¿Qué pasa cuando 20 personas están listas para trabajar, pero necesitan que un supervisor autorice cada inicio de sesión? Un proceso que debería tomar pocos segundos puede convertirse en una fila de espera. Y cuando sucede al comienzo de cada turno, el problema ya no es únicamente de tecnología: afecta la operación, el tiempo de los líderes y el acceso a aplicaciones críticas.
Este escenario es común en áreas que usan sistemas en la nube y restringen el uso de teléfonos en el puesto de trabajo, como algunos centros de contacto. Aquí analizamos el reto de Cisco Duo, Salesforce y la autenticación multifactor (MFA) sin proponer atajos que reduzcan la seguridad.
El escenario: 20 agentes esperando una segunda verificación
Imagina un equipo de telemarketing que necesita acceder a Salesforce al comenzar su jornada. Cada persona tiene su propia cuenta, pero no puede utilizar un teléfono móvil en el área de trabajo. Si los métodos de verificación están concentrados en el dispositivo de un supervisor, este debe atender una solicitud tras otra antes de que todos puedan comenzar.
En un escenario de alta fricción, el proceso puede consumir hasta 90 minutos de atención acumulada del supervisor. No significa necesariamente que los 20 agentes pierdan 90 minutos cada uno: el impacto real depende de cuántos esperan, cuánto tarda cada autorización y si pueden realizar otras tareas mientras tanto.
Además de la espera, aparece una pregunta de seguridad: ¿cómo se comprueba que cada segundo factor pertenece realmente a la persona que está iniciando sesión? El supervisor no debería convertirse en quien valida continuamente las identidades de terceros.
El problema no es la MFA: es cómo está implementada
La autenticación multifactor agrega una comprobación más allá de la contraseña. Su función es reducir el riesgo de accesos no autorizados. Por eso, desactivarla para acelerar el ingreso no es una respuesta adecuada. Tampoco conviene compartir un único segundo factor entre múltiples personas.
Antes de cambiar cualquier ajuste, el equipo técnico debe identificar dónde ocurre el desafío: en Salesforce directamente, en Cisco Duo mediante inicio de sesión único (SSO), en otro proveedor de identidad o durante la activación de un dispositivo. Esta diferencia determina qué métodos pueden configurarse y qué políticas deben cumplirse.
¿Se puede usar Cisco Duo sin un teléfono personal?
Sí, en determinados escenarios. Cisco documenta el uso de llaves de seguridad y tokens físicos para autenticar usuarios sin teléfono. Salesforce también admite métodos como llaves de seguridad y autenticadores integrados en equipos compatibles, por ejemplo mediante capacidades FIDO2/WebAuthn.
Sin embargo, no todos los métodos cumplen los mismos requisitos de seguridad. La compatibilidad depende de la aplicación, la integración SSO, el navegador, el sistema operativo y las políticas vigentes. En particular, Salesforce y Cisco han documentado requisitos más estrictos en 2026 para ciertos métodos de autenticación resistentes al phishing. Por eso, utilizar códigos temporales de un token no debe asumirse automáticamente como una opción válida en todas las integraciones.
Cuatro alternativas que vale la pena evaluar
1. Llaves de seguridad físicas individuales
Una llave FIDO2/WebAuthn puede permitir que cada agente demuestre su identidad sin depender del teléfono del líder. Para evaluarla hay que revisar compatibilidad con Salesforce, Duo, navegadores, puertos USB, administración de dispositivos, registro por usuario y procedimientos ante extravío.
2. Autenticadores integrados en estaciones de trabajo
Algunos entornos permiten usar un autenticador de plataforma, como Windows Hello, con las capacidades y políticas correspondientes. Esta opción merece especial atención cuando la empresa controla las computadoras. Antes de adoptarla se deben revisar equipos compartidos, identidad de Windows, perfiles de usuario y mecanismos de recuperación.
3. Revisar el inicio de sesión único y las políticas de Duo
Si Salesforce recibe la autenticación de un proveedor de identidad, el equipo de seguridad puede revisar el flujo completo de SSO, los métodos permitidos, la evaluación del dispositivo y los desafíos repetidos. El objetivo es evitar solicitudes innecesarias sin eliminar verificaciones obligatorias ni reducir los controles de acceso.
4. Registrar métodos alternos y planificar contingencias
Cuando un trabajador pierde su método principal, necesita un procedimiento de recuperación seguro. La solución debe definir quién puede registrar o sustituir verificadores, cómo se verifica la identidad del empleado y qué evidencia queda del cambio. Los códigos de excepción, cuando existen, deben reservarse para situaciones controladas y temporales.
Qué debe revisar TI antes de decidir
Para convertir el problema en un proyecto técnico conviene responder estas preguntas:
- ¿El acceso a Salesforce es directo o utiliza SSO con Cisco Duo u otro proveedor de identidad?
- ¿La segunda verificación corresponde a MFA o a un desafío de activación de dispositivo?
- ¿Los agentes usan equipos dedicados, compartidos o escritorios virtuales?
- ¿Qué métodos están permitidos por las políticas de seguridad y la configuración actual?
- ¿Qué restricciones existen sobre teléfonos, llaves USB, biometría y aplicaciones de escritorio?
- ¿Cuántas personas esperan realmente y cuánto tiempo consume el supervisor durante cada turno?
- ¿Cómo se registran, revocan y recuperan los métodos de autenticación individuales?
Con estas respuestas es posible preparar una prueba de concepto limitada, validar los requisitos de seguridad y medir el tiempo de acceso antes de llevar cambios a toda la operación.
Cómo medir el impacto más allá de la pantalla de inicio
El indicador principal no debería ser solo el tiempo que tarda en aparecer Salesforce. También hay que medir cuántos accesos requieren intervención del supervisor, cuántos intentos fallan, el tiempo acumulado de espera por turno y cuántos incidentes se generan por pérdida de un método de autenticación.
Así, el área de TI puede demostrar el valor operativo de un proceso de acceso mejor diseñado y mantener evidencia de que los controles de identidad siguen funcionando.
¿Cómo puede ayudar DITRA?
En DITRA trabajamos en proyectos de redes, ciberseguridad y acceso empresarial. Podemos ayudar a revisar la arquitectura de autenticación, evaluar opciones compatibles, realizar pruebas controladas y definir un proyecto de mejora según las políticas del cliente. El punto de partida es comprender el flujo real; no recomendar una tecnología sin diagnóstico.
¿Tu empresa usa Cisco Duo o Salesforce y sus empleados dependen de un supervisor para iniciar sesión? Habla con un especialista de DITRA y solicita una evaluación de tu proyecto Cisco. También puedes conocer nuestras capacidades de consultoría y soporte especializado.
Fuentes oficiales para profundizar
- Cisco Duo: autenticación sin teléfono
- Cisco Duo: integración SSO con Salesforce
- Salesforce: métodos admitidos de autenticación multifactor
- Salesforce: activación de dispositivos e inicio de sesión SSO
Nota técnica: Este artículo describe un escenario operativo ilustrativo y posibles líneas de evaluación. No documenta una implementación terminada ni sustituye la validación de las políticas, compatibilidad y requisitos vigentes de Salesforce y Cisco Duo.
