → USD 9,000/año
│
├─ Contractors/Partners (5%):
│ ├─ Authenticator app + Time-based restrictions → Incluido
│ └─ Revocar acceso automáticamente después de engagement → Incluido
│
└─ Service Accounts / API:
├─ Certificados X.509 para máquina-a-máquina → Gratuito
├─ Vault (HashiCorp) para secretos → USD 1,000+/mes
└─ Rotación automática cada 90 días → Incluido
Nivel 3: Cumplimiento Regulatorio Perú
├─ PDPL Compliance:
│ ├─ Consentimiento explícito si usando biometría → Documentación Internal
│ ├─ DPO (Data Protection Officer) designado → Internal
│ ├─ Registro en RNPD de ANPD → Obligatorio
│ └─ Auditoría anual externa de accesos → USD 10,000-15,000/año
│
└─ GDPR Compliance (si datos de EU):
├─ Encriptación E2EE de todos los autenticadores → Okta Premium
├─ Data residency en EU si required → Configurable
└─ Right to Erasure (olvido) de datos biométricos → Política implementada
Nivel 4: Seguridad Avanzada
├─ Passwordless Authentication (Phase-out de contraseñas)
│ ├─ Windows Hello / Face ID como primario → Nativo OS
│ └─ FIDO2 keys como secundario → USD 50-90 por key
│
├─ Behavioral Analytics / Risk Scoring
│ ├─ Microsoft Entra ID Identity Protection → USD 2/usuario/mes
│ ├─ Okta Identity Threat Protection → Incluido premium
│ └─ Detecta: ubicación inusual, hora anómala, dispositivo nuevo → Real-time
│
├─ Hardware Security Module (HSM) para claves
│ ├─ Azure Key Vault Premium → USD 1,500/mes
│ ├─ AWS CloudHSM → USD 1,240/mes
│ └─ Garantiza claves nunca salen de equipo seguro → Nivel máximo
│
└─ Auditoría y Monitoreo Continuo
├─ SIEM (Splunk, QRadar) ingesta logs autenticación → USD 3,000-5,000/mes
├─ Alertas en tiempo real de anomalías → 24/7 SOC
└─ Auditoría trimestral de cumplimiento PDPL/GDPR → USD 5,000/audit
Costo total anual (Corporativo 2,000 empleados globales, 300 en Perú):
├─ Software identidad: USD 72,000-120,000/año
├─ Hardware keys: USD 27,000 inicial + USD 9,000/año renovación
├─ Cumplimiento/Auditoría: USD 40,000-60,000/año
├─ SIEM/Monitoreo: USD 36,000-60,000/año
├─ HSM/Bóveda: USD 20,000-30,000/año
└─ TOTAL: USD 195,000-340,000/año
ROI: Protección contra ataques sofisticados (APT), cumplimiento regulatorio,
reputación corporativa, capacidad de respuesta ante incidentes
Justificación:
- Corporativos globales enfrentan APT (Advanced Persistent Threats) directamente
- PDPL + GDPR + PCI crean obligaciones de cumplimiento no negociables
- Passwordless authentication es objetivo 2025-2026
- Inversión justificada por riesgos potenciales (breach = USD 100M+ en daño reputacional)
Parte 3: Comparación Directa de Métodos
Tabla Comparativa de Seguridad vs. Facilidad de Uso
| Método | Seguridad | Facilidad | Costo | Phishing-Resistant | Privacidad | Para Perú |
|---|---|---|---|---|---|---|
| Contraseña sola | ★☆☆☆☆ | ★★★★★ | $0 | ❌ No | ✅ Alta | ❌ Insuficiente |
| SMS 2FA | ★★☆☆☆ | ★★★★★ | $0 | ❌ No | ✅ Alta | ⚠️ Vulnerable SIM-swap |
| Email OTP | ★★☆☆☆ | ★★★★☆ | $0 | ❌ No | ⚠️ Media | ❌ Desaconsejado |
| TOTP (App) | ★★★★☆ | ★★★☆☆ | $0 | ⚠️ Parcial | ✅ Alta | ✅ Recomendado |
| Push Notifications | ★★★★☆ | ★★★★☆ | $5-10 | ⚠️ Parcial | ✅ Media | ✅ Muy bueno |
| FIDO2 Hardware | ★★★★★ | ★★★★☆ | $30-90 | ✅ Sí | ✅ Alta | ✅ Excelente |
| Biometría integrada | ★★★★☆ | ★★★★★ | $0 | ⚠️ Parcial | ❌ Muy baja | ⚠️ PDPL concerns |
| MFA Adaptativa | ★★★★★ | ★★★★☆ | $5-20 | ✅ Sí | ✅ Alta | ✅ Ideal futuro |
Parte 4: Caso de Estudio: Implementación en Empresa Peruana Típica
Escenario: Empresa de E-commerce Peruana (50 empleados, USD 2M ingresos anuales)
Estado Actual (Antes):
- Todos con contraseña + correo corporativo (Gmail)
