Doble factor de autenticación: por dónde empezar en tu despacho

Una contraseña, por robusta que sea, ya no basta para proteger el correo electrónico, el gestor documental o el software de facturación de un despacho. Si esa contraseña se filtra (y ocurre con más frecuencia de la que parece, a través de phishing, reutilización de credenciales o brechas en terceros servicios), cualquiera puede acceder a expedientes, datos de clientes o información fiscal. El doble factor de autenticación, conocido como 2FA, añade una segunda barrera que reduce drásticamente este riesgo. El problema no suele ser técnico, sino organizativo: no saber por dónde empezar ni qué sistemas priorizar.

Qué es el 2FA y por qué no es opcional en un despacho

El doble factor combina algo que el usuario sabe (la contraseña) con algo que tiene (un código generado en el móvil, una llave física o una notificación push) o algo que es (huella dactilar, reconocimiento facial). Si un atacante consigue la contraseña, necesitará además ese segundo elemento, que normalmente no está disponible de forma remota.

En un despacho de abogados esto no es un capricho tecnológico. El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) exige en su artículo 32 la adopción de medidas técnicas y organizativas apropiadas al riesgo, y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) refuerza esta obligación de seguridad para quienes tratan datos personales de clientes. A esto se suma el deber de secreto profesional recogido en el Estatuto General de la Abogacía Española (Real Decreto 135/2021), que convierte la protección del acceso a los expedientes en una obligación deontológica, no solo normativa.

Por dónde empezar: no se implanta todo a la vez

El error más habitual es intentar activar el 2FA en todos los sistemas simultáneamente, lo que genera resistencia del equipo y errores de configuración. Lo razonable es priorizar según el impacto de un acceso no autorizado:

• Correo electrónico corporativo: suele ser la puerta de entrada a todo lo demás, incluidas las recuperaciones de contraseña de otros servicios.
• Gestor documental o expediente electrónico: contiene la información más sensible del despacho.
• Software de facturación y contabilidad: expone datos fiscales y bancarios de clientes y del propio despacho.
• Accesos a la sede judicial electrónica y plataformas de la Administración: cualquier suplantación aquí tiene consecuencias procesales directas.
• Herramientas de firma electrónica y gestión documental remota, especialmente relevantes tras el impulso a la digitalización que supuso la Ley 11/2021 de medidas de prevención y lucha contra el fraude fiscal en los procesos de facturación.

Qué método de segundo factor elegir

No todos los sistemas de 2FA ofrecen el mismo nivel de seguridad ni la misma comodidad de uso. Los SMS con código son mejores que nada, pero son vulnerables a técnicas de duplicado de tarjeta SIM. Las aplicaciones de autenticación (que generan códigos temporales sin depender de la red móvil) ofrecen un equilibrio razonable entre seguridad y facilidad de uso para un equipo pequeño. Las llaves físicas de seguridad son la opción más robusta, recomendable para los perfiles con acceso a información especialmente sensible, como socios o responsables del tratamiento de datos.

La elección debe tener en cuenta también el tamaño del despacho: una microempresa con dos o tres personas puede gestionar aplicaciones de autenticación individuales sin complicaciones, mientras que una estructura mayor se beneficia de soluciones centralizadas que permitan al administrador revocar accesos cuando alguien deja el equipo.

Errores frecuentes al implantar el doble factor

La implantación suele fallar por motivos organizativos más que técnicos. Conviene anticipar estos puntos:

• No prever un método de recuperación si se pierde el dispositivo que genera el segundo factor, lo que puede dejar bloqueado el acceso a servicios críticos.
• Activar el 2FA solo para algunos usuarios y no para todo el equipo, dejando puertas abiertas en los accesos menos vigilados.
• No documentar el proceso: si una persona se incorpora o sale del despacho, debe quedar claro cómo se activa o revoca su segundo factor.
• Confundir el 2FA con una medida suficiente por sí sola, sin acompañarla de contraseñas robustas y formación básica frente al phishing.

Desde el punto de vista laboral, también conviene recordar que las políticas de uso de dispositivos y accesos corporativos deben comunicarse con claridad al personal, en línea con las garantías de información y participación que recoge el Estatuto de los Trabajadores, evitando así conflictos sobre el uso de dispositivos personales para recibir códigos de verificación.

El doble factor de autenticación no elimina todos los riesgos, pero cierra una de las vías de ataque más utilizadas contra despachos y pequeñas empresas de servicios profesionales. Implantarlo de forma escalonada, empezando por los sistemas más críticos, permite reforzar la seguridad sin paralizar el trabajo diario. Puede ampliar esta planificación revisando otros contenidos de la sección de privacidad y seguridad o consultando el resto de artículos del blog sobre gestión y organización del despacho.