Puntos clave
- Exige MFA en todas las cuentas de administrador, incluidos los usuarios de integración y de API, para bloquear accesos no autorizados y prevenir ataques de phishing o credential stuffing.
- Usa apps de autenticación robustas como Salesforce Authenticator, Microsoft Authenticator o Google Authenticator, o bien llaves de seguridad de hardware (FIDO2/U2F).
- Desactiva las opciones de MFA más débiles, como la MFA por SMS.
- Aplica políticas de MFA condicional o adaptativa que se activen solo en situaciones de riesgo, para mejorar la protección sin provocar fatiga de MFA.
- Forma a los administradores de forma periódica para que identifiquen intentos de phishing, resistan los ataques de fatiga de MFA y sigan las buenas prácticas al aprobar solicitudes de autenticación legítimas.
- Audita y supervisa los registros de MFA en Salesforce y en tu IdP para verificar el cumplimiento, detectar intentos de elusión e incluir estas comprobaciones en las revisiones de seguridad trimestrales.
Salesforce es una pieza central en las operaciones de muchas pymes, ya que almacena datos sensibles de clientes y del negocio. Como los administradores de Salesforce controlan los accesos y las configuraciones, sus cuentas suelen ser un objetivo prioritario para el phishing y el credential stuffing.
Por eso es fundamental activar la MFA de Salesforce en las cuentas de administrador. Así te aseguras de que tus datos sigan protegidos frente a brechas de seguridad y actores malintencionados.
Guía para reforzar el cumplimiento de la MFA en cuentas de administrador
📌 Requisitos previos:
- Necesitas acceso a una cuenta de administrador de Salesforce.
- Necesitas una licencia de Salesforce que admita MFA (está incluida en la mayoría de las ediciones).
- Debes tener definidas políticas de alta y baja (onboarding/offboarding) para los usuarios de Salesforce.
💡 Nota: Opcional: puedes usar un IdP externo (Okta, Azure AD, Google) para centralizar las políticas de MFA.
Paso 1: exige MFA en todos los roles de administrador
Debes exigir MFA en todas las cuentas de administrador, incluidas las cuentas de integración siempre que sea posible. Para ello puedes utilizar las opciones de MFA integradas en Salesforce (apps de autenticación, llaves U2F, SMS como método alternativo).
Además, cada persona debe tener su propia cuenta de inicio de sesión. Evita en la medida de lo posible usar o permitir inicios de sesión compartidos.
Paso 2: refuerza los factores de autenticación
Las apps de autenticación (Microsoft Authenticator, Google Authenticator, Salesforce Authenticator) son el método preferible. Úsalas siempre que puedas. También conviene desactivar los métodos de autenticación más débiles, como los códigos por SMS, para evitar brechas de seguridad.
En entornos que requieren un alto nivel de seguridad, también puedes recurrir a llaves de hardware. Son dispositivos físicos pequeños que añaden una capa adicional de autenticación y dificultan mucho el acceso no autorizado. El personal autorizado tiene que estar físicamente presente e insertar o acercar la llave al dispositivo para acceder al contenido, algo mucho más difícil de conseguir para un atacante.
Paso 3: aplica políticas de MFA condicional (desde Salesforce o tu IdP)
No todas las situaciones son iguales: hay momentos que exigen más seguridad que otros. Por ejemplo, cuando un administrador inicia sesión desde un dispositivo nuevo o desde una ubicación o país poco habituales, conviene aplicar requisitos de MFA más estrictos. Así evitas que un atacante entre con credenciales robadas o comprometidas.
En esta misma línea, apuesta por políticas de MFA adaptativas en lugar de excesivamente restrictivas. La gente puede acabar harta de tener que autenticarse una y otra vez. En vez de saturar a los usuarios con solicitudes, haz que la MFA se active solo cuando realmente sea necesario.
Paso 4: ofrece formación a los administradores pensada para pymes
Por supuesto, cada administrador también debe poner de su parte para mantener su cuenta segura. Para ayudarles, organiza sesiones de formación para los administradores de Salesforce, de modo que aprendan a reconocer intentos de phishing y ataques de fatiga de MFA. También deben saber qué hacer cuando detecten actividad sospechosa y cómo comunicarlo al equipo de TI.
