Guía
Cuentas de administración, contraseñas y doble autenticación
Las cuentas de administración son las llaves de su informática: un atacante que consigue una puede hacer cualquier cosa. Cuentas separadas, doble autenticación, contraseñas robustas: estas son las reglas de la ANSSI y de la CNIL, reducidas a lo que debe hacer una pyme.
Actualizado el 18 de octubre de 2026 · Las cifras tienen su fuente al pie de página; las valoraciones son de IT CyberWall.
Por qué estas cuentas son el objetivo
Un atacante que obtiene la contraseña de una cuenta de administración puede hacer cualquier cosa: instalar un ransomware en todos los puestos, borrar datos, crear cuentas para volver más tarde. Proteger estas cuentas es la medida que más reduce los daños posibles. La ANSSI le dedica varias medidas de su guía de higiene informática: inventario de las cuentas privilegiadas, distinción entre los roles de usuario y de administrador, autenticación robusta[1].
Cuentas de administración separadas
- Una cuenta de administración distinta de la cuenta del día a día, con una contraseña diferente[2].
- Nunca correo ni navegación con una cuenta de administración[2][1].
- Cuentas nominativas: se sabe quién ha hecho qué[2][1].
- El mínimo privilegio: cada persona solo tiene los permisos que necesita, y los usuarios no son administradores de su puesto[2][1].
- Un inventario actualizado de las cuentas privilegiadas, incluidas las de los proveedores[1].
La doble autenticación
La ANSSI recomienda dar prioridad a la autenticación multifactor[3] y exigir al menos dos factores para la administración[2]. En la práctica, empiece por:
- las cuentas de administración (Microsoft 365, Google Workspace, servidores, cortafuegos, proveedor de alojamiento, nombre de dominio);
- los accesos remotos (VPN, escritorio remoto);
- el correo de todos los usuarios.
Una aplicación de autenticación o una llave de seguridad es mejor que un código recibido por SMS, más fácil de interceptar.
Contraseñas que resistan
| Caso | Recomendación de la CNIL[4] |
|---|---|
| Solo contraseña | 12 caracteres con mayúsculas, minúsculas, cifras y caracteres especiales, o 14 caracteres sin carácter especial obligatorio, o una frase de contraseña de 7 palabras |
| Cuenta protegida por un bloqueo tras varios intentos fallidos | 8 caracteres de 3 tipos diferentes, o 5 palabras |
- Sin renovación forzosa para todo el mundo: la CNIL y la ANSSI ya no la imponen para las cuentas ordinarias, pero la mantienen para las cuentas con privilegios[4][3].
- Un cambio inmediato en caso de duda sobre un compromiso[3].
- Un gestor de contraseñas proporcionado por la empresa[3].
- Las contraseñas por defecto de routers, impresoras, cámaras y servidores se cambian desde la instalación[3][1].
Su lista de control
- ¿Quién es administrador de qué? La lista existe y está actualizada.
- Ningún administrador lee su correo con su cuenta de administración.
- La doble autenticación está activada en todas las cuentas de administración y en los accesos remotos.
- Las cuentas de antiguos empleados y antiguos proveedores están desactivadas.
- La cuenta «propietaria» de su Microsoft 365 o Google Workspace y de su nombre de dominio está a nombre de la empresa.
Lo que hace IT CyberWall
Hacemos el inventario de las cuentas privilegiadas, separamos las cuentas de administración, activamos la doble autenticación e implantamos un gestor de contraseñas. Nuestros propios accesos a sus sistemas son nominativos, y usted conserva la lista.
¿Ya no sabe quién es administrador de qué?
Hacemos el inventario de sus cuentas e implantamos la doble autenticación.
Fuentes
Fuentes consultadas el 18 de octubre de 2026. Las tarifas de los proveedores se indican sin impuestos, en la divisa y la región de la tarifa publicada, y pueden cambiar: compruebe siempre la página oficial antes de decidir.
- ANSSI – Guide d’hygiène informatique, v2.0 (medidas 5, 8 a 13, 27 a 29) — messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI – Recommendations to Secure Administration of IT Systems, v2.0 (24 de abril de 2018) — cyber.gouv.fr/sites/default/files/2018/10/guide_anssi_secure_admin_is_pa_022_en_v2.pdf
- ANSSI – Recommandations relatives à l’authentification multifacteur et aux mots de passe, v2.0 (8 de octubre de 2021) — messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
- CNIL – Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe — www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf