¿Cuál es el error en este fragmento de código que intenta proteger una ruta para usuarios autenticados?

let autenticacion = (req, res) => {
    if (req.session && req.session.usuario) next();
    else res.redirect('/login');
};
app.get('/protegido', autenticacion, (req, res) => {
    res.send('Acceso concedido');
});