Una política de contraseñas para pequeñas empresas: plantilla y lista de verificación de implementación

Una política de contraseñas útil responde a preguntas cotidianas: dónde guardan las contraseñas los empleados, quién activa la autenticación multifactor (MFA), cómo alguien recupera una cuenta y qué sucede cuando un colega se marcha. Un ajuste de longitud por sí solo no puede responder a esas preguntas.

Utilice esta guía para redactar una breve política con el generador de políticas de contraseñas, luego agregue las decisiones que dependen de su empresa. El siguiente ejemplo es un punto de partida para la revisión. Verifique cualquier requisito contractual o específico del sector antes de adoptarlo.

1. Enumerar las cuentas y los responsables

Comience con correo electrónico, nómina, banca, almacenamiento en la nube, acceso remoto y cuentas de administrador. Registre qué sistema controla el inicio de sesión para cada servicio. Una configuración de Windows no cambia automáticamente las reglas en todas las aplicaciones en la nube.

• Titular de la póliza: aprueba el documento, excepciones y fecha de revisión.
• Propietario de TI: configura controles, prueba la recuperación y mantiene registros de implementación.
• Empleados y contratistas: Siga la política e informe solicitudes de inicio de sesión inesperadas o sospecha de exposición.

Por ejemplo, un estudio de diseño de 12 personas podría utilizar un proveedor de identidad para el correo electrónico y el almacenamiento, cuentas bancarias separadas y un dominio local de Windows. Su lista de verificación necesita un propietario y un paso de verificación para cada uno de esos sistemas.

2. Elige una referencia y documenta tus decisiones.

NIST SP 800-63B-4, sección 3.1.1.2 requiere al menos 15 caracteres para la autenticación solo con contraseña, u ocho cuando la contraseña siempre forma parte de MFA. Recomienda permitir al menos 64 caracteres. Requiere comparar nuevas contraseñas con valores comunes o comprometidos y prohíbe reglas de composición y cambios de contraseña programados; se requiere un cambio cuando el compromiso es evidente.

Nuestro Guía de pautas de contraseña NIST Explica la distinción entre requisitos y recomendaciones. Seleccione la referencia apropiada para su entorno y luego registre cómo sus servicios reales la respaldan. La comparación del generador cubre configuraciones seleccionadas; no es una evaluación de cumplimiento completa.

3. Adapte este breve ejemplo de política

Las cláusulas siguientes son un ejemplo de decisiones de la empresa. Reemplace los campos entre corchetes y confirme que todos los controles nombrados realmente se pueden aplicar. Mantener una única línea base de 15 caracteres puede simplificar la comunicación entre cuentas con diferentes métodos de inicio de sesión.

Política de contraseña y acceso a la cuenta — [Empresa]
Propietario: [rol y contacto]. Aplica a: [empleados, contratistas y sistemas]. Fecha de vigencia: [fecha]. Próxima revisión: [fecha].

1. Utilice una cuenta individual para trabajar. Mantenga las cuentas de administrador separadas de las cuentas cotidianas.
2. Utilice una contraseña única para cada servicio y guárdela en el gestor de contraseñas aprobado por la empresa. No envíe contraseñas por correo electrónico o chat de equipo.
3. Nuestra línea de base tiene un mínimo de 15 caracteres. Servicios de registros de TI que no pueden soportar esta línea base y la excepción aprobada.
4. Habilite MFA en cuentas profesionales donde sea compatible. TI registra el método, el propietario de la inscripción y cualquier brecha restante.
5. No comparta códigos de recuperación. Guárdelos en el lugar de recuperación aprobado. Comuníquese con [ruta de soporte verificada] si pierde el acceso.
6. Informe una sospecha de exposición o una solicitud inesperada de MFA a [contacto]. TI investiga, restablece las credenciales afectadas y revoca sesiones cuando sea necesario.
7. Cuando alguien deja o cambia de rol, [propietario] revisa el acceso y elimina los permisos que ya no son necesarios.
8. Las excepciones requieren [aprobador], un motivo, controles compensatorios y una fecha de revisión. Revise esta política después de un incidente importante o cambio de sistema.

Agregue un breve apéndice de implementación de TI que cubra los controles de autenticación elegidos, la detección de contraseñas, las protecciones contra intentos fallidos y los procedimientos de recuperación. Mantenga las contraseñas y los códigos de recuperación fuera del documento de política.

4. Generar el documento e inspeccionar cada exportación.

1. Abre el generador de políticas, seleccione un ajuste preestablecido de referencia e ingrese el nombre de la organización.
2. Ajuste la configuración para que coincida con sus decisiones aprobadas. Revisa el Política pestaña, luego descargue el documento Markdown (.md).
3. Agregue los propietarios nombrados, los contactos de soporte, el inventario de servicios, las excepciones y la fecha de aprobación a su copia.
4. Si es relevante, seleccione la pestaña Windows, Active Directory o Linux y descargue ese script por separado. Los archivos de Windows y AD utilizan .ps1; el archivo de Linux usa .sh.

Seleccionar MFA o una lista de bloqueo en el documento no implementa esos servicios. Lea los comentarios generados y verifique qué configuraciones implementa el script elegido. Es posible que sea necesario configurar por separado la inscripción en MFA, la configuración de la aplicación en la nube y la verificación de contraseñas.

5. Pruebe los cambios de Windows y Active Directory en una prueba piloto

Para anuncio, Documentación detallada de la política de contraseñas de Microsoft explica cómo se aplican las políticas a los usuarios y grupos de seguridad globales, y cómo inspeccionar la política resultante de un usuario. La creación de un objeto de política es solo una parte de la implementación: verifique que las cuentas previstas lo reciban.

Un control de contraseña prohibida es una cuestión de implementación separada. Protección con contraseña de Microsoft Entra, por ejemplo, agrega verificaciones de contraseñas prohibidas globales y personalizadas a un entorno AD local cuando se implementan los componentes necesarios. No asuma que una política detallada por sí sola proporciona este control.

• Lea el script, registre la configuración actual y prepare una ruta de reversión antes de ejecutarlo con derechos administrativos.
• Utilice una máquina de prueba o un grupo piloto. Consulta una nueva contraseña, una contraseña rechazada y recuperación de cuenta.
• Verifique la configuración efectiva para una cuenta piloto. Confirme los controles separados de MFA y de detección de contraseñas cuando corresponda.
• Verifique las aplicaciones heredadas y las cuentas de servicio antes de extender el cambio a más usuarios.

6. Implemente con evidencia que su equipo pueda usar

Envíe a los empleados una breve explicación con la fecha de entrada en vigor, instrucciones del gestor de contraseñas y un contacto de soporte verificado. Pruebe la recuperación con las personas que se encargarán de ello. Registra qué servicios se han configurado, quién los revisó y qué queda abierto.

Una implementación completa tiene un documento aprobado, controles de trabajo, una ruta de recuperación probada y una lista de excepciones fechada. Revise esa evidencia cuando cambien los servicios o las funciones del personal. Para secretos individuales, utilice el generador de contraseñas aleatorias o un frase de contraseña aleatoria; para los visitantes, prepare un tarjeta de huésped Wi-Fi separada.