Clatterbridge Cancer Centre refuerza contraseñas sin sacrificar la experiencia del usuario

Descubriendo contraseñas débiles

Andy Kilbane, especialista en seguridad de sistemas digitales en Clatterbridge, explicó que las políticas de complejidad por defecto de Microsoft presentaban deficiencias importantes, tal y como se demostró en un pentest interno:

“Pudimos descifrar un porcentaje altísimo de las contraseñas en menos de 3 segundos. Evidentemente, quedó claro que nuestra política no era lo suficientemente robusta. Para la política de Microsoft, una contraseña como Password1 se consideraba ‘compleja’.”

Para entender mejor el alcance del problema y abordar otras vulnerabilidades relacionadas con contraseñas, el equipo utilizó la herramienta gratuita Specops Password Auditor, que permitió identificar contraseñas comprometidas, cuentas obsoletas, cuentas sin caducidad de contraseña, y generar informes ejecutivos que facilitaron la comunicación del problema a la dirección.

La decisión fue clara: exigir contraseñas más largas y fomentar el uso de frases de contraseña, sin perjudicar la experiencia de usuario ni sobrecargar al equipo de TI.

“Evaluamos otras soluciones y Specops Password Policy nos pareció la más sencilla de implementar. No es una herramienta que tengas que estar supervisando constantemente. La configuras y funciona sola.”

Para facilitar la adopción entre los usuarios, normalmente reacios al cambio, se activó la función de caducidad en función de la longitud de la contraseña. Esta opción extiende el periodo de validez de la contraseña cuanto más larga sea, incentivando así la creación de contraseñas más seguras.

También aprovecharon la funcionalidad de mensajes dinámicos en tiempo real, que ofrece orientación clara al usuario durante el cambio de contraseña:

“Cuando alguien cambiaba su contraseña, la interfaz le indicaba los requisitos que debía cumplir. Nos resultó muy útil para guiar a los usuarios y hacerles ver que al usar frases de contraseña podían espaciar más los cambios.”

Esta función, combinada con Specops Breached Password Protection (BPP), ofrece además alertas dinámicas si la contraseña elegida ya está comprometida o si no cumple alguna de las políticas establecidas.

Al preguntarle si recomendaría Password Policy, Andy lo tiene claro:

“Sin duda, ha mejorado nuestra seguridad en torno a las contraseñas. El despliegue fue fluido y el soporte, excelente. Poder elegir entre contraseña y frase de contraseña da mucha flexibilidad.
Es una solución que simplemente funciona, sin complicaciones.”