Doble factor (MFA) en el software de RRHH

Un sistema de recursos humanos concentra lo que ninguna otra herramienta de la empresa reúne a la vez: la jornada de cada persona, sus ausencias, sus datos de contacto, a menudo su cuenta bancaria y, en algunos módulos, información de salud. El día que alguien entra con la contraseña de un administrador, no se lleva un archivo: se lleva la nómina entera.

El doble factor es la medida que corta ese escenario, y es también la que más resistencia genera cuando se aplica sin pensar: nadie quiere que un operario tenga que introducir un código de seis dígitos para fichar a las seis de la mañana con guantes puestos. La solución no es elegir entre seguridad y usabilidad, sino aplicar el factor adicional donde está el riesgo.

TL;DR

Hay tres tipos de factor de autenticación: algo que se sabe, algo que se tiene y algo que se es (anexo IV del RD 311/2022, que regula el Esquema Nacional de Seguridad).

Autenticación multifactor es «la exigencia de dos o más factores de autenticación para ratificar una autenticación como válida» (mismo anexo).

El ENS exige un segundo factor en su refuerzo op.acc.6.r2 y, de forma específica, doble factor para el acceso desde o a través de zonas no controladas (refuerzo op.acc.6.r8).

El ENS se aplica también a empresas privadas cuando presten servicios o provean soluciones al sector público en virtud de una relación contractual (art. 2.3 del RD 311/2022).

El art. 28 de la LOPDGDD obliga a determinar las medidas técnicas y organizativas apropiadas, valorando en particular los riesgos de usurpación de identidad o fraude.

Qué es exactamente un «factor»

La definición más precisa disponible en el ordenamiento español está en el anexo IV del Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad:

«Factor de autenticación: hay 3 tipos de factores de autenticación: (1) algo que se sabe, un secreto; (2) algo que se tiene, un autenticador; y (3) algo que se es, biometría.»

Y en el mismo anexo:

«Autenticación multifactor: exigencia de dos o más factores de autenticación para ratificar una autenticación como válida.»

De ahí se sigue algo que en la práctica se confunde a menudo: dos contraseñas no son dos factores. Ni una contraseña más una pregunta de seguridad. Ambas son «algo que se sabe». Para que haya doble factor, los dos elementos tienen que pertenecer a categorías distintas.

El refuerzo op.acc.6.r2 del anexo II del mismo real decreto lo concreta:

«Se requerirá un segundo factor tal como "algo que se tiene", es decir, un dispositivo, una contraseña de un solo uso (OTP, en inglés) como complemento a la contraseña de usuario, o "algo que se es".»

Sobre el tercer tipo de factor —«algo que se es»— conviene una advertencia. En un sistema de fichaje, tratar datos biométricos activa el régimen de categorías especiales de datos y exige un análisis que la mayoría de las empresas no supera. El asunto está desarrollado en las guías sobre biometría en el fichaje y por qué conviene evitarla y sobre datos biométricos y el artículo 9 del RGPD. Para el segundo factor de un software de RRHH, «algo que se tiene» resuelve el problema sin abrir ese frente.

Cuándo el doble factor deja de ser una recomendación

Para el sector público y sus proveedores, el ENS lo convierte en exigencia. El artículo 2.3 del RD 311/2022 establece que el real decreto se aplica también

«a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas.»

Y añade que los pliegos de los contratos del sector público contemplarán los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en que se sustenten los servicios prestados por los contratistas, extendiéndose la cautela a su cadena de suministro en la medida en que sea necesario.

Traducido: una empresa que gestiona personal de un ayuntamiento, de un consorcio o de una entidad pública, o que le presta un servicio con medios propios, se encuentra con estas exigencias en el pliego.

El refuerzo op.acc.6.r8 del anexo II es el que más directamente afecta a un software de RRHH en la nube:

«Refuerzo R8-Doble factor para acceso desde o a través de zonas no controladas. — [op.acc.6.r8.1] Para el acceso desde o a través de zonas no controladas se requerirá un doble factor de autenticación […].»

Acceder desde casa, desde el móvil o desde una red pública es exactamente eso: acceso a través de zona no controlada.