En estas sesiones conviene insistir en la atención y el sentido crítico: por ejemplo, los usuarios nunca deben aprobar solicitudes de MFA inesperadas. Y para que recuerden cómo actuar, crea guías de consulta rápida o entradas en la Base de conocimientos para resolver problemas relacionados con la MFA.
Paso 5: supervisa y revisa el cumplimiento de la MFA
Para comprobar que los administradores cumplen tus requisitos de MFA, debes auditar periódicamente los registros de MFA en Salesforce. Asegúrate de que todas las cuentas de administrador tengan la MFA activada. Si hay alguna que no la tenga, resuélvelo de inmediato: habla con ese administrador y confirma que la activa.
Incluye estas comprobaciones de MFA en tus revisiones de seguridad trimestrales. Así nada se queda en el aire y los atacantes no lo tendrán fácil para romper tus defensas y acceder a los datos de tu organización.
Paso 6: verificación
Comprueba que todos los inicios de sesión de los administradores de Salesforce requieren MFA. Revisa los registros de auditoría en busca de intentos en los que la MFA se haya omitido o no se haya aplicado. Si encuentras cuentas que no cumplen, habla con el usuario de inmediato y asegúrate de que active la MFA cuanto antes.
Confirma también que los administradores utilizan métodos de MFA aprobados (apps o llaves, no SMS). Si usas llaves de hardware, lleva un control de cada una y entrégalas solo a personas de confianza.
Otros aspectos a tener en cuenta al exigir MFA a tus administradores de Salesforce
- Algunas aplicaciones conectadas a Salesforce pueden no admitir MFA. En esos casos, utiliza usuarios de integración con permisos limitados y autenticación basada en tokens.
- La obligatoriedad de la MFA suele formar parte de los requisitos de cumplimiento de las pymes, sobre todo en el caso de HIPAA, PCI DSS y GDPR.
- Estandariza la aplicación de la MFA en todos los clientes de Salesforce que gestione el MSP.
⚠️ Aspectos a vigilar
| Riesgos | Posibles consecuencias | Cómo solucionarlos |
| Los administradores eluden la MFA con aplicaciones heredadas | Las aplicaciones heredadas pueden ser menos seguras y, al saltarse la MFA, permitir que un atacante acceda a los datos de tu servicio. | Debes restringir o actualizar esas integraciones. Los administradores solo deberían acceder a sus cuentas desde aplicaciones actualizadas y aprobadas. |
| Quejas por fatiga de MFA | Los usuarios pueden mostrarse reticentes a usar la MFA y buscar formas de evitarla. | Optimiza las reglas de acceso condicional y reduce las solicitudes innecesarias. |
| Pérdida de una llave de hardware | Sin la llave de hardware no podrás acceder a datos importantes. | Mantén métodos alternativos de autenticación bajo supervisión del administrador. |
Integraciones de NinjaOne para aplicar políticas de MFA
- Documentación: guarda los procedimientos (SOP) de aplicación de MFA para administradores de Salesforce en la plataforma de documentación de NinjaOne.
- Automatización: lanza tareas de baja para eliminar cuentas de administrador y reasignar la MFA.
- Supervisión: utiliza las alertas de NinjaOne para detectar problemas de autenticación en todos tus clientes.
- Informes: incluye el estado de la MFA en tus QBR para mostrar el avance en materia de cumplimiento.
Refuerza la seguridad para proteger las cuentas de administrador con MFA en Salesforce
Los administradores de Salesforce son una superficie de riesgo crítica para las pymes. Cuentan con permisos muy amplios que resultan peligrosos en manos de un atacante. Reforzar las políticas de MFA garantiza que estas cuentas con privilegios elevados estén protegidas frente a los ataques actuales, al tiempo que contribuye al cumplimiento normativo y a la confianza de los clientes.
Enlaces relacionados:
