Políticas de contraseñas en empresas: medir ROI

Implementar políticas de contraseñas para empresas supone tiempo, esfuerzo y, en muchos casos, una inversión significativa en herramientas y capacitación. Cuando el proyecto está en marcha, el gerente o dueño necesita saber si esos recursos están generando el valor esperado. En este artículo descubrirás qué métricas observar, cómo establecer la línea de base, en qué plazo se evidencian los cambios y qué hacer si los resultados no coinciden con lo planificado.

Qué medir y qué no

No todas las cifras que aparecen en los dashboards son útiles para decidir si la política de contraseñas ha sido rentable. Distinguimos entre indicadores de rendimiento (KPIs) y métricas de vanidad.

• KPIs relevantes
  • Reducción de incidentes de acceso no autorizado: número de intentos fallidos bloqueados y casos reales de brechas relacionadas con contraseñas.
  • Tiempo medio de resolución (MTTR) de incidencias de acceso: cuánto se tarda en restablecer una cuenta después de un olvido o bloqueo.
  • Cumplimiento de normas locales: porcentaje de usuarios que cumplen con los requisitos de complejidad y renovación exigidos por la normativa peruana (ej. Ley de Protección de Datos Personales).
  • Costo operativo por incidente: gasto de horas‑hombre y recursos de TI por cada incidente evitado.
• Métricas de vanidad
  • Número total de contraseñas cambiadas al mes (no refleja si la calidad mejora).
  • Cantidad de usuarios que han recibido capacitación (sin medir la retención de conocimientos).

Enfócate en los KPIs que conectan directamente con costos y riesgos operacionales; los demás pueden servir para diagnóstico interno, pero no para calcular ROI.

Cómo tomar la medida de partida

Sin una línea base clara, cualquier comparación posterior carece de sentido. Registra lo siguiente antes de lanzar la nueva política:

1. Incidentes de acceso: historial de intentos fallidos, bloqueos y brechas de los últimos 12 meses.
2. Tiempo de soporte: promedio de minutos/hora que el equipo de TI dedica a restablecer contraseñas o desbloquear cuentas.
3. Cumplimiento actual: porcentaje de usuarios que ya cumplen con los requisitos mínimos de longitud y complejidad.
4. Costos asociados: salarios del personal de soporte, licencias de herramientas de gestión de contraseñas y cualquier gasto en auditorías de seguridad.
5. Nivel de riesgo percibido: puntuación de riesgo interno basada en la matriz de amenazas (por ejemplo, riesgo alto si se detectan intentos de phishing frecuentes).

Documenta todo en una hoja de cálculo o en la herramienta de gestión de proyectos que use tu empresa; esto será la referencia para medir el impacto.

Cuándo se nota el cambio

Los efectos de una política de contraseñas no son instantáneos. Los plazos varían según la madurez de la organización y la complejidad de los cambios.

• Primeras 2‑4 semanas: se observa una disminución del 10‑15 % en intentos fallidos simples, gracias a la imposición de longitud mínima y prohibición de contraseñas comunes.
• Mes 2‑3: el MTTR suele bajar entre 20‑30 %, porque las herramientas de auto‑restablecimiento y la capacitación empiezan a ser habituales.
• Mes 4‑6: el cumplimiento alcanza el 90 % o más, siempre que la política incluya recordatorios automáticos y auditorías periódicas.
• Mes 6‑12: el costo operativo por incidente puede reducirse hasta en 40 %, lo que se traduce en un ahorro tangible para la empresa.

Estos rangos se basan en proyectos de Kovensa con clientes peruanos que han adoptado sistemas de gestión de accesos y contraseñas integrados con el control de accesos y permisos de usuarios.

Qué hacer si los números no salen

Cuando los indicadores no mejoran, es crucial distinguir entre un proyecto mal ejecutado y una medición incorrecta.

• Revisa la calidad de los datos: verifica que los logs de autenticación estén centralizados y que no haya filtros que omitan intentos fallidos.
• Evalúa la adopción real: si el cumplimiento es bajo, revisa si los recordatorios llegan a los usuarios o si la herramienta de gestión está configurada correctamente.
• Analiza la configuración de la política: una longitud excesiva o requisitos de complejidad que no consideran el contexto local (por ejemplo, uso de caracteres especiales que el teclado peruano dificulta) pueden generar resistencia y mayor número de tickets.
• Ajusta el proceso de soporte: si el MTTR no disminuye, quizá el flujo de trabajo interno necesita automatización adicional o mayor capacitación al personal de TI.
• Considera factores externos: un aumento de ataques de phishing a nivel nacional puede inflar los intentos fallidos, distorsionando la percepción del impacto.

Si después de revisar estos puntos los KPIs siguen sin moverse, el proyecto debe re‑evaluarse: quizás la inversión debería redirigirse a una solución de gestión de identidades y accesos (IAM) más robusta o a una política de autenticación multifactor (MFA) complementaria.

Conclusión

Medir el valor de las políticas de contraseñas para empresas no es cuestión de contar cuántas contraseñas se cambian, sino de rastrear incidentes, tiempos de respuesta y costos operativos. Establecer una línea base sólida, observar mejoras en plazos de 2 semanas a 6 meses y actuar rápidamente ante métricas estancadas permite a gerentes y dueños tomar decisiones basadas en datos reales, alineadas con la normativa peruana y con los objetivos de eficiencia de la organización.