Fuera del ámbito del ENS, la obligación no está tasada pero tampoco es libre. El artículo 28.1 de la LOPDGDD dispone que los responsables y encargados determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme. Y su apartado 2 obliga a tener en cuenta, en particular, los mayores riesgos que podrían producirse

«cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional […]».

Usurpación de identidad y fraude son precisamente los escenarios que el segundo factor bloquea.

Dónde aplicarlo y dónde no

El error de implantación más común es aplicar la misma exigencia a todo el mundo. Un sistema de RRHH tiene perfiles con riesgos muy distintos.

Perfil	Qué puede ver o hacer	Segundo factor
Persona que solo ficha desde el kiosko del centro	Su propia entrada y salida	No procede: el acceso es local y el dato, mínimo
Persona empleada desde su móvil o el navegador	Sus propios datos, sus ausencias, sus documentos	Recomendable en el primer acceso desde un dispositivo nuevo
Responsable de equipo	Datos de jornada de su equipo, aprobaciones	Sí, para el acceso desde fuera de la red de la empresa
Administración de personal	Toda la plantilla, nóminas, datos bancarios	Sí, siempre
Administrador del sistema	Configuración, permisos, exportaciones masivas	Sí, siempre y sin excepción

La lógica es doble: cuanto más amplio es el alcance de la cuenta, más justificado está el factor adicional; y cuanto menos controlado es el entorno desde el que se accede, más lo está también, que es lo que recoge el refuerzo op.acc.6.r8.

El fichaje ordinario en un kiosko del centro de trabajo es el caso en el que aplicar doble factor produce más daño que beneficio: alarga el marcaje en el momento de mayor cola y empuja a la gente a compartir credenciales, que es justo lo contrario de lo que se buscaba. La comparación entre métodos de marcaje está en la guía sobre kiosko de fichaje en tablet con PIN.

Las reglas de gestión de credenciales que acompañan al factor

El doble factor no funciona solo. El propio op.acc.6 del anexo II del RD 311/2022 lo rodea de obligaciones que conviene trasladar a cualquier política interna, sea o no de aplicación el ENS:

[op.acc.6.3] Las credenciales estarán bajo el control exclusivo del usuario y se activarán una vez estén bajo su control efectivo.
[op.acc.6.5] Las credenciales serán inhabilitadas —pudiendo ser regeneradas— cuando conste o se sospeche su pérdida, compromiso o revelación a entidades no autorizadas.
[op.acc.6.6] Las credenciales serán inhabilitadas cuando el usuario que autentican termina su relación con el sistema.
[op.acc.6.7] Antes de autorizar el acceso, la información presentada será la mínima imprescindible, evitando revelar datos sobre el sistema o la cuenta; y si se rechaza, no se informará del motivo del rechazo.
[op.acc.6.8] El número de intentos permitidos será limitado, bloqueando el acceso una vez superado y requiriendo una intervención específica para reactivar la cuenta.

La sexta de esas reglas es la que más se incumple en la práctica: cuentas de personas que se fueron hace meses y siguen activas. Un segundo factor no protege de una cuenta que no debería existir.

Y hay una obligación de forma que el ámbito laboral añade. El artículo 87 de la LOPDGDD exige que los empleadores establezcan criterios de utilización de los dispositivos digitales respetando los estándares mínimos de protección de la intimidad, con participación de los representantes de los trabajadores en su elaboración, y que las personas trabajadoras sean informadas de esos criterios. Si el segundo factor se apoya en el móvil personal, ese punto hay que resolverlo por escrito y ofrecer alternativa.

Lo que el doble factor no resuelve

Conviene decirlo, porque se vende como si lo cubriera todo.

No sustituye al control de permisos. Que una persona se autentique bien no significa que deba ver la jornada de toda la plantilla. La minimización de accesos es una medida distinta y previa.

No garantiza la integridad del registro. Un usuario legítimo con permisos amplios puede modificar apuntes. Lo que protege ahí es que las correcciones no sobrescriban el original y queden trazadas con autor, fecha y motivo, materia tratada en la guía sobre sanciones por manipulación del registro de jornada.

