Uso compartido seguro de contraseñas para equipos y empresas

El SSO protege las aplicaciones empresariales integradas, dejando abiertos otros vectores de acceso. Las investigaciones muestran que el 96 % de los inicios de sesión de correo electrónico y el 91 % de las herramientas de IA operan fuera del perímetro del SSO. Las cuentas de servicio, la infraestructura heredada, los portales de proveedores y el SaaS fantasma requieren un almacén de credenciales dedicado. Los datos del sector confirman que el 74 % de los profesionales de seguridad consideran que el SSO por sí solo es una solución incompleta de control de acceso.

NIS2 prohíbe el uso compartido de credenciales sin cifrar y sin rastrear. En virtud de los artículos 21(2)(j) y (g), las organizaciones deben proteger el control de acceso y mantener una estricta higiene de ciberseguridad. Esto exige que todas las credenciales corporativas compartidas estén cifradas, limitadas a los usuarios autorizados mediante el principio de mínimo privilegio y completamente auditadas. Compartir contraseñas a través de canales de texto plano, como aplicaciones de chat u hojas de cálculo, viola estos requisitos, ya que impide a los auditores identificar qué persona accedió realmente al sistema.

El artículo 9(4)(c) y (d) de DORA exige a las entidades financieras y a sus proveedores críticos de TIC que apliquen el mínimo privilegio, una autenticación sólida y controles explícitos contra credenciales compartidas para el acceso privilegiado. Los reguladores exigen pruebas documentadas de estos controles de acceso. La implementación de una bóveda centralizada con acceso basado en roles, MFA y registros de auditoría proporciona la documentación de cumplimiento necesaria.

El Anexo A.5.17 establece que la información de autenticación debe permanecer confidencial, segura y protegida contra el uso compartido no autorizado. Cuando las credenciales compartidas son inevitables para entidades no personales, las organizaciones deben restringirlas al personal autorizado mediante controles documentados. Los auditores exigen pruebas verificables —incluidos registros de permisos, revisiones de acceso y políticas de uso aceptable firmadas— que los documentos estáticos y los historiales de chat no pueden generar.

Sí. Passwork admite la implementación on-premises en su centro de datos privado, incluidos entornos aislados (air-gapped) para industrias reguladas. También ofrecemos una opción de nube segura alojada en Alemania y una plataforma de nube empresarial multirregional con una implementación principal en la UE. Las tres opciones cumplen el RGPD y respaldan los requisitos del marco de cumplimiento ISO 27001.

Desactivar a un usuario en su proveedor de identidad o marcarlo como saliente en Passwork revoca instantáneamente todo el acceso a las bóvedas. La plataforma termina inmediatamente las sesiones activas y registra el evento en el registro de auditoría, detallando quién tenía el acceso y cuándo se revocó. Este flujo de trabajo automatizado aborda directamente las brechas de offboarding expuestas en los incidentes de seguridad de Coupang y KiranaPro.

Los mensajes de chat, los hilos de correo electrónico y los almacenes del navegador carecen de controles de acceso y estándares de cifrado. Las credenciales guardadas en el navegador son el objetivo principal del malware infostealer: las credenciales corporativas aparecen en el 30 % de los dispositivos gestionados y en el 46 % de los dispositivos no gestionados comprometidos. Estos canales informales no aplican el mínimo privilegio, no registran los eventos de acceso ni admiten la revocación instantánea, lo que viola directamente la ISO 27001 A.5.17.