Durante años, muchas empresas establecieron políticas que obligaban a los empleados a cambiar sus contraseñas cada 30, 60 o 90 días. La lógica parecía sencilla: cuanto más frecuentemente se cambie una contraseña, menor será el riesgo. Sin embargo, los estándares modernos de seguridad digital han evolucionado.
La versión 4 de NIST SP 800-63B, publicada en julio de 2025, establece un criterio diferente: las organizaciones no deben exigir cambios periódicos arbitrarios de contraseñas. En cambio, deben obligar a cambiar una contraseña cuando exista evidencia de que el autenticador ha sido comprometido.
Este cambio tiene importantes implicaciones para los gerentes de TI, responsables de seguridad de la información y dueños de empresas. La pregunta ya no es únicamente “¿cada cuánto debemos cambiar las contraseñas?”, sino “¿qué controles debemos implementar para que las credenciales corporativas sean realmente seguras?”.
¿Qué dice NIST sobre cambiar las contraseñas?
La recomendación actual de NIST es clara: no se deben exigir cambios periódicos de contraseñas de manera arbitraria. El cambio debe realizarse cuando exista evidencia de compromiso.
Esto significa que una empresa no obtiene necesariamente mayor seguridad obligando a sus empleados a modificar sus contraseñas cada 60 o 90 días.
De hecho, NIST explica que los cambios frecuentes pueden provocar comportamientos contraproducentes. Cuando las personas saben que tendrán que modificar una contraseña pronto, pueden elegir contraseñas más débiles o realizar modificaciones predecibles sobre la anterior, como añadir un número al final.
Por ejemplo, un usuario podría pasar de Empresa2026 a Empresa2027, creando una falsa sensación de seguridad.
Entonces, ¿cuándo debe cambiarse una contraseña corporativa?
Una contraseña debería cambiarse inmediatamente cuando exista evidencia o sospecha razonable de compromiso.
Algunos escenarios que pueden justificar un cambio son:
- La contraseña aparece en una filtración de datos.
- El usuario sospecha que sus credenciales fueron robadas.
- Se detectan accesos no autorizados.
- Se identifica actividad anómala asociada a la cuenta.
- El empleado utiliza accidentalmente sus credenciales en una página de phishing.
- Se produce una pérdida o compromiso de un autenticador.
- Una investigación de seguridad determina que las credenciales pudieron haber sido expuestas.
NIST establece que, cuando un autenticador está comprometido, debe invalidarse o sustituirse oportunamente, y las organizaciones deberían establecer tiempos para actuar ante estos eventos.
El enfoque moderno: contraseñas fuertes y únicas
Eliminar el cambio periódico no significa permitir contraseñas débiles.
El enfoque moderno prioriza longitud, unicidad y resistencia al compromiso. NIST SP 800-63B-4 establece que una contraseña utilizada como único factor debe tener como mínimo 15 caracteres y recomienda permitir contraseñas de al menos 64 caracteres. También indica que no deben imponerse reglas arbitrarias de composición, como obligar siempre a combinar mayúsculas, minúsculas, números y símbolos.
La prioridad debe ser evitar contraseñas previsibles y comprometidas.
Para una empresa, esto implica implementar políticas que bloqueen credenciales conocidas como vulneradas, comunes o fácilmente asociadas al contexto de la organización. NIST recomienda utilizar listas de bloqueo que incluyan contraseñas provenientes de filtraciones anteriores, palabras de diccionario y términos relacionados con el servicio o usuario.
¿Por qué los gestores de contraseñas son importantes?
Una de las dificultades de la seguridad corporativa es pedir a los empleados que creen contraseñas largas y diferentes para cada servicio.
En la práctica, esto puede llevar a reutilizar credenciales.
Los gestores de contraseñas permiten generar y almacenar contraseñas únicas sin que el usuario tenga que memorizarlas todas. NIST reconoce que los gestores pueden facilitar el uso de credenciales distintas para cada servicio y reducir riesgos asociados con la reutilización de contraseñas.
Para una organización, esto puede complementarse con políticas corporativas y controles centralizados de identidad.