No cubre la conservación. El artículo 34.9 del ET obliga a conservar los registros cuatro años y a mantenerlos a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social. Eso es disponibilidad, no autenticación, y se resuelve con copias y con un plan de salida del proveedor. Está desarrollado en la guía sobre conservar el registro de jornada cuatro años.

No sustituye al deber de confidencialidad. El artículo 5 de la LOPDGDD sujeta al deber de confidencialidad a responsables, encargados y a todas las personas que intervengan en cualquier fase del tratamiento, y precisa que esa obligación se mantiene aun cuando haya finalizado la relación con el responsable o encargado.

Preguntas frecuentes

¿Qué cuenta como segundo factor?

Un elemento de una categoría distinta a la primera. Según el anexo IV del RD 311/2022, los tipos son «algo que se sabe», «algo que se tiene» y «algo que se es». Una contraseña más un código de un solo uso enviado a un dispositivo son dos factores; una contraseña más una pregunta de seguridad, no.

¿Es obligatorio el doble factor en un software de RRHH?

No hay una obligación general para todas las empresas. Sí la hay cuando resulta aplicable el Esquema Nacional de Seguridad, incluido el caso del artículo 2.3 del RD 311/2022 para entidades privadas que prestan servicios o proveen soluciones al sector público. Fuera de ese ámbito, el artículo 28 de la LOPDGDD obliga a determinar las medidas apropiadas atendiendo al riesgo, y el de usurpación de identidad está expresamente citado.

¿Hay que pedir doble factor para fichar?

No es lo razonable en el marcaje ordinario desde un kiosko del centro. El riesgo está en las cuentas con acceso amplio y en los accesos desde entornos no controlados, que es lo que contempla el refuerzo op.acc.6.r8 del anexo II del RD 311/2022.

¿Se puede exigir usar el móvil personal para el segundo factor?

Conviene ofrecer alternativa y dejarlo escrito. El artículo 87 de la LOPDGDD obliga a establecer criterios de utilización de los dispositivos digitales con participación de los representantes de los trabajadores y a informar de ellos a la plantilla.

¿Vale la huella como segundo factor?

Técnicamente es «algo que se es», pero en el ámbito laboral el tratamiento de datos biométricos activa el régimen de categorías especiales de datos y exige un análisis exigente. Para un software de RRHH, «algo que se tiene» cubre el mismo objetivo sin ese coste.

¿Qué pasa con las cuentas de quien deja la empresa?

Deben inhabilitarse. Es la regla op.acc.6.6 del anexo II del RD 311/2022: las credenciales se inhabilitan cuando el usuario que autentican termina su relación con el sistema.

Cómo lo resuelve Tempika

En Tempika el segundo factor se aplica donde hay alcance, no donde hay volumen. Quien solo ficha desde el kiosko en tablet del centro sigue haciéndolo con su PIN o con el QR, sin pasos añadidos en la cola de las seis de la mañana. Las cuentas con acceso a datos de terceros —responsables de equipo, administración de personal y administración del sistema— pueden exigir un segundo factor, y el acceso desde dispositivos no reconocidos se trata como lo que es: un acceso desde una zona no controlada.

Alrededor del factor están las piezas que lo hacen útil: permisos por rol para que cada perfil vea solo lo suyo, bloqueo tras intentos fallidos, y baja inmediata de credenciales cuando una persona deja la organización. Sobre la integridad del dato actúa otro mecanismo distinto: cada apunte se encadena mediante hash con el anterior —el verifyChain—, de modo que cualquier modificación posterior es detectable y las correcciones quedan trazadas con autor, fecha y motivo. El modo Inspección entrega el periodo en CSV, XML y PDF.

Puedes ver el detalle en las funcionalidades de Tempika o revisar cómo se protegen los datos de la plantilla en la guía sobre derechos del trabajador sobre los datos de fichaje.

Contenido elaborado por el Equipo Tempika (Summum Marketing) con la redacción vigente del Real Decreto 311/2022, de la LOPDGDD y del Estatuto de los Trabajadores consultada en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.