- Gerentes usan contraseña débil, reutilizada
- Ataque phishing reciente comprometió 3 cuentas ejecutivas
- Datos de clientes (números tarjeta) en servidor interno poco seguro
Riesgo:
- Potencial brecha: USD 500k-1M en daño reputacional + legal
- Acceso a SUNAT sistemas tributarios comprometible
- No cumple PDPL Perú (vigente desde marzo 2025)
Solución Implementada (6 meses, gradual):
Mes 1-2: Piloto con Ejecutivos
- Implementar Microsoft Entra ID MFA con TOTP
- 5 ejecutivos reciben YubiKey Bio (USD 450)
- Training: 2 horas presencial
- Costo: USD 450 hardware + 5 horas consultora (USD 500)
Mes 3-4: Rollout General
- 45 empleados restantes en TOTP con Authenticator (gratuito)
- Backup codes en bóveda segura (Bitwarden)
- Política: Cambio de contraseña, MFA obligatorio
- Costo: Bitwarden Teams USD 35/mes
Mes 5-6: Monitoreo y Cumplimiento PDPL
- Registrar en RNPD de ANPD (gratuito, online)
- Documentar políticas de MFA
- Auditoría interna de accesos
- Costo: 20 horas consultoría (USD 2,000)
Costo Total 6 Meses: USD 2,985
Ahorro evitado por brecha prevenida: USD 500k-1M
Parte 5: Recomendaciones Finales por Contexto Peruano
En Contexto de Amenazas en Perú 2025
Recordando nuestro análisis anterior sobre ciberseguridad en Perú[154-173]:
- Phishing es vector #1: Ataques AI-potenciados con 112% incremento
- Ransomware sofisticado: LockBit, BlackCat atacan activamente empresas peruanas
- Infostealers críticos: Zanubis ataca 40 apps bancarias peruanas
- SIM Swap común: Operadores telecom peruanos vulnerables a ataques sociales
Implicación: SMS 2FA es prácticamente inútil en Perú. Debes usar TOTP mínimamente, o hardware tokens idealmente.
Recomendaciones por Sector Peruano
Sector Financiero (Bancos, Fintech):
→ FIDO2 + Hardware (YubiKey obligatorio para ejecutivos)
→ MFA Adaptativa con detección de riesgo
→ Biometría solo si soporta PDPL compliance documentado
→ Zero SMS OTP
→ Costo justificado: regulación PCI + riesgo inherente
Retail / E-commerce:
→ TOTP mínimo para empleados internos
→ Hardware para ejecutivos/finanzas
→ Push notifications para UX en aplicación de clientes
→ Implementación PDPL de datos de clientes
Gobierno / Municipalidades:
→ FIDO2 obligatorio (precedente: SUNAT usa Azure)
→ Documentación exhaustiva de cumplimiento
→ Auditoría externa anual
→ No usar biometría centralizada sin consentimiento ciudadano explícito
Startups Tech Peruanas:
→ TOTP desde day-1 (gratuito, escalable)
→ Plan: migrar a FIDO2 cuando obtengas inversión
→ Bitwarden + 1Password para gestión
→ Considerar: Zero Trust architecture temprano
Conclusión: La Fórmula 2025 para Autenticación Fuerte
Para la mayoría de empresas peruanas:
= TOTP (app) + FIDO2 Hardware (YubiKey) para crítico + PDPL compliance
Esta combinación:
- ✅ Protege contra 99.5% de ataques
- ✅ Cumple PDPL Perú sin excesiva complejidad
- ✅ Escalable: desde 10 a 10,000 empleados
- ✅ Costo razonable: USD 0-100/empleado/año
- ✅ Resiste amenazas específicas de Perú: phishing AI, ransomware sofisticado
NO hacer:
- ❌ Confianza únicamente en contraseña (obsoleto en 2025)
- ❌ SMS OTP como factor primario (NIST lo desaconseja, SIM Swap frecuente)
- ❌ Email OTP (similar riesgos a SMS)
- ❌ Biometría centralizada sin PDPL documentation
Hacer ahora:
- ✅ Implementar MFA este trimestre
- ✅ Registrarse en RNPD de ANPD (obligatorio con PDPL)
- ✅ Educar empleados: “Nunca compartas códigos de autenticación”
- ✅ Planificar migración a FIDO2 en 2026
La autenticación fuerte no es lujo—en Perú 2025 es defensa existencial contra amenazas que, según nuestro análisis, atacan empresas peruanas 8,818 veces por semana en promedio.