MFA con FIDO2 en sector financiero boricua: más allá del SMS

Cooperativas de ahorro, servicios de pago y bancos regionales en Puerto Rico migran clientes a apps móviles mientras empleados internos aún usan SMS OTP para acceder a consolas administrativas. CISA y NIST 800-63B son claros: SMS es resistencia AAL1, no AAL2 para operaciones de alto valor. Krebs on Security lleva años documentando SIM swap contra objetivos financieros.

FIDO2 — llaves hardware YubiKey o passkeys en dispositivos c

FIDO2 — llaves hardware YubiKey o passkeys en dispositivos corporativos — elimina el factor interceptable. Para sector financiero boricua, priorice: administradores de core banking, analistas de fraude, acceso a SWIFT o redes de compensación, y cuentas con permisos de transferencia ACH masiva. Empleados en sucursales de Ponce o Carolina no necesitan la misma política que treasury en San Juan, pero sí MFA phishing-resistant.

Implementación práctica: Microsoft Entra ID o Okta con FIDO2

Implementación práctica: Microsoft Entra ID o Okta con FIDO2 enforced para grupos de riesgo, SMS solo como fallback documentado y expirado en 90 días, y proceso de onboarding de llaves en persona para roles críticos. Bruce Schneier señala que MFA mal implementado genera workarounds — evite excepciones permanentes para "el VP que viaja mucho".

Regulatorio: instituciones financieras en PR bajo supervisión local y federal deben demostrar controles de acceso proporcionales al riesgo. Auditorías preguntan por cobertura MFA, no por checkbox. Documente inventario de llaves, procedimiento de pérdida, y revocación en offboarding.

El costo de YubiKeys para 200 empleados críticos es fracción de una sola transferencia fraudulenta por BEC. Sector financiero boricua compite con neobancos continentales en UX — FIDO2 puede ser tanto control de seguridad como diferenciador de confianza para clientes enterprise en el Caribe.