La empresa promedio usa 130 servicios SaaS (Productiv 2026). Una contraseña comprometida basta para acceder al CRM, correo, facturación. El 49% de las fugas de datos comienzan con credenciales comprometidas (Verizon DBIR 2026).
Plataformas recomendadas: 1password.com, accessowl.io, bitwarden.com, cloudflare.com, haveibeenpwned.com, jumpcloud.com, okta.com, yubico.com, zluri.com
Nivel 1: Higiene Básica
1. Gestor de Contraseñas — Obligatorio
Sin gestor, la seguridad SaaS es imposible. Opciones: Bitwarden (gratis, open source, self-hosted) o 1Password (mejor UX, agente SSH).
2. MFA en Todas Partes
MFA reduce el riesgo en un 99,9%. Prioridad: llave hardware (YubiKey) > app TOTP > SMS.
Servicios críticos: correo, registrador de dominios, hosting/cloud, pasarelas de pago, repositorio de código.
3. Cero Reutilización de Contraseñas
El gestor debe alertar sobre duplicados. Eliminarlos inmediatamente.
Nivel 2: Seguridad Corporativa
4. SSO en Lugar de Contraseñas Individuales
Reduce la superficie de ataque. Opciones: Okta, Azure AD, JumpCloud, Google Workspace.
5. Auditoría de Accesos
Revisión mensual. Herramientas: AccessOwl, Zluri, BetterCloud.
6. RBAC: Principio de Privilegio Mínimo
Roles, no personas.
7. Onboarding/Offboarding
Offboarding completado en 2 horas.
Nivel 3: Protección Avanzada
8. Monitoreo de Fugas
HIBP Domain, Watchtower, Breachsense.
9. Política de Contraseñas
Mín. 16 caracteres, bloqueo tras 5 intentos.
10. Control de Sesiones
Timeouts: 15 min finanzas, 1h CRM.
11. Claves API
Almacenar en vault, rotar cada 90 días.
12. VPN para Paneles de Admin
Cloudflare Zero Trust (gratis hasta 50 usuarios).
Lista de 15 Puntos
- Gestor instalado
- Contraseñas únicas (0 duplicados)
- MFA en servicios críticos
- Llave hardware para admins
- SSO configurado
- Offboarding en 2 horas
- Auditoría mensual de accesos
- Monitoreo de fugas activo
- Claves API en vault
- Rotación trimestral de API
- Timeouts de sesión
- Paneles admin tras VPN
- RBAC implementado
- Política NIST
- Logs de auditoría activados
Estos 15 puntos reducen el riesgo en un orden de magnitud.