MFA es más importante que cambiar contraseñas constantemente
Una estrategia moderna no debería depender exclusivamente de una contraseña.
La autenticación multifactor (MFA) agrega factores adicionales para dificultar que un atacante acceda a una cuenta aun cuando consiga conocer la contraseña. NIST señala que combinar múltiples factores dificulta determinados ataques contra autenticadores.
Además, debe considerarse un punto fundamental: las contraseñas no son resistentes al phishing. NIST SP 800-63B-4 establece expresamente esta limitación.
Por ello, para cuentas críticas y privilegiadas conviene avanzar hacia mecanismos de autenticación resistentes al phishing, junto con una adecuada gestión de identidades y privilegios.
¿Qué política de contraseñas debería adoptar una empresa?
Una política empresarial moderna podría establecer cinco principios fundamentales.
- Primero, no exigir cambios periódicos arbitrarios.
- Segundo, exigir contraseñas suficientemente largas y bloquear contraseñas conocidas o comprometidas.
- Tercero, utilizar contraseñas únicas por servicio, evitando su reutilización.
- Cuarto, implementar MFA y priorizar mecanismos resistentes al phishing para cuentas críticas.
- Quinto, disponer de mecanismos para detectar rápidamente credenciales comprometidas y forzar su cambio o invalidación.
Este enfoque permite dedicar los recursos de seguridad a controles que atacan riesgos reales, en lugar de convertir el cambio periódico de contraseñas en un procedimiento administrativo.
¿Qué ocurre con las cuentas privilegiadas?
Las cuentas administrativas merecen un tratamiento especialmente riguroso.
Un atacante que consigue las credenciales de un administrador puede tener una capacidad de impacto considerablemente superior a la de una cuenta estándar. Por ello, las organizaciones deben aplicar controles adicionales como MFA, mínimo privilegio, separación de cuentas administrativas y monitoreo de actividades privilegiadas.
En determinados entornos también puede ser recomendable utilizar soluciones de Privileged Access Management (PAM) para controlar, registrar y administrar el acceso a cuentas privilegiadas.
El objetivo es reducir la dependencia de una contraseña estática como único mecanismo de protección.
¿Cómo saber si una contraseña debe cambiarse?
Una organización madura necesita capacidad para detectar indicadores de compromiso.
Por ejemplo, una alerta de acceso desde una ubicación inusual, autenticaciones anómalas, evidencia de phishing, credenciales encontradas en una filtración o comportamiento sospechoso pueden justificar una respuesta inmediata.
La gestión moderna de identidad debe permitir detectar, revocar, restablecer y monitorear credenciales comprometidas sin depender de un calendario fijo.
NIST SP 800-63B-4 también enfatiza la gestión del ciclo de vida de los autenticadores y la actuación ante su pérdida, robo o compromiso.
¿Cómo puede ayudar Pawa Peru?
La protección de las credenciales corporativas requiere mucho más que definir una frecuencia de cambio de contraseña.
En Pawa Peru, ayudamos a las organizaciones a fortalecer su seguridad mediante soluciones orientadas a gestión de identidades, protección de cuentas privilegiadas, autenticación, monitoreo y detección de amenazas.
Para los dueños de empresas, gerentes de TI y oficiales de seguridad de la información, el objetivo debe ser construir una arquitectura donde el compromiso de una contraseña no se convierta automáticamente en un acceso a los sistemas críticos.
Conclusión
Según el enfoque moderno de NIST, no existe una recomendación de cambiar todas las contraseñas corporativas cada 30, 60 o 90 días de forma arbitraria. La prioridad es utilizar contraseñas largas, únicas y no comprometidas, complementarlas con MFA y forzar el cambio cuando exista evidencia de compromiso.
La seguridad empresarial ha evolucionado desde una política centrada en “cambiar la contraseña cada cierto tiempo” hacia una estrategia basada en gestión continua del riesgo, identidad, detección de compromiso y autenticación robusta.
Para una empresa, la pregunta correcta no debería ser “¿cada cuánto cambiamos las contraseñas?”, sino:
“¿Tenemos la capacidad de impedir, detectar y responder rápidamente cuando una credencial corporativa es comprometida